不少企业搭建跨分支组网时都会用到站点到站点VPN，运维人员刚接触这类组网场景时最常困惑的就是站点到站点VPN：如何判断是否正常工作，很多时候网关界面显示隧道已连通，实际跨站点的业务却完全跑不通，这种“假活”状态很容易误导故障排查方向。这套从底层隧道到上层业务的逐层校验方法，不需要复杂的专业测试工具，就能快速定位链路真实状态，避免漏过半连通、部分网段不通的隐性故障。
运维人员登录两端VPN网关核查隧道安全联盟会话状态，排查跨站点组网的连通性问题
第一步：校验VPN隧道的基础会话状态
首先要分别登录两端站点的VPN网关设备，查看IPsec或者GRE隧道对应的安全联盟会话条目，正常活跃的隧道不会停留在协商中、已断开的中间状态，第一阶段和第二阶段的SA条目都应该有明确的对端公网IP标识。很多新手管理员误以为隧道显示UP就等于链路正常，实际上不少场景下仅第一阶段密钥协商成功，第二阶段的加密策略没有匹配，就会出现界面状态正常但完全无法转发加密流量的假活情况。
如果网关支持直接查看隧道的专属流量统计，就可以尝试从任意一端的内网侧发起测试流量，之后刷新隧道的字节计数，如果两端的入方向、出方向计数都有对应增长，说明加密封装后的流量已经在隧道内完成转发。要是只有一端的流量计数增长，大概率是本地的感兴趣流匹配规则配置错误，把本该走隧道的内网流量排除在了加密策略之外。
第二步：跨站点内网直连连通性校验
排查站点到站点VPN连通性的常见误区，是直接从VPN网关本身ping对端站点的公网接口，这种测试完全无法验证隧道的实际转发能力，正确的操作是分别在两个站点的普通内网区域，找一台没有配置额外特殊静态路由的终端，将默认网关指向本地内网的三层网关，直接发起对端站点内网普通终端地址的访问请求。
要注意区分不同连通失败表现对应的故障原因，如果ping请求直接返回目标网络不可达，大概率是本地内网的路由配置错误，没有把对端内网网段的转发路径指向VPN网关，流量根本没有被送到隧道的入口位置。如果ping请求持续超时没有回应，不能直接判定VPN隧道失效，国外免费梯子很多企业的内网安全域默认会拦截ICMP报文，属于正常的安全配置策略。
这时候可以换用TCP端口测试的方式，用telnet或者轻量端口探测工具访问对端内网已经确认开放的业务端口，要是端口能正常建立连接，就说明站点到站点VPN的转发链路完全正常，只是ICMP报文被中间节点拦截，不需要额外调整VPN配置。
第三步：检查两端加密域与路由的匹配度
站点到站点VPN最常见的隐性故障就是两端的加密感兴趣流配置不对称，比如一端配置的加密网段是对端的整个大段内网地址，另一端只写了几个零散的小网段，这种情况会导致部分网段的流量可以正常走通隧道，剩下的网段完全无法访问，属于典型的半连通异常状态。
排查的时候要把两端VPN网关配置的、需要纳入加密传输的内网网段列表逐行比对，确保两端的加密域范围完全对称，不存在单边漏写、错写子网掩码的问题。同时还要检查VPN网关的全局路由表，确认对端所有内网网段的下一跳指向的是VPN隧道接口，而不是默认的公网出口，不然封装后的加密流量会被直接从公网网卡路由出去，根本无法送达对端站点。
第四步：排除边界网络的额外干扰
不少企业的站点出口不止部署了VPN网关一台设备，前端还有运营商的接入设备或者第三方边界防火墙，如果没有把VPN协商需要用到的UDP 500、UDP 4500端口，以及ESP协议的流量完全放行，站点到站点VPN的隧道很容易出现间歇性断开，或者大流量传输时异常丢包的问题。
校验的时候可以在两端VPN网关的公网接口开启抓包，正常工作状态下除了协商阶段的明文报文，日常传输过程中应该能持续看到ESP封装的加密报文，不会出现大量的重传或者ICMP不可达报文。如果抓包看到大量ESP报文被直接丢弃，就说明前端的边界设备拦截了加密流量，需要调整对应安全策略放行相关协议。
很多管理员判断站点到站点VPN是否正常工作只参考网关界面的隧道状态指示灯，网络加速器很容易漏掉各种隐性的半连通故障，按照从隧道状态到内网连通，再到配置校验、中间链路排查的顺序逐层验证，就能快速排除假正常的干扰，确认整条站点到站点VPN链路的实际可用性。
