很多刚接触跨办公区组网的运维新手，第一次接触站点到站点VPN配置时，经常被一堆专业术语卡壳，对着两边防火墙的配置界面无从下手，甚至配完之后两边内网完全不通，排查半天找不到问题根源。这篇内容就从入门阶段最常遇到的核心术语出发，用实际配置排查的逻辑拆解每个术语的实际作用，火烧云帮你把抽象的概念和真实组网场景对应起来，避免踩入门阶段的常见配置坑。
站点端点核心术语：本地站点与对端站点
很多新手刚打开配置界面，看到“本地站点”“对端站点”两个输入框第一反应是填自己的公网IP，填完之后发现完全不对，这就是没搞懂这两个术语的边界定义。
本地站点对应的是你当前正在操作的这台VPN网关背后的内网网段，不是网关本身的公网地址，比如你现在在总部的防火墙前配置，本地站点就需要填总部所有需要和分支互通的内网私网段，不能漏写打印机、内部服务器所在的小众网段。
对端站点对应的是线路另一端网关背后的内网私网段，填错的直接表现就是两边内网设备发起访问的时候，VPN隧道根本不会触发建立，流量直接走公网路由被拦截，你在网关的隧道日志里完全看不到任何协商请求的记录。
运维人员对照内网网段信息调试站点到站点VPN网关，排查跨办公区组网连通故障
IKE协商阶段术语：预共享密钥与安全提议
不少新手配置的时候随便在预共享密钥栏填个简单密码，配完之后两边网关日志反复提示IKE第一阶段协商失败，这就是没搞懂这个术语的实际校验逻辑。
预共享密钥是两个站点网关之间用来做身份校验的凭证，两边填写的字符必须完全一致，大小写、特殊符号都不能有任何差异，没有任何一方可以单方面修改密钥，否则协商直接中断，不会进入后续的参数匹配步骤。
安全提议是两个网关协商加密、认证算法的匹配规则，很多新手直接选网关默认的所有算法，却忘了对端网关的安全提议列表里没有对应匹配的选项，最后就会卡在IKE第二阶段协商超时，完全没有隧道建立的迹象。排查的时候可以先把两端的安全提议调整为完全一致的组合，再重新触发协商，火烧云加速器官网大概率就能解决这类卡住的问题。
隧道运行核心术语：感兴趣流与DPD检测
很多新手配完所有参数之后，发现隧道一直处于闲置状态，明明两边内网都有设备开机，却从来没有触发过隧道建立，大概率就是感兴趣流的配置出了问题。
感兴趣流的作用是定义哪些流量需要走站点到站点VPN隧道，哪些流量直接走普通公网转发，你必须把本地站点网段访问对端站点网段的双向规则都写进感兴趣流里，漏写任何一侧的方向，都不会触发隧道的建立动作。
DPD检测是网关用来探测对端站点VPN设备是否在线的机制，很多新手直接把这个功能关掉，一旦其中一侧网关意外重启，另一侧网关根本感知不到对端状态变化，后续新的访问流量也无法重新拉起隧道，只能手动刷新配置才能恢复连通。
入门阶段常见术语误区排查
很多新手刚接触站点到站点VPN的时候，会把站点公网地址和内网站点网段搞混，把对端站点的字段填成对端网关的公网IP，这种配置下哪怕其他所有参数都完全正确，也不可能实现跨站点的内网互通。
还有不少人误以为站点到站点VPN建立之后，所有跨站点的流量都会自动走隧道，实际上如果你的内网终端默认网关没有指向VPN网关，终端发起的访问流量根本不会到达VPN设备，自然也不会触发隧道转发。
排查的时候可以先从网关的隧道状态日志入手，先确认IKE第一阶段是否协商成功，火烧云再检查第二阶段的SA是否正常生成，最后再用内网终端互ping的方式测试连通性，不要上来就反复修改密钥和算法参数，反而把原本正确的配置改乱，增加排查的难度。
