不少企业在分支站点和总部之间部署完站点到站点VPN之后，经常会遇到看似隧道已经连接，但跨站点的业务系统却无法访问的问题，很多运维人员不知道从何下手排查。我们整理了从基础状态校验到业务流量验证的全流程实操方法，帮你一步步确认站点到站点VPN是否正常工作，快速定位隐性故障。
先确认VPN隧道的基础协商状态
首先登录两端站点的VPN网关管理后台，查看对应站点到站点VPN隧道的协商状态，绝大多数标准VPN网关都会清晰展示第一阶段、第二阶段的协商结果，确认两端的预共享密钥、加密算法、协商模式等基础参数已经完成握手。
这里要注意一个常见误区，不少新手看到网关页面显示隧道“已连接”就直接判定VPN工作正常，实际上这个状态仅代表两端的协商报文交互成功，不代表加密后的业务流量可以正常转发，很多隐性故障都会在隧道显示正常的情况下出现。
跨站点私网地址的连通性校验
接下来不要用公网IP做测试，直接在其中一个站点的内网终端上，发起对另一个站点内网业务服务器私网IP的ping测试，这个操作的核心目的是验证跨站点的私网流量是否能走VPN隧道传输，而不是直接通过公网转发。
分步校验站点到站点VPN状态，快速定位隐性连通故障
测试前要先确认两端的测试终端、目标业务服务器都没有开启操作系统层面的ICMP拦截规则，如果第一次测试不通，可以临时关闭两端终端的本地防火墙再重试，避免把系统自带的拦截策略误判为VPN故障。
如果多次ping测试都能得到稳定的回包，说明两端的私网路由已经完成互通，站点到站点VPN的基础转发逻辑大概率正常，但还不能直接判定所有业务场景都能正常跑通。
业务层面的流量定向核验
很多时候ICMP的ping报文可以正常传输，但日常使用的TCP、UDP类业务流量却无法连通，这时候需要登录两端VPN网关的流量统计页面，查看对应VPN隧道的加密流量计数，确认你发起的业务访问流量，已经被统计进隧道的加密转发条目里。
你也可以在业务访问的同时在两端网关开启抓包，筛选对应VPN隧道的加密前后报文，确认业务请求报文确实被封装之后发往了对端网关，对端返回的响应报文也通过隧道回传到本地，没有出现流量绕回公网的异常情况。
常见配置类故障的排除验证
很多站点到站点VPN看似协商成功但业务不通，核心原因是两端的感兴趣流配置不匹配，也就是一端设置的允许加密传输的私网网段，和另一端配置的需要加密的网段没有完全对应，比如一端写了完整的大网段，蓝莓加速器另一端只写了其中一小段子网，就会出现部分网段能通、部分网段完全无法访问的情况。
还有一类高频故障是两端网关的私网路由配置错误，没有把访问对端私网网段的路由指向VPN隧道接口，VPN客户端导致业务流量被默认路由直接转发到公网，自然无法到达对端的私网资源，调整完路由条目之后再重试连通性测试即可验证修复效果。
需要注意的是，单次测试通过只能代表当前站点到站点VPN的运行状态正常，不代表长期运行不会出现断连，日常运维过程中也要定期巡检隧道的协商记录、VPN客户端流量统计数据，及时发现隐性的连接异常，避免影响跨站点的业务访问。
