站点到站点 VPN 是什么
站点到站点 IPsec VPN 通过公网在两个网关之间建立加密隧道，把本地机房的网段与 VPC 私网打通。开通快、成本可控，是混合云最常见的起步方案；代价是链路质量受公网波动影响。典型组成是云端 VPN 网关、对端的用户网关（登记对端公网 IP），以及描述两端网段与加密参数的 IPsec 连接。
基本信息
| 云端组件 | VPN 网关：隧道端点与带宽载体 |
|---|---|
| 对端组件 | 用户网关/对端网关：登记对端公网 IP 与标识 |
| 连接 | IPsec 连接：IKE 与 IPsec 参数 + 两端网段（感兴趣流） |
| 流量走向 | 匹配感兴趣流的流量走隧道，其余仍走公网 |
| 路由方式 | 静态路由或 BGP 动态路由（视产品与对端设备能力） |
| 成本与周期 | 按网关规格与带宽计费，开通通常当天可完成 |
典型使用场景
- 本地机房与云上 VPC 需要互访，但带宽需求不大、预算有限
- 作为专线的备份链路：专线中断时由 VPN 承接关键流量
- 项目初期快速打通云上云下，验证方案后再决定是否上专线
- 跨地域两个 VPC 需要互通但不需要长期大带宽
- 为运维人员提供从机房到云上的管理通道
查看 VPN 网关与连接
查看 VPN 网关与连接
aliyun vpc DescribeVpnGateways --RegionId cn-hangzhou
aliyun vpc DescribeVpnConnections --RegionId cn-hangzhou
tccli vpc DescribeVpnGateways --Region ap-guangzhou
# 重点核对：两端网段（感兴趣流）、隧道状态、IKE 与 IPsec 参数是否一致常见故障与对策
| 现象 | 原因与对策 |
|---|---|
| 隧道建立不起来 | 两端 IKE/IPsec 参数不一致，逐项对齐加密算法与密钥 |
| 隧道通但部分子网不通 | 感兴趣流网段未覆盖这些子网，需两端同时追加 |
| 时通时断 | 公网链路抖动或对端设备会话老化，检查重协商与保活配置 |
| 延迟明显高于预期 | 公网路径绕行，评估专线或增加链路冗余 |
隧道建立在公网之上，时延抖动取决于中间链路质量；对稳定性敏感的核心业务建议考虑专线，或采用专线加 VPN 的双线结构。
VPN 网关的带宽规格通常不是保障带宽，高峰期实际吞吐可能低于标称值，容量规划时不要按规格值满打满算。