站点到站点VPN的核心作用，是把不同地理位置的办公站点、数据中心的内部网络打通，让两边站点里的终端不需要单独安装VPN客户端，就能像处在同一个局域网内一样互访资源。很多部署和使用的人员，很容易基于个人使用远程客户端VPN的经验，对这类站点级的互联方案产生不少想当然的错误认知，反而导致部署后故障频发找不到根因。
运维人员调试站点间VPN网关路由，排查跨站点内网访问异常问题
误解一：只要两端VPN隧道协商成功，所有内网流量就自动能互访
隧道本身只是在两个VPN网关之间建立了一条加密的传输通道，火种本身不会自动同步两边站点的内网路由，也不会默认放行所有跨网段的访问请求。
你需要在两端网关分别配置指向对端内网网段的路由，火种同时两边站点的内网防火墙、访问控制列表，也要放通跨站点的访问权限，缺省状态下多数安全设备都会默认拒绝陌生网段的跨站访问。
误解二：站点到站点VPN可以完全替代专线实现任意流量转发
不少企业部署完站点VPN之后，打算把所有跨站的业务流量都走加密隧道，忽略了它本身依托公网传输的基础属性。公网的延迟、VPN加速器丢包、带宽波动都不受企业自身控制，对延迟敏感的语音视频、大文件批量同步业务，很容易出现卡顿或者传输失败的问题。
站点VPN的核心定位是承载跨站点的日常办公、非核心业务互访，VPN加速器如果你需要稳定的低时延、高SLA保障的传输，还是需要搭配专线或者专用传输链路使用，不能直接把它当成专线的平替。
误解三：必须配置动态路由才能让多网段场景正常运行
很多部署教程里会搭配BGP、OSPF这类动态路由协议来讲站点VPN的配置，不少人就误以为所有多网段的站点互联场景，都必须配置动态路由才能跑通。实际上动态路由只是用来自动同步网段更新的可选方案，不是站点VPN的强制要求。
如果你的站点内网网段数量不多，后续调整也不频繁，直接在两端VPN网关手动添加静态路由指向对端网段，完全可以稳定运行，配置逻辑更简单，出问题排查的路径也更短。只有当站点内网网段经常变动、节点数量较多的时候，动态路由的优势才会体现出来。
误解四：建好隧道就等于所有跨站流量都会自动加密
不少人觉得只要两个站点之间建好了VPN隧道，两边终端互访的流量就肯定全程加密，不会在公网上裸奔。实际上大部分站点VPN都需要手动配置感兴趣流的匹配规则，只有符合规则的源目网段流量，才会被放进隧道加密转发。
如果规则配置的时候漏写了部分网段，或者终端的默认路由指向了本地网关直接走公网，对应的跨站访问流量就会直接从公网裸传，根本不会进入加密隧道。你可以在两端网关的流量统计页面，查看对应跨站访问的流量是否命中了隧道转发规则，用这种只读操作就能快速验证配置是否符合预期。
