感兴趣流是什么
感兴趣流（部分产品叫 SPD）定义哪些流量进入 VPN 隧道：本端网段与对端网段成对配置，必须与两端真实存在的子网匹配。它就像一个准入名单，名单里的网段才会被加密封装进隧道，名单外的流量走正常路由。因此配置过窄会表现为「部分网段不通」，过宽则会把不该走隧道的流量也吸进隧道，带来性能与安全上的额外影响。
基本信息
| 本端网段 | 云端侧允许进入隧道的网段，通常为 VPC 子网 |
|---|---|
| 对端网段 | IDC 侧需要互通的网段 |
| 镜像匹配 | 两端的本端与对端配置需成对对应 |
| 影响 | 不匹配的流量不进入隧道，表现为不通 |
典型使用场景
- 云上 VPC 与本地 IDC 互通，明确哪些子网走隧道
- 新扩子网接入：扩网后两端同步更新感兴趣流
- 多网段互通：一次配置多个本端与对端网段以覆盖全部业务
- 排障对比：网段清单不同步时，表现为部分通、部分不通
配置示意
配置示意
本端网段：172.16.1.0/24, 172.16.2.0/24
对端网段：192.168.10.0/24, 192.168.20.0/24
新增任一子网后，两端都要同步更新
验证：从两端各挑一台主机互 ping 并测试业务端口现象与原因
| 现象 | 可能原因 |
|---|---|
| 部分网段不通 | 感兴趣流未覆盖该网段 |
| 全部不通 | 两端网段未成对匹配 |
| 无关流量被加密 | 网段写成超网，覆盖范围过大 |
| 新增子网后不通 | 只更新了一端配置 |
新增子网后忘记更新感兴趣流，典型症状是「部分网段不通」而不是全断——排查时先核对网段清单。
网段清单要有人维护
感兴趣流的问题几乎都源于同一件事：两端各自维护的网段清单不同步。建议把它纳入网络变更流程——任何一次子网新增或网段调整，都同时检查 VPN 两侧的感兴趣流配置，并在变更记录里写明更新了哪一端。定期用两台主机的连通性检测做核对，比等到业务报障再排查更划算；排查时也建议先从「本端与对端网段是否成对」入手，再去看路由与安全策略，能省掉大量时间。