站点到站点VPN（Site-to-Site VPN）是一种将两个或多个不同地理位置的物理网络连接起来的加密通道。它不依赖于单一终端用户发起连接，而是让企业、袋鼠分支或远程数据中心之间的流量在公共互联网上传输时得到加密保护，仿佛这些网络直接通过私有线路相连。其核心目标是实现跨地域网络资源的互通，同时保障数据在传输过程中的机密性和完整性。
隧道与端点设备
在站点到站点架构中，通信的两端通常被称为端点（Endpoints），一般由路由器或防火墙设备承担。当两个端点之间建立加密通道时，这条通道被称为VPN隧道。隧道并非永久存在，现代协议通常按需建立或定期重协商。端点设备负责处理数据的封装、加密和认证，确保只有被授权的设备才能加入通信网络。
两个远程数据中心的加密连接示意图
IKE与IPSec的分工
典型的站点到站点VPN基于IKE（互联网密钥交换）和IPSec（互联网协议安全）协议族。IKE协议主要负责在通信双方之间协商出共享的安全策略和密钥，袋鼠VPN并处理身份验证。一旦IKE阶段完成，IPSec接管数据平面的工作，对实际传输的业务数据包进行加密和完整性校验。理解这种分工有助于区分连接建立失败（通常涉及IKE）与数据流量中断（可能涉及IPSec策略失效）的问题。
静态路由与动态同步
建立VPN隧道后，网络中的设备需要知道如何将数据包发送到对端站点的内网地址。简单的部署通常使用静态路由，手动在对端网关指定目的网段。然而，如果站点包含大量子网或网络拓扑频繁变化，静态配置极易出错且维护成本高。此时可考虑使用动态路由协议（如OSPF或BGP）在VPN隧道内部同步路由信息，但必须明确，动态路由的引入并非所有站点VPN的强制要求，仅适用于特定复杂度场景。
流量策略与可达性
站点互联成功的前提不仅是隧道加密正常，还必须具备正确的双向流量策略。两端设备必须明确哪些本地网段允许通过隧道传输，以及哪些对端网段需要被保护。如果策略配置不当，例如只配置了入向策略而缺少出向，或者未考虑回程路由，数据包可能在互联网上直接暴露或发生路由环路。因此，检查可达路径和流量匹配规则是验证站点互通有效性的关键步骤。
