如何在跨VPN子网的Router 1（DLink DSR-250V2）上为Router 2子网内的设备配置IP别名

看起来你已经搞定了IPsec站点到站点VPN的基础连通性，这一步已经走对了！你想要实现的其实是静态地址映射（双向NAT组合）——把本地子网的虚拟IP（11.11.11.10）映射到VPN另一端的真实设备IP（192.168.1.10）。结合DLink DSR-250V2的特性，我给你梳理下具体配置思路和踩坑点：

核心原理说明 #

你需要的不是单一的SNAT或DNAT，而是一套双向规则：

• 当本地子网（11.11.11.0/24）的设备访问11.11.11.10时，要把目的地址转换为192.168.1.10（DNAT），让流量通过VPN隧道发过去；
• 当192.168.1.10回包时，要把源地址转换为11.11.11.10（反向SNAT），确保本地设备能识别回包的来源。

针对DSR-250V2的配置步骤 #

1. 先确认IPsec隧道的接口状态
   有些DLink设备默认把IPsec隧道作为“隐形”的虚拟接口，不会在NAT规则的接口选项里直接显示。你需要先进入IPsec配置页面，看看有没有“将隧道作为物理接口启用”或者“允许NAT规则应用到IPsec隧道”的选项，开启这个才能让NAT规则作用于VPN流量。

2. 配置DNAT规则（本地访问虚拟IP转真实IP）
   进入路由器的「高级NAT」或「自定义NAT」页面（不要用默认的WAN NAT规则），添加一条规则：

   • 源接口：选择你的LAN接口（比如LAN1/2/3/4对应的接口组）
   • 源地址范围：11.11.11.0/24
   • 目的地址：11.11.11.10
   • 转换后的目的地址：192.168.1.10
   • 目的接口：如果能选到IPsec隧道接口就选它，选不到的话就选“所有接口”（但要确保路由表中192.168.1.0/24的下一跳是IPsec隧道）
   • 规则方向：出站（因为是本地设备发起的流量）

3. 配置反向SNAT规则（回包地址转换）
   再添加一条反向规则，确保回包能正确回到本地设备：

   • 源接口：IPsec隧道接口（或对应VPN连接）
   • 源地址：192.168.1.10
   • 转换后的源地址：11.11.11.10
   • 目的地址范围：11.11.11.0/24
   • 目的接口：LAN接口
   • 规则方向：入站

常见问题排查 #

• 为什么之前配置NAT没效果？
  你提到只能给WAN配置NAT，那是因为默认的NAT规则模板只针对WAN接口。一定要找「高级NAT」或「手动NAT规则」的入口，这里才能自定义源/目的接口为LAN或IPsec隧道。
• 检查地址冲突
  确保11.11.11.10这个虚拟IP没有被Router1的LAN接口占用，也没有分配给LAN内的其他设备（比如DHCP地址池里要排除这个IP）。
• 防火墙规则放行
  要在Router1上添加防火墙规则，允许LAN子网与11.11.11.10之间的流量，同时允许IPsec隧道与LAN之间的NAT转换流量通过，避免被默认规则拦截。

备选方案（如果DSR-250V2限制NAT到VPN） #

如果实在没法在Router1上配置针对IPsec的NAT规则，你可以换个思路：

1. 在Router1的LAN侧添加一条静态路由：11.11.11.10/32 指向 192.168.1.10（利用VPN已有的路由连通性）；
2. 在Router2上配置反向NAT规则：把来自192.168.1.10的流量源地址转换为11.11.11.10，同时把目的地址为11.11.11.0/24的流量转换回真实源地址。

这个方案需要Router2支持NAT配置，但能绕过Router1的NAT接口限制。

备注：内容来源于stack exchange，提问作者Nafana