隧道通了业务不通
IPsec 的 SA 显示正常，只说明密钥协商成功，数据面能不能通是另一回事。业务不通通常出在四类地方：感兴趣流网段两端不对应、路由没有指向隧道、安全组或防火墙拦截了业务端口、两端网段重叠。排查按「隧道、策略、路由、安全」逐层核对，每层都要有明确结论再往下走。
基本信息
| 感兴趣流 | 两端本端与对端网段要镜像对应 |
|---|---|
| 路由 | VPC 路由表与 IDC 设备都要有指向隧道的条目 |
| 安全 | 安全组与防火墙放行互通网段与业务端口 |
| 隐藏项 | 两端网段重叠会导致流量不按预期走隧道 |
| 验证点 | 从两端分别发起 ping 与端口探测 |
排查步骤
- 确认云侧与设备侧 SA 状态都是 UP
- 核对感兴趣流两侧网段是否镜像一致
- 检查 VPC 路由表是否有条目指向 VPN 网关
- 检查 IDC 侧回程路由是否指向隧道接口
- 确认安全组、防火墙放行互通网段与业务端口
- 排除两端网段重叠这一隐性因素
排查顺序示意
排查顺序示意
1) 云侧 SA 状态：UP
2) 感兴趣流两侧网段是否镜像一致
3) VPC 路由表是否有条目指向 VPN 网关
4) IDC 回程路由是否指向隧道接口
5) 安全组与防火墙是否放行目标端口
6) 从两端分别发起 ping 与端口探测验证现象与原因
| 现象 | 常见原因 | 验证方式 |
|---|---|---|
| 单向不通 | 一侧缺少回程路由 | 对比两侧路由表 |
| 偶发不通 | 两端网段重叠或路由抢占 | 核对网段表与优先级 |
| ping 通端口不通 | 业务端口未放行 | 对目标端口做探测 |
| 全部不通 | 感兴趣流不匹配 | 对比两侧策略网段 |
两端网段重叠（例如都使用 192.168.0.0/16）时，流量会静默走错路径或直接被丢弃，属于高频隐性因素，排查时应优先排除。
只放行 ICMP 不代表业务可用：ICMP 走通而 TCP 端口被拦的场景十分常见，验证时要针对真实业务端口。