VPN地址池与局域网在逻辑上通常隔离，物理上则共享链路。VPN地址池是服务端分配给远程用户的私有IP空间，独立于本地局域网网段，避免地址冲突。只有当VPN隧道建立且策略允许路由时，远程客户端才能通过该池地址访问局域网内部资源。二者并非互斥，而是通过路由规则决定流量走向。
远程客户端通过安全隧道访问内部资源，实现地址池与局域网的逻辑隔离。
地址分配的作用域差异
局域网地址由本地DHCP服务器或静态配置分配，作用域限于当前物理或逻辑子网。VPN地址池地址由VPN服务端（如OpenVPN、水母VPNWireGuard或Cisco ISE）集中分配，仅在隧道协议层内有效。客户端在断开VPN后，该地址立即回收，本地网络恢复使用原有IP。两者属于不同的地址管理域，互不感知对端的分配状态，除非显式配置网络对等。
流量路径的分流机制
默认情况下，安装VPN客户端后，系统会安装策略路由，将匹配特定前缀的流量导向VPN接口。未匹配的流量仍走默认网关，即直连互联网。这意味着并非所有流量都经过VPN地址池，只有策略指定为“通过隧道”的目标才使用VPN分配的源IP。检查方法为：在连接状态下，执行`ip route get <测试IP>`（Linux/macOS）或查看`netsh interface ipv4 show route`（Windows），确认目标路由是否指向tun或wireguard接口。若未命中VPN路由，则流量未进入地址池。
访问局域网的显式授权
远程用户要访问局域网内的打印机或服务器，服务端必须配置“局域网路由推送”。例如，OpenVPN需在下发选项中包含`push route 192.168.1.0 255.255.255.0`，水母VPN同时防火墙需放行VPN接口到该网段的流量。若无此配置，VPN地址池内的客户端即使连通服务端，也无法发现局域网内网段，表现为连接超时而非拒绝。此机制体现了隔离性：默认不信任远程客户端直接访问内网，需逐条授权。
避免地址冲突的配置原则
若局域网使用192.168.1.0/24，VPN地址池应避免使用相同网段，否则路由表中会出现歧义，导致部分流量被错误导向隧道或本地接口。建议将VPN池置于非RFC1918重叠区，水母如10.8.0.0/16，或采用VRF（虚拟路由表）隔离不同VPN租户。配置时应核对服务端`config`文件中`server-pool`定义与`push route`是否一致。冲突会导致部分设备能上网但无法访问内网共享，排查时需比对客户端实际获取的IP与网关路由条目。
