记录隧道端点与网络拓扑
在调整前，首先应记录当前 VPN 隧道的完整端点信息，包括本地接口 IP、对端 IP 以及封装类型，坚果VPN官网如 IPSec 或 GRE。对于 NAT 会话，需记录触发会话的源 IP、目的 IP、源端口、目的端口及协议类型，这些参数决定了会话表的匹配逻辑。检查时应确认这些地址是否属于固定保留网段或动态分配池，避免修改路由后导致会话因源地址变更而失效。预期现象是：在完成调整前，能够明确画出流量经过的 NAT 设备与 VPN 网关的逻辑位置，确保后续变更不会意外切断非相关业务的连接。
检查 NAT 规则与策略匹配顺序
NAT 设备的规则匹配通常具有优先级，记录现有 NAT 规则的定义顺序及具体的匹配条件，包括源/目的网段、坚果加速器服务端口等。重点关注是否存在“默认 NAT”或“全通”规则，这类规则可能在调整 VPN 豁免策略时产生冲突，导致 VPN 流量被意外转换私网地址，从而破坏隧道建立。应查阅设备官方文档中关于策略路由与 NAT 交互的章节，确认是否需要创建专门的 Bypass 规则。操作时仅进行只读检查，不立即修改规则，直到确认新规则不会覆盖现有关键业务策略。预期现象是：规则列表中 VPN 网段的流量能被正确识别并跳过 NAT 处理。
捕获并分析会话建立日志
在调整配置前，建议在正常状态下捕获 VPN 建立与 NAT 会话生成的日志，作为基准对比。观察日志中是否包含具体的错误代码或超时提示，特别是涉及 ASYN 映射失败或 SA 协商中断的记录。通过对比调整前后的日志，可以判断问题是由路由不可达、坚果VPN官网防火墙拦截还是 NAT 映射缺失引起的。记录时应注意时间戳的同步，确保日志能对应到具体的故障时段。预期现象是：能够区分出哪些日志条目是周期性重协商产生的正常噪声，哪些是真正的异常中断，从而避免在调整时误删必要的监控规则。
核实路由表与默认网关设置
路由配置是 VPN 与 NAT 交互的核心，坚果加速器记录当前设备的路由表项，特别是指向 VPN 网关和互联网出口的路径。检查是否存在静态路由冲突，或 DHCP 下发的路由是否覆盖了手动配置的特定网段。对于多层网络设备，需确认中间路由器是否启用了策略路由，将特定流量强制导向 VPN 接口。调整前，应确认所有相关网段的下一跳地址稳定，避免因路由震荡导致会话频繁重建。预期现象是： traceroute 结果显示路径符合设计预期，且关键网段的路由条目未发生非预期变化，为后续配置修改提供稳定的网络基础。
在调整VPN与NAT会话前，详细记录隧道端点IP及NAT规则的匹配顺序，是避免网络中断的关键步骤。
