VPN 网关是什么
VPN 网关通过 IPsec 隧道把 VPC 与本地机房或其他云私网打通，流量走公网加密传输。成本远低于专线、开通也快，但稳定性与延迟不如专线，适合中小带宽互联、临时过渡以及灾备链路。
基本信息
| 组成 | VPN 网关、对端用户网关、IPsec 连接、路由条目 |
|---|---|
| 带宽 | 按规格档位购买，小规格便宜但吞吐有限 |
| 对比专线 | 成本低、开通快，稳定与延迟不如专线 |
| 三厂名称 | 各家都叫 VPN 网关或 VPN 连接，能力一致 |
| 协商参数 | IKE 版本、加密算法、预共享密钥两端必须一致 |
| 排查顺序 | 先看隧道状态，再看路由与安全组 |
常见故障与定位
| 现象 | 优先检查 | 说明 |
|---|---|---|
| 第一阶段协商失败 | IKE 版本、算法、预共享密钥 | 两端参数必须完全一致 |
| 隧道建起但业务不通 | 路由条目与安全组 | 常见是路由没加或网段未放行 |
| 大包丢失、小包通畅 | MTU 与分片设置 | 需要调整 MTU 或允许分片 |
| 隧道频繁重连 | 公网质量与探测配置 | 检查链路丢包与探测参数 |
隧道连通性检查
隧道连通性检查
# 本地侧（以开源实现为例）
ipsec statusall # 看隧道与协商状态
ping -M do -s 1400 10.0.0.10 # 探测 MTU 与分片
ip xfrm state | head # 查看已建立的安全联盟典型使用场景
- 本地机房与云上 VPC 小带宽互通，专线成本不划算
- 专线开通前的过渡方案，先跑业务再切专线
- 灾备链路：主用专线、备用 VPN
- 临时把开发或测试环境接进云上内网
两端的 IKE 版本、加密算法与预共享密钥必须完全一致，否则第一阶段就协商失败；参数先对齐，再排查其他环节。
隧道建起来不代表业务通：路由条目、安全组与网段规划是三个独立检查项，缺一个就会出现隧道正常但流量不通。
MTU 不匹配会造成小包通、大包丢的诡异现象：传输文件或大响应卡死而 ping 正常，优先怀疑 MTU 与分片。