策略型与路由型 VPN 是什么
IPsec 连接有两种组织方式。策略型（Policy-based）按「感兴趣流」逐条匹配：一条隧道的两端要写清源网段与目的网段，网段一多，条目数量就成倍增长，加错漏加是常态。路由型（Route-based）把隧道与网段解耦：隧道只管把两个网关连起来，具体哪些流量走隧道由路由表决定，配合服务端网段配置即可覆盖大段地址。它的好处是配置集中、变更时改动面小。
基本信息
| 策略型 | 按感兴趣流逐条匹配，网段多时条目爆炸 |
|---|---|
| 路由型 | 隧道建立后用路由引导流量，配置更集中 |
| 路由指向 | 下一跳通常指向 VPN 网关或逻辑网关设备 |
| 支持范围 | 不同产品对两种模式的支持与限制不同，以文档为准 |
| 适用场景 | 多网段、频繁变更、需要与 BGP 配合的混合云 |
| 核对动作 | 路由表条目、隧道状态、双方网段配置三者一致 |
典型使用场景
- IDC 侧有大量子网，逐条写感兴趣流不现实
- 新增网段频繁，希望只改路由不改隧道参数
- 与云上做 BGP 动态路由，需要路由型隧道承载
- 多连接并存时统一按路由优先级选路
- 迁移过渡期网段范围不断调整的场景
两种模式对比
| 维度 | 策略型 VPN | 路由型 VPN |
|---|---|---|
| 流量选择 | 由感兴趣流决定 | 由路由表决定 |
| 网段变更 | 需改感兴趣流，两端同步 | 改路由与网段配置即可 |
| 条目数量 | 随网段数增长 | 与网段数解耦 |
| 与 BGP 配合 | 通常不支持或受限 | 支持，可动态交换路由 |
| 排障入口 | 感兴趣流与协商状态 | 路由表与隧道状态 |
核对路由是否指向 VPN
核对路由是否指向 VPN
# 云侧：查看路由表条目与下一跳
# aliyun vpc DescribeRouteEntryList --RegionId cn-hangzhou --RouteTableId vtb-xxxx
# 本地侧：路由表里是否有指向隧道的条目
ip route show | grep -E '<对端网段>|tun|ipsec'
ping -c 4 10.20.0.10 # 按网段逐个验证可达性
ip route get 10.20.0.10 # 确认选中的出接口是隧道接口路由型 VPN 的下一条通常指向 VPN 网关或逻辑网关设备，字段名称以所用产品文档为准。核对时把「路由条目、隧道状态、双方网段配置」三项一起看，只查其中一项很容易得出错误结论。
不要把两种模式混用在同一条隧道上：一端按策略匹配、另一端按路由选路，会出现协商正常但流量单向不通的疑难故障，排障时间往往很长。