基于StrongSwan的IPv6路由型VPN客户端故障：隧道数据包已到达但应用无法接收
我仔细梳理了你的问题细节：IPv4环境下路由型VPN完全正常，但IPv6中隧道能成功建立、tcpdump也能看到XFRM接口收到了回复包，可ping、iperf这类应用就是收不到数据——核心矛盾是解密后的数据包已经抵达XFRM虚拟接口，但内核没有把它们递交给本地应用的套接字。下面给你分析几个最可能的原因和对应的排查/解决步骤：
一、先排查XFRM接口地址的配置问题
你给XFRM接口配置的是2001:2::1/128，这个/128前缀属于单播主机地址，仅适用于点对点通信，内核对这类地址的本地交付逻辑可能存在特殊限制。建议修改为更合理的前缀：
ip -6 addr del 2001:2::1/128 dev xfrm-1 ip -6 addr add 2001:2::1/64 dev xfrm-1 ip -6 link set xfrm-1 down && ip -6 link set xfrm-1 up
修改后重新发起ping测试。
二、检查IPv6地址选择与策略路由
系统可能因为默认的地址选择策略，没有将XFRM接口的地址作为本地接收的优先选项。先查看当前IPv6规则：
ip -6 rule show
如果发现有优先级高于XFRM接口路由的规则（比如绑定物理接口的规则），可以添加一条专门针对XFRM接口地址的策略路由：
ip -6 rule add from 2001:2::1 lookup main priority 100
这条规则会让源/目的为2001:2::1的数据包优先走主路由表，确保本地应用能正确接收。
三、确认内核IPv6转发与相关sysctl设置
虽然你的ip6tables配置允许转发，但内核的IPv6转发开关可能未开启，这会影响虚拟接口的数据包处理：
# 临时开启 sysctl -w net.ipv6.conf.all.forwarding=1 sysctl -w net.ipv6.conf.xfrm-1.forwarding=1 sysctl -w net.ipv6.conf.enp4s0np0.forwarding=1 # 永久生效，写入配置文件 echo "net.ipv6.conf.all.forwarding=1" >> /etc/sysctl.d/99-vpn.conf echo "net.ipv6.conf.xfrm-1.forwarding=1" >> /etc/sysctl.d/99-vpn.conf echo "net.ipv6.conf.enp4s0np0.forwarding=1" >> /etc/sysctl.d/99-vpn.conf sysctl --system
四、验证应用的绑定与发起方式
部分应用默认会绑定到物理接口的地址，而非所有接口（::）。你可以尝试：
- 指定XFRM接口发起ping：
ping6 -I xfrm-1 2001:4::200
- 如果是iperf测试，确保服务器端绑定到所有IPv6地址：
iperf3 -s -6 -B ::
五、优化StrongSwan的Child配置细节
你的swanctl.conf中child的local_ts和remote_ts都是::/0，这会导致所有IPv6流量都走隧道，可能引发路由循环或策略冲突。建议缩小隧道的流量范围：
children { child1 { mode = tunnel local_ts = 2001:3::/64 remote_ts = 2001:4::/64 if_id_in = 99 if_id_out = 99 start_action = start dpd_action = clear esp_proposals = aes256gcm16 } }
修改后重启StrongSwan，重新建立隧道再测试。
六、跟踪内核XFRM接口的数据包交付流程
如果以上步骤都未解决问题，可以用bpftrace跟踪内核的数据包处理，确认解密后的数据包在XFRM接口之后的走向：
bpftrace -e 'tracepoint:ipv6:ipv6_local_deliver { printf("src: %s, dst: %s\n", args->saddr, args->daddr); }'
如果能看到回复包的dst是2001:2::1，但应用没收到，说明应用的套接字未监听该地址；如果看不到，说明内核在XFRM接口之后未将数据包递交给本地协议栈，此时可以检查内核是否启用了XFRM接口支持：
zcat /proc/config.gz | grep CONFIG_XFRM_INTERFACE
你的5.15内核应该默认启用，但如果结果为空，需要重新编译内核开启该选项。
备注：内容来源于stack exchange，提问作者feca67
