VPN双栈连接指的是隧道同时承载IPv4和IPv6两类协议的流量，不用在两种网络栈之间切换就能同时访问不同协议的公网资源，不少用户配置完成后经常遇到单栈不通、部分站点访问异常的问题，绿茶加速器这份汇总把全链路的配置必查项目和对应排查逻辑梳理清楚，覆盖从底层系统网络到隧道协议的所有关键节点，不用零散查找不同场景的零散教程就能定位绝大多数常见故障。
基础网络栈前置状态检查
这是所有VPN配置操作前的必做项，很多用户上来就直接修改VPN客户端参数，完全忽略本地本身的双栈连通性就存在问题，后续花大量时间调整VPN配置也找不到故障根源。先断开所有已经建立的VPN连接，分别测试本地IPv4和IPv6的公网连通性，访问不同栈的专属测试站点，确认两个栈都能正常获取公网地址、完成对应域名的解析请求。
运维人员正在核验本地双栈网络基础状态，排查VPN配置前置故障隐患
这一步的预期结果是本地未启动VPN时，IPv4和IPv6路由都能正常抵达公网，没有运营商层面的单栈拦截或者本地网卡手动禁用IPv6协议的情况，要是这一步就出现某一类协议完全不通的现象，后续VPN双栈配置再正确也不可能实现双栈流量同时走隧道的效果。
VPN服务端双栈配置校验
超过半数的VPN双栈连接故障根源不在客户端，是服务端侧根本没有开放双栈支持，用户拿到的VPN账号本身就只配置了IPv4的虚拟地址池，自然不可能承载IPv6流量。登录对应服务端的管理后台，查看虚拟网卡的配置项，确认同时绑定了IPv4和IPv6的地址段，没有单独过滤某一类协议转发的全局规则。
接着要检查服务端的防火墙规则，确认没有针对当前隧道协议的IPv6端口拦截，同时确认服务端本身的公网双栈连通性正常，不会出现服务端自己能分配IPv6地址但连不上IPv6公网的情况。这里要注意常见误区，不少用户以为服务端有IPv6公网地址就等于支持双栈VPN，实际上如果没配置虚拟地址池的IPv6段，绿茶加速器客户端拿到的隧道里只有IPv4路由，双栈连接自然无法正常工作。
客户端VPN双栈参数逐项核对
这部分就是VPN双栈连接配置检查的核心环节，首先打开客户端的对应连接属性，确认没有勾选“仅使用IPv4连接”或者“禁用IPv6隧道”这类默认的限制选项，不少系统自带的VPN客户端为了避免早期的IPv6泄漏问题，默认会关掉隧道内的IPv6转发，很多用户配置时完全没注意到这个隐藏的限制开关。
然后检查客户端的虚拟网卡配置，VPN连接成功后，绿茶到系统的网络适配器列表里找到对应的VPN虚拟网卡，查看其属性里是否同时获取到了IPv4和IPv6的虚拟地址，两个地址都属于服务端分配的对应地址段，没有出现其中一个栈的地址获取失败、显示系统默认自动私有地址的情况。
接着要检查路由表配置，执行系统对应的路由查看命令，确认VPN生成的路由规则里，同时存在IPv4和IPv6的默认路由或者对应需要走隧道的网段路由，没有出现某一类协议的流量仍然走本地物理网卡出口的情况，绿茶这种部分路由泄漏的问题是双栈连接下访问部分站点异常的常见原因。
连通性验证与故障定位排查
完成前面所有配置检查之后，就可以启动VPN连接做实际的流量测试，分别访问仅支持IPv4、仅支持IPv6以及双栈兼容的站点，观察不同站点的访问结果，判断是全栈不通还是某一类协议的流量异常。如果是IPv4流量正常但IPv6站点全部打不开，优先回溯前面服务端IPv6地址池和防火墙规则的检查项，如果是IPv6正常但IPv4站点访问失败，就核对客户端的IPv4虚拟地址获取状态。
这里要注意不要一遇到访问异常就直接判定VPN双栈配置失败，部分站点本身的域名解析配置存在问题，双栈环境下会优先解析到访问质量不佳的IPv6地址，出现加载卡顿的现象，要单独测试纯IPv6的专属站点，排除站点本身的问题之后再定位VPN配置的故障。整个排查流程不需要用到特殊的第三方工具，所有检查项都可以通过系统自带的网络配置工具完成，按照从底层到上层的顺序逐项核对，就可以覆盖绝大多数VPN双栈连接的配置错误场景，避免遗漏隐蔽的限制规则导致的单栈运行问题。
