多同LAN网段站点的VPN网络映射配置故障排查求助

看起来你碰到了同网段多站点VPN映射里很典型的反向路径匹配问题，我来帮你梳理下问题根源和可行的解决思路：

先确认你的核心问题 #

你已经完成了正向的地址映射（把虚拟网段10.2.0.0/28、10.2.0.16/28分别映射到两个站点的同网段192.168.1.0/28），也通过标记路由把出站数据包导向了对应的站点VPN节点，但问题出在反向流量的处理：
当站点A/B的设备回包时，源IP都是192.168.1.x，VPN服务器无法区分这个回包属于哪个虚拟网段的请求，只能默认走同一条转发路径，导致你访问10.2.0.1和10.2.0.17都指向同一个站点。

具体解决方案步骤 #

1. 给回包添加区分标记

要解决反向流量混淆的问题，首先得通过站点的唯一VPN IP来标记回包，让服务器能识别这个包来自站点A还是B：

# 标记来自站点A的所有回包
iptables -t mangle -A PREROUTING -i tun0 -s 10.1.1.1 -j MARK --set-mark 0x20000
# 标记来自站点B的所有回包
iptables -t mangle -A PREROUTING -i tun0 -s 10.1.1.2 -j MARK --set-mark 0x20010

2. 添加反向NETMAP转换规则

基于上面的标记，在nat表的POSTROUTING链里做反向地址映射，把站点的真实LAN IP转成对应的虚拟网段IP：

# 站点A回包：192.168.1.0/28 → 10.2.0.0/28
iptables -t nat -A POSTROUTING -o tun0 -d 10.1.0.0/24 -s 192.168.1.0/28 -m mark --mark 0x20000 -j NETMAP --to 10.2.0.0/28
# 站点B回包：192.168.1.0/28 → 10.2.0.16/28
iptables -t nat -A POSTROUTING -o tun0 -d 10.1.0.0/24 -s 192.168.1.0/28 -m mark --mark 0x20010 -j NETMAP --to 10.2.0.16/28

3. 验证标记与路由匹配

• 用iptables -t mangle -L -v -n查看标记规则的匹配次数，确认出站和入站数据包都被正确标记
• 清空连接跟踪表避免旧连接干扰：conntrack -F
• 重新测试访问两个虚拟地址，看是否能正确指向对应站点

4. 补充检查点

• 确保你的路由规则优先级正确，回包的标记能匹配到对应的路由表
• 确认站点的iroute配置生效，VPN服务器能正确识别站点的LAN网段

为什么这个方案能解决问题 #

通过站点的唯一VPN IP标记回包，相当于给服务器加了一个“识别标签”，让它能区分两个相同LAN网段的回包来源，再通过反向NETMAP把真实IP转成对应的虚拟网段IP，这样用户端收到的回包源IP会对应到你设置的10.2.0.x或10.2.0.16+x，自然就能区分两个站点了。

备注：内容来源于stack exchange，提问作者Daniel