很多企业运维人员在配置IPsec VPN的时候，经常遇到协商卡住、连接反复断连、内网流量不通等问题，大多是因为没有理清IPsec VPN连接建立的完整逻辑，只会对照教程抄配置，一旦遇到特殊场景就无从下手。本文从配置前提、协商流程、运行机制到故障排查全链路拆解IPsec VPN连接建立过程，帮你彻底搞懂背后的实现原理，避开常见的配置误区。
IPsec VPN连接建立前的前置配置校验
在正式发起协商之前，首先要确认两端网关的基础配置满足最低要求，至少一端拥有可被公网路由的固定IP或者解析正常的域名，两端配置的预共享密钥或者CA签发的身份证书完全一致，两端声明的本地内网网段和对端内网网段没有出现地址重叠的情况，这些基础条件任意一项不满足，后续的协商流程从根源上就不可能跑通。
配置完成后不要直接发起协商，先做基础连通性校验，在两端内网的网关上分别ping对端的公网接口地址，确认公网路由可达，同时检查两端出口防火墙的访问控制规则，确保UDP500端口、UDP4500端口以及ESP协议没有被拦截，不少企业默认开启的入侵防御规则会误拦截IPsec协商报文，提前排查这类问题能省去后续大量无效调试时间。
运维人员正在对IPsec VPN两端网关做前置配置校验，排查基础连通性问题
IKE第一阶段协商过程
IPsec VPN连接建立过程的第一步就是IKE第一阶段协商，这个阶段的核心目标是在两端之间搭建一条加密的安全控制通道，避免后续的协商敏感信息直接在公网明文传输。两端会先交换各自支持的加密算法、哈希算法、身份认证模式、DH密钥组等参数，找到两端完全一致的匹配项之后，通过DH算法交换生成临时的共享密钥材料，后续所有的协商报文都会基于这个材料做加密和完整性校验。
很多新手容易混淆主模式和野蛮模式的适用场景，主模式需要交互6个报文完成协商，身份认证信息全程加密传输，安全性更高，适合两端都有固定公网IP的站点使用；野蛮模式只需要交互3个报文就能完成第一阶段协商，但身份信息是明文传输的，仅适合一端为动态公网IP的分支站点使用，不要为了加快协商速度全场景启用野蛮模式，否则会把VPN站点的身份信息直接暴露在公网，大幅提升被暴力破解的风险。
IKE第二阶段IPsec SA生成过程
第一阶段的IKE SA成功建立之后，就进入IPsec VPN连接建立的核心环节，两端会基于已经加密的控制通道，协商生成用于加密用户业务流量的IPsec安全联盟。这个阶段两端会同步IPsec协议使用的加密套件、封装模式、感兴趣流匹配规则，所有参数匹配完成之后，会生成两个独立的单方向SA，一个负责处理入站流量的解密校验，一个负责处理出站流量的加密封装。
这里有一个非常普遍的配置误区，不少运维人员以为第二阶段使用的加密算法必须和第一阶段保持一致，实际上两个阶段的安全参数是完全独立的，可以根据安全需求设置不同的加密套件。唯一必须严格匹配的是两端的感兴趣流规则，两端的感兴趣流必须是完全镜像的互指关系，比如本端定义的是本地192.168.1.0/24网段访问对端10.0.0.0/24网段，对端就必须定义本地10.0.0.0/24网段访问对端192.168.1.0/24网段，哪怕子网掩码位数差一位，都无法生成正常可转发流量的IPsec SA。
连接建立后的流量封装与生命周期维护
双向IPsec SA生成之后，国外免费梯子IPsec VPN就正式进入可用状态，两端网关会抓取所有匹配感兴趣流规则的内网流量，在原始IP报文之外封装ESP协议头和新的公网IP头，再转发到公网传输，对端网关收到报文之后会先校验报文的完整性，确认没有被篡改之后解密还原出原始的内网报文，再转发到对应的内网网段，所有没有匹配到合法SA的流量都会直接被网关丢弃，不会出现明文泄露的情况。
所有的IKE SA和IPsec SA都自带生命周期机制，到期之前两端设备会自动发起重协商流程，不需要人工干预，不少运维遇到的VPN定期短时间断连的现象，大多是重协商过程中两端参数同步延迟导致的，不需要直接手动把SA生命周期设置到最大，优先检查两端网关的会话表老化时间是否配置一致，就能解决大部分这类问题。
常见连接故障的定位思路
如果IPsec VPN连接一直无法成功建立，ProtonVPN官网优先查看设备输出的协商日志，根据日志提示的卡住阶段定位问题：如果协商流程卡在第一阶段，优先排查两端的IKE参数、预共享密钥、公网端口连通性是否正常；如果协商流程卡在第二阶段，直接核对两端的感兴趣流规则、IPsec安全参数是否匹配，超过九成的常规故障都能通过这个思路快速定位。
最后要注意不要随意关闭NAT穿越功能，只要IPsec VPN两端的中间网络存在NAT设备，就必须开启NAT穿越开关，把ESP协议报文封装到UDP4500端口的报文中传输，否则哪怕协商流程全部走完，两端也无法正常转发加密后的业务流量，很多新手容易忽略这个配置项，反复调试很久都找不到流量不通的根本原因。
