验收要验什么
隧道建立起来只是最低门槛，交付验收要回答四个问题：业务能不能通、性能达不达标、故障能不能自动恢复、运行状态是否可观测。连通性验证不能只 ping，要覆盖双向、真实业务端口与多网段；性能验证要用打流工具测试实际吞吐、丢包与抖动，并与链路带宽做对比；健壮性验证要主动制造故障——断开主链路或重启隧道，看是否能自动恢复以及恢复需要多久；最后把 SA 生存期、重协商日志、CPU 占用等运行指标记录下来，形成可追溯的验收材料。清单化的好处是结果可复核，后期出现争议时有共同依据。
基本信息
| 连通性 | 双向 ping、业务端口探测、多网段逐段验证 |
|---|---|
| 性能 | 打流测试吞吐、丢包率与时延抖动 |
| 健壮性 | 重启隧道、断开主链路，验证自动恢复 |
| 状态记录 | SA 生存期、重协商日志、CPU 与内存占用 |
| 参数核对 | 两端算法、身份、生存期与流量选择符一致 |
| 留档 | 命令输出与测试时间一并归档 |
典型使用场景
- 新建隧道交付：按清单逐项验证并出具记录
- 改造或升级后回归：用同一清单确认能力未退化
- 跨厂商联调完成：确认双方向与多网段均可达
- 容量上线前评估：确认吞吐满足业务峰值需求
- 故障复盘：用验收数据对比故障时的实际表现
验收命令示例
验收命令示例
# 1. 双向打流测试吞吐与丢包
iperf3 -c 10.2.2.10 -t 60
iperf3 -c 10.2.2.10 -u -b 50M -t 60
# 2. 观察 SA 状态与计数
show crypto ipsec sa | include remaining|pkts
# 3. 故障演练：断开主链路后观察恢复
show ip route 10.2.2.0
show crypto ipsec sa | include status
# 4. 记录控制面占用
show processes cpu sorted | include Crypto|IPsec验收清单
| 项目 | 验证方法 | 通过标准 |
|---|---|---|
| 双向连通 | 两端互相 ping 与业务探测 | 双向无丢包 |
| 多网段 | 逐个网段验证 | 全部网段可达 |
| 吞吐 | 打流测试 | 达到设计与合同要求 |
| 抖动与丢包 | UDP 打流观察统计 | 在业务容忍范围内 |
| 故障恢复 | 断开链路后观察 | 按设计时间自动恢复 |
| 状态留档 | 记录 SA 与资源占用 | 数据完整可追溯 |
性能测试要贴近业务特征：小包比例高的场景与大包打流结果差异明显，按业务实际流量模型选择测试参数。
故障演练最好在业务低峰进行，并提前准备好回退手段；演练本身也是验证备份路径可用性的机会。