很多企业部署跨地域的站点到站点VPN之后，经常遇到两端内网看似连通但业务系统无法同步、跨站点访问异常的问题，不少管理员只看设备界面的状态绿灯就判定VPN正常运行，反而耽误了故障排查的最佳窗口。本文从实际运维场景出发，梳理可落地的分层核验方法，帮你快速确认站点到站点VPN的运行状态，避免漏过各类隐性故障。
核验前的基础配置前提
在启动正式的状态核验之前，你需要先确认两端VPN网关的基础配置没有出现低级错误，比如两端的预共享密钥是否完全一致、感兴趣流配置的内网网段是否没有出现重叠、袋鼠对端的公网地址没有被运营商临时变更。
很多管理员会跳过这一步直接做连通性测试，最后排查半天才发现是上周更新防火墙规则的时候，不小心把VPN协商用到的UDP端口给封禁了，白白浪费大量运维时间。你也可以提前确认两端内网的本地子网没有和VPN隧道的虚拟网段出现冲突，避免后续测试出现路由指向混乱的问题。
第一层核验：VPN隧道协商状态检查
这是判断站点到站点VPN是否正常工作的第一步，你需要分别登录两端的VPN网关管理后台，查看IKE第一阶段和第二阶段的协商状态，不要只查看单端的状态就下结论。
运维人员按照分层核验步骤逐一检查站点到站点VPN的运行状态，提前排查隐性连通故障
正常情况下两个阶段都应该显示“已建立”的状态，如果第一阶段协商失败，大概率是两端的加密算法不匹配、预共享密钥错误，或者中间的公网链路拦截了协商报文。如果第一阶段正常但第二阶段协商失败，大多是两端配置的感兴趣流网段范围不匹配，某一端漏掉了需要走隧道的内网网段。
这里要注意一个常见误区，很多网关的界面显示隧道已激活，不代表实际可以传输内网流量，部分场景下协商报文交互完成之后，后续的加密传输报文被防火墙拦截，界面状态不会立刻同步更新，不能只靠界面指示灯直接判定站点到站点VPN运行正常。
第二层核验：跨站点内网连通性测试
确认隧道协商状态正常之后，你需要分别在两端站点的内网主机上发起测试，不能直接用VPN网关自身的ping工具测试，部分网关默认会把自身发起的流量排除在VPN感兴趣流之外，测试结果没有参考意义。
你可以先从一端内网的普通主机，ping对端站点内网的一台非网关设备的IP地址，如果能得到正常响应，说明加密报文可以顺利通过VPN隧道完成往返传输。你也可以同时在两端的内网主机上发起反向测试，避免出现单通的隐性故障。
如果ping测试不通，你可以在VPN网关的流量统计页面，查看对应感兴趣流的数据包计数是否在增长，如果计数没有变化，说明内网流量根本没有被引入VPN隧道，大概率是本地内网的静态路由配置出错，没有把目标网段的流量指向VPN网关。
第三层核验：业务场景可用性校验
很多时候连通性测试能通，但站点到站点VPN还是没有正常工作，这是因为不同业务的报文大小、传输协议不一样，小尺寸的ping报文可以正常传输，大尺寸的分片报文可能会被中途丢弃，科学上网导致大文件传输、视频会议等业务异常。
你可以尝试在两端内网之间传输普通文件，或者直接访问跨站点的业务系统、共享文件夹，确认所有需要走VPN隧道的业务都能正常访问，这一步才能最终确认VPN的实际工作状态。
这里要避开一个常见误区，不要用公网的普通测速工具来测试VPN隧道的传输质量，这类工具的流量不会走VPN隧道，得到的结果完全不能代表站点间VPN的实际传输能力，也无法反映跨站点业务的真实访问体验。
