不少企业在部署跨站点组网方案时，会直接选择站点到站点VPN实现不同办公区、数据中心之间的内网加密互通，但很多使用者没有提前做全前置校验，上线之后频繁出现隧道莫名断开、跨站点业务访问卡顿、非授权网段非法接入等问题，反而影响了正常业务运转。站点到站点VPN：使用前需要了解什么，本质是要从网络底层、配置规则、权限边界多个维度逐项排查风险，避免上线后出现不必要的故障。
站点间公网连通性前置校验
很多新手运维默认只要两端的网关设备都支持VPN功能，就能直接搭建隧道，实际上公网层的连通基础不达标，后续所有配置工作都是无效的。
提前完成站点间网络连通性校验，可有效规避站点到站点VPN上线后的各类故障
首先要在两端网关的公网接口上做双向连通测试，确认中间的运营商链路没有封堵IPSec、GRE这类常用VPN协议的报文，要是测试过程中出现大量协议报文丢包的情况，不要急着推进VPN配置，先联系运营商确认对应链路的协议通行资质。
还要确认两端的公网IP属性，不少小型分支机构用的家用宽带是运营商做了多层NAT的共享公网IP，这种场景下如果没有提前在网关做好端口映射，易安站点到站点VPN的隧道根本无法正常发起，符合要求的预期结果是两端至少有一端拥有固定可路由的独立公网IP，能主动接收对端的隧道协商请求。
两端网关配置参数一致性核查
超过六成的站点到站点VPN初期协商失败故障，都来自两端配置参数不匹配，这类问题不需要复杂的排障工具，只要提前逐项核对就能完全规避。
先核对IKE第一阶段的所有参数，包括加密算法、认证算法、密钥交换模式、预共享密钥内容，任意一项参数两边设置的规则不一样，第一阶段的安全联盟就无法建立，现象就是VPN隧道一直卡在协商初始化阶段，不会进入后续的连通校验流程。
接着核对IPSec第二阶段的参数，除了和IKE对应的加密、认证规则之外，还要特别注意两端配置的感兴趣流，也就是需要走VPN隧道的内网网段，VPN加速器不能出现网段重叠或者反向不匹配的情况，比如总部写的是总部办公网段去访问分支业务网段，分支的感兴趣流却只写了本地服务器网段去访问总部，这种情况就算隧道显示运行正常，跨站点的业务流量也无法正常转发。
内网路由与访问权限边界梳理
很多企业部署完站点到站点VPN之后，出现了非授权站点访问内部核心服务器的安全事件，本质是前期没有梳理清楚路由和权限规则，把原本隔离的内网网段直接打通。
首先要在两端的内网网关确认，只有指定的需要跨站点互通的业务网段，才会把路由指向VPN隧道，不能把所有内网流量都默认导入隧道，不然会出现本地用户访问本地公网资源也绕远走VPN的异常情况，大幅增加不必要的带宽开销。
还要提前配置好两端的访问控制列表，明确不同站点的部门网段可以访问对端的哪些业务资源，比如分支机构的普通办公网段只能访问总部的OA系统和公共文件服务器，不能直接触碰总部的核心数据库服务器，避免单个站点被入侵之后，风险直接扩散到全公司所有内网节点。
故障定位预案提前搭建
站点到站点VPN上线之后不可能永远不出现故障，使用前就要提前把排查路径梳理清楚，不要等业务完全中断之后临时翻找技术文档。
首先要在两端的VPN网关开启完整的协商日志记录功能，后续如果出现隧道断开的情况，第一时间查看日志里的报错字段，就能快速定位是运营商链路波动导致的协商超时，还是配置参数被误改导致的协商失败，不用逐行核对所有配置项浪费排障时间。
还要提前预留备用的临时互通方案，比如主隧道中断的时候，临时通过其他加密专线链路承接跨站点核心业务，避免核心业务长时间中断影响正常运营，不要等到主隧道完全失效之后才临时找替代方案。
