对于有多办公区、多分支网点的企业来说，站点到站点VPN是打通不同物理位置局域网资源的核心技术方案，很多运维人员照着教程完成配置后能实现跨站点访问，却对完整的运行逻辑一知半解，遇到隧道异常断连、流量不通的问题很难快速定位根因。本文从配置前置条件、全流程运行逻辑、状态检查方法到常见使用误区做完整解析，帮你彻底理清站点到站点VPN的工作过程。
两个异地企业站点通过加密隧道打通内网实现资源互通
站点到站点VPN的配置前置前提
部署站点到站点VPN的第一核心前提，是两个站点的边界网关都要支持IPsec等标准隧道协议，不能使用功能受限的普通家用路由器，同时两端网关都要能获取稳定可达的公网地址，不管是固定静态公网IP，还是通过DDNS服务可以稳定解析的动态公网地址都可以，避免两端网关无法定位到对方的接入位置。
第二个必须提前确认的规则是两个站点的内网私网网段不能出现重叠，比如两个站点的局域网都使用192.168.1.0/24网段，就算后续所有VPN参数配置完全正确，也会出现路由转发冲突，导致跨站点的流量无法正常送达目标设备。同时还要提前在两端网关的安全策略里放通VPN协商需要的对应协议和端口，避免本地防火墙或者中间运营商的安全策略拦截协商报文。
站点到站点VPN的核心协商与传输工作过程
站点到站点VPN启动后的第一个运行环节是第一阶段协商，两端的边界网关互相向对方发起连接请求，通过预共享密钥或者数字证书完成身份合法性校验，同时协商出双方都认可的加密算法、哈希算法、DH密钥组参数，共同生成一个临时的共享会话密钥，天行加速器远程办公使用指南用来加密后续的协商交互报文，避免协商过程的参数被窃听篡改。
第一阶段协商完成后就进入第二阶段协商，也叫快速模式协商，两端基于之前生成的临时加密密钥完成加密通信，共同约定需要保护的内网网段映射规则，确定隧道内业务流量的加密策略，生成用于加密实际业务数据的IPsec SA安全联盟，这个阶段定义的规则会直接决定哪些内网访问流量需要走VPN隧道加密传输。
两个阶段的协商全部完成之后，加密隧道就正式建立就绪，后续任意一端站点的内网终端发起跨站点访问请求时，流量到达本地边界网关后，网关会匹配提前配置的感兴趣流规则，符合规则的原始内网报文会被整体加密，再封装上新的外层公网IP头部，通过公网链路传输到对端的边界网关。
对端网关收到封装后的报文后，首先校验外层报文的合法性，通过解密操作去掉外层的公网封装头部，还原出原始的内网IP报文，再把还原后的报文转发到本地的目标内网设备，返程的响应流量也会执行完全一致的封装、解密流程，整个过程对两端内网的终端完全透明，终端不需要安装任何VPN客户端，就可以直接访问对端站点的内网资源。
站点到站点VPN的运行状态常规检查步骤
排查站点到站点VPN的运行状态时，天行首先要查看两端网关的第一阶段SA是否正常生成，如果第一阶段SA不存在，说明基础的身份校验或者公网连通性存在异常，优先排查两端的公网地址是否可以正常互相访问、预共享密钥是否完全一致、两端配置的第一阶段协商参数是否完全匹配。
如果确认第一阶段SA已经正常建立，但第二阶段SA不存在，就要重点检查两端配置的感兴趣流规则是否镜像对应，也就是本端配置的需要保护的源内网、目的内网规则，要和对端配置的源目规则反向对应，很多新手配置时两端的网段规则写得不一致，就会导致协商过程卡在第二阶段，隧道始终无法正式建立。
站点到站点VPN的常见使用误区
很多人误以为站点到站点VPN隧道建立之后，站点内所有终端的上网流量都会走隧道转发，实际上默认只有匹配了感兴趣流规则的跨站点内网流量才会走加密隧道，终端访问公网的流量还是直接通过本地网关转发，不需要额外配置分流规则，也不会占用隧道的传输带宽。
还有不少运维遇到隧道异常断连之后，第一反应是重启两端网关重新配置，实际上大部分场景下隧道断连是因为两端的SA安全联盟生命周期到期，部分网关不会自动发起重协商请求，只需要任意一端发起一次跨站点的内网访问请求，就可以触发两端重新协商建立隧道，不需要改动原有配置。
需要注意的是，站点到站点VPN仅能保证报文在公网传输过程中的加密安全性，它不保证本地内网的所有访问行为完全匿名，也不会直接提升公网访问的速度，使用过程中还是要配合内网本身的权限控制规则，避免跨站点的共享资源被未授权的设备访问。
