很多企业在搭建跨分支办公、多节点数据同步的网络体系时，第一选择就是部署站点到站点VPN，但不少运维人员没做完整的前置校验就直接上线，反而出现内网互访异常、业务流量泄露、故障发生后找不到根因的问题。本文就围绕站点到站点VPN：使用前需要了解什么这个核心问题，从实际部署前的排查维度拆解所有必要的准备项，帮用户避开常见的落地坑。
两端公网连通性的前置校验
很多用户以为只要两个分支都能正常访问互联网，就能顺利搭建站点到站点VPN，实际上第一步要排查两端出口的网络环境限制，不少建连失败的问题根源都出在公网侧。
先做基础的连通性测试，从A站点的内网网关直接ping B站点的公网出口IP，先确认没有运营商层面的ICMP拦截，要是完全收不到回包，星驰加速器账号状态检查先联系两端运营商确认有没有封跨网的ICMP规则，预期结果是能收到稳定的回包，没有完全丢包的情况。
部署站点到站点VPN前需完成公网连通性等多项前置校验
接下来要检查两端出口有没有做协议拦截限制，不少小型企业宽带会被运营商做常用VPN端口的拦截，而站点到站点VPN常用的IKE协议用的UDP 500端口、IPsec协议依赖的ESP协议号，要是被运营商拦截，就算本地配置完全正确也没法完成隧道协商，这一步要提前和运营商确认端口和协议的放行状态，不要等配置完所有参数才发现底层网络不通。
两端设备配置的兼容性核对
站点到站点VPN不是随便两台支持VPN功能的网关设备就能配对成功，很多新手忽略了两端加密套件、协商模式的一致性要求，星驰反复调试都没法完成建连。
首先要核对第一阶段的IKE协商参数，包括加密算法、认证算法、密钥交换组、星驰加速器账号状态检查SA生命周期，两端的参数必须完全对齐，只要有一项参数不匹配，协商过程就会直接中断，设备日志里会提示第一阶段协商失败，这时候不要盲目修改参数，逐行比对两边的配置项就能快速定位问题。
接下来核对第二阶段的IPsec协商参数，除了同样要对齐加密、认证算法之外，还要特别注意两端配置的感兴趣流，也就是需要走VPN隧道的内网网段，不能出现重叠，也不能配置成范围不匹配的规则，比如A站点写的是192.168.1.0/24，B站点写的是192.168.0.0/16，就会出现部分流量漏走隧道、直接暴露在公网的问题。
内网路由与访问权限的边界梳理
很多企业部署站点到站点VPN之后出现内网安全事件，星驰本质是前期没梳理清楚两边的内网访问边界，把全量内网网段都放进了隧道规则里，相当于直接放开了两个站点的所有互访权限。
你需要提前明确哪些业务网段是需要跨站点互访的，比如只有生产服务器网段和分支的办公终端网段需要通信，就不要把存储了核心数据的运维管理网段也加进感兴趣流里，避免一个分支的内网被入侵之后，攻击者直接通过隧道渗透到总部核心区。
还要提前排查两端内网有没有网段冲突的问题，比如总部的内网网段和分支的内网网段都是192.168.1.0/24，就算隧道成功建立，流量也没法正确路由，这种情况要提前给其中一个站点做内网网段规划调整，不要等上线之后才发现业务互访异常。
故障定位机制的提前搭建
站点到站点VPN上线之后不可能永远稳定运行，使用前就要提前配置好两端的日志上报功能，把隧道协商日志、流量转发日志同步到统一的日志平台，后续出现断连的时候，第一时间就能定位是运营商线路波动，还是参数过期导致的SA重新协商失败。
不要完全依赖VPN隧道作为唯一的跨站点访问路径，提前配置好备用的低优先级连通方案，主隧道断联之后可以快速切换，避免核心业务长时间中断，同时要配置隧道存活状态的自动告警，不要等业务侧反馈没法访问才发现隧道已经中断很久。
很多用户对站点到站点VPN存在认知误区，觉得只要搭好就能实现绝对的内网安全，实际上它只是在两个公网站点之间搭建了加密的传输通道，本身不能替代内网的防火墙规则、终端安全管控体系，使用前把所有前置检查项落实到位，才能让它真正发挥跨站点安全互联的作用。
