很多刚接触企业跨区域组网的运维新人，第一次接触站点到站点VPN配置时，很容易被一堆专业术语绕晕，要么对着设备配置界面不知道填哪项，要么配置完之后两端内网始终不通，排查半天找不到问题根源。这篇入门指南就把站点到站点VPN配置全流程里最常用的核心术语逐一拆解，结合实际组网场景解释每个术语的作用、配置前提和常见误区，帮新手快速跨过术语门槛，避免基础配置错误。
站点端点与对等体地址
这是站点到站点VPN配置里最基础的两个术语，站点端点指的是你当前正在配置的这台VPN网关的公网接口地址，对等体地址就是对端站点VPN网关的公网接口地址。
配置这两项的前提是两端网关都拥有可互相访问的公网IP，且中间的运营商网络没有限制IPsec相关协议的通行，很多新手容易犯的误区是把对等体地址填成对端站点里某台内网服务器的公网映射地址，这样会直接导致两端VPN隧道根本无法发起协商，连最基础的握手流程都无法完成。
跨区域的两个办公站点通过站点到站点VPN网关建立加密隧道，实现内网安全互通
感兴趣流与加密域
感兴趣流是触发站点到站点VPN隧道建立的流量规则，简单来说就是哪些跨站点的内网访问流量需要走加密隧道传输，其余普通公网访问流量直接走本地出口，不需要绕经VPN链路。
加密域是和感兴趣流绑定的配套术语，指的是两端设备约定好的、允许通过隧道传输的内网网段范围，配置时必须保证两端的加密域规则完全镜像，也就是本端写的本端内网网段+对端内网网段，菜鸟要和对端配置的对端内网网段+本端内网网段一一对应。常见的配置误区是两端加密域的子网掩码不匹配，或者漏写了部分需要互通的内网VLAN网段，结果就是部分业务能通部分业务不通，排查时很难快速定位根源。
IKE协商阶段与预共享密钥
IKE就是互联网密钥交换协议，站点到站点VPN的协商过程通常分为两个阶段，第一阶段用来协商两端设备的身份认证方式、加密算法、哈希算法，生成一个安全的控制通道，用来后续安全地交换加密参数。第二阶段再协商业务流量的加密规则，生成正式的数据传输隧道。
预共享密钥是入门配置里最常用的身份认证凭证，相当于两端VPN网关之间对接的专属验证密码，配置前提是两端填写的密钥内容完全一致，且不要和公网可访问的其他服务密码复用，很多新手会忽略IKE阶段的生存时间配置差异，两端如果设置的第一阶段生存时间不匹配，会出现隧道刚建立不久就自动断开的异常问题。
隧道接口与路由引流
隧道接口是很多新型VPN网关里用来承载站点到站点VPN流量的虚拟逻辑接口，菜鸟加速器官网配置完成后相当于在两个内网之间架起了一条专属的虚拟链路，后续所有符合规则的跨站点流量都会从这个虚拟接口转发。
路由引流是保证内网流量能正确进入VPN隧道的核心配置动作，很多新手配置完所有VPN参数之后，忘记在本地内网的三层交换机上添加指向对端内网网段的静态路由，把下一跳指向VPN网关的隧道接口，结果内网用户的访问流量根本不会走到VPN协商流程里，自然无法实现跨站点的内网互通。
最后还要提醒入门用户一个常见的故障排查误区，很多人遇到隧道不通的情况，第一时间就去反复修改加密算法或者密钥参数，其实大部分入门级的站点到站点VPN故障，根源都是前面提到的对等体地址写错、加密域不匹配、路由没有正确引流这几类基础术语对应的配置项出错，先逐一核对这些基础配置，绝大多数入门级问题都能快速定位解决。
