很多企业部署跨地域的站点到站点VPN之后，经常遇到两端内网资源访问异常但又不确定VPN隧道本身是否生效的情况，很多管理员会误把公网连通等同于VPN正常工作，反而浪费大量时间排查内网配置问题，本文从实际运维场景出发，梳理从底层隧道状态到上层业务连通的全流程判断方法，帮你快速定位站点到站点VPN的运行状态，避开常见的排查误区。
前置配置校验：先排除基础配置错误的前提
在正式判断站点到站点VPN是否正常工作之前，你需要先确认两端VPN网关的基础配置没有出现低级错误，包括两端的预共享密钥、IKE协商模式、加密算法组合是否完全匹配，任意一侧的参数不对应都会直接导致隧道无法发起协商。
还要提前确认两端网关的公网接口没有被中间运营商或者本地防火墙拦截ESP、AH协议以及IKE协商的UDP端口，很多企业的边界防火墙默认会封禁非业务的陌生协议，直接导致VPN协商报文被丢弃，连隧道建立的初始流程都无法触发。
第一层校验：VPN隧道的协商状态检查
大部分主流VPN网关的后台都会直接显示IKE SA和IPsec SA的状态，正常工作的站点到站点VPN，首先要看到IKE阶段的安全联盟已经成功建立，且对端的公网IP地址和配置的对端网关地址完全对应，没有出现错连其他VPN节点的情况。
运维人员按全流程校验站点到站点VPN的运行状态，快速定位连通性问题
接下来要检查IPsec阶段的SA条目，确认两端配置的感兴趣流，风驰也就是需要通过VPN传输的内网网段映射关系，已经生成了对应的加密/解密报文计数器，如果你看到对应感兴趣流的计数器始终为0，说明还没有匹配到需要走隧道的流量，不能直接判定VPN异常。
第二层校验：跨隧道的三层连通性测试
很多管理员习惯用公网地址直接ping对端网关，这是完全错误的测试方法，站点到站点VPN的流量规则明确要求，VPN下载源地址必须是本端的内网网段地址，目的地址必须是对端的内网网段地址，这类跨网段的探测流量才会被引入VPN隧道传输。
正确的测试方法是登录本端内网的一台终端或者服务器，指定源IP为属于本端VPN感兴趣流的内网地址，去ping对端同样属于感兴趣流的内网地址，如果能得到正常的ICMP回包，说明隧道的转发和路由规则已经基本生效。
如果这一步探测不通，你可以在VPN网关的内网侧和外网侧同时开启流量抓包，确认探测报文是否已经被封装成ESP协议发往对端公网地址，同时确认对端网关有没有收到封装后的报文、有没有完成解封装转发到本地内网。
常见的判断误区与边界确认
很多人会把VPN隧道显示“已建立”等同于业务可用，VPN下载实际上部分场景下IKE和IPsec SA都能正常生成，但两端的内网路由配置错误，比如本端没有配置指向对端内网网段的静态路由下一跳指向VPN隧道，流量根本不会被送入隧道，这种情况网关的隧道状态依然会显示正常。
还要注意站点到站点VPN的隐私边界，隧道本身只会对匹配感兴趣流的指定网段流量做加密封装，不会对两端所有的公网访问流量做代理，不要把普通的公网访问加速或者匿名需求和站点到站点VPN的功能混淆，VPN下载这类场景本身就不属于站点到站点VPN的覆盖范围。
如果经过多轮测试确认隧道协商正常、跨内网的探测流量能正常往返，且两端内网的授权业务端口可以正常访问，就可以判定当前站点到站点VPN已经处于正常工作的状态，后续如果出现局部业务访问异常，只需要针对对应业务的访问规则和防火墙策略做定向排查即可。
