不少刚接触企业跨网点组网的入门运维人员，第一次配置站点到站点VPN时，经常会被满页的专业术语卡住，很多技术教程直接跳过术语的实际含义讲解，直接罗列参数配置步骤，稍有疏忽就会出现隧道建不起来、内网业务互访失败的问题。本文就把站点到站点VPN入门阶段最常接触的专业术语结合实际配置场景做通俗拆解，帮大家理清每个参数的实际作用，避开入门阶段的常见配置误区。
站点端点与加密域：配置前必须理清的两个基础概念
站点端点指的就是你需要打通隧道的两个站点的VPN网关设备，也就是承载VPN加密协商功能的出口设备，绝大多数场景下都是企业的边界防火墙或者专用VPN路由器。很多新手入门时的第一个误区，就是误以为随便找个站点内的普通内网设备就能当端点发起VPN连接，实际上站点到站点VPN的端点必须绑定有可被公网路由的地址，才能让两端的网关直接通过公网完成握手协商。
加密域是很多入门教程不会特意解释清楚的核心术语，它的实际作用是划定哪些内网网段的流量需要走这条VPN加密隧道传输，其余不在加密域范围内的流量还是走各自站点原本的公网出口上网。比如总部的办公网段和分支的生产服务器网段需要互访走隧道，迅捷员工日常刷网页的流量不需要走隧道，就可以通过加密域做精准的流量分流。
关于加密域的常见配置误区，是很多新手会把两端的加密域设置成完全相同的规则，实际上正确的配置逻辑是两端的加密域互为镜像，总部侧配置“本端内网网段-对端内网网段”的映射，分支侧配置“本端内网网段-对端内网网段”的反向映射，哪怕隧道协商成功，只要加密域的映射关系不对，业务流量也无法正常传输。
清晰的跨站点VPN组网示意，帮助入门运维快速理解站点端点与加密域的核心配置逻辑
IKE协商阶段：隧道建立核心流程的相关术语
IKE也就是互联网密钥交换协议，是站点到站点VPN用来自动协商加密参数、同步密钥的标准化流程，入门阶段大家常听到的IKE一阶段、二阶段，本质上就是两次不同目的的握手过程。一阶段的核心作用是让两端的VPN网关先互相验证身份，共同协商出一套双方都认可的加密、校验算法，搭建出一个安全的加密通道，用来保护后续的密钥交换过程不被篡改。
预共享密钥是入门配置里最常用的身份验证方式，不需要额外部署证书服务器，只需要两端配置完全一致的字符串作为身份校验凭证。很多新手配置时要么设置过于简单的弱密钥，要么输入时多打了空格、错了字符，迅捷加速器直接导致IKE一阶段协商失败，排查故障时最先核对的参数就应该是预共享密钥的内容。
主模式和野蛮模式是IKE一阶段的两种协商模式，很多入门用户搞不清两者的适用场景。如果两端的VPN端点都有固定的公网IP地址，优先选择主模式完成协商，整个交互过程的身份信息都是加密传输的，安全性更高；只有当其中一端的VPN网关没有固定公网IP，只能通过动态地址接入时，才需要用到野蛮模式，不要随意在固定公网IP的场景下开启野蛮模式，会降低整个隧道的加密安全性。
隧道状态校验相关术语：快速定位故障的核心标识
安全联盟也就是SA，是很多新手容易混淆的术语，不少人配置完参数看到设备上显示IKE SA已建立，就以为隧道已经完全通了，结果内网设备互访还是失败。实际上IKE SA只是一阶段协商生成的控制通道，用来后续交换密钥用的，只有二阶段协商生成的IPSec SA也显示正常激活，才是真正的业务数据传输隧道搭建完成。
DPD检测也就是对等体存活检测，这个功能的作用是定期自动检查对端的VPN网关是否还处于在线状态。很多入门用户配置时嫌麻烦直接关掉DPD检测，一旦其中某一端的公网网络出现过中断后恢复，两端的SA状态就会出现不同步的问题，哪怕物理网络已经恢复正常，之前的僵死SA也不会自动更新，隧道会一直处于断连状态，开启DPD检测就可以自动识别失效的SA，触发新的协商流程。
感兴趣流是很多人碰到的“配置完所有参数隧道却一直没起来”的核心原因，站点到站点VPN默认不会主动发起协商，只有当属于加密域范围内的内网互访流量从本地网关发出来的时候，也就是触发了感兴趣流，迅捷加速器设备才会主动发起隧道协商请求。碰到隧道迟迟不建立的情况，可以尝试从本地内网的设备ping对端加密域内的内网地址，触发感兴趣流之后隧道就会自动完成后续的协商流程。
