站点到站点VPN（Site-to-Site VPN）的核心任务是让两个不同物理地点的局域网内设备，像在同一局域网内那样直接通信，而无需人工暴露公网IP。数据帧在这一过程中经历“加密传输”与“解密还原”两个关键阶段：网关设备将原始IP数据帧封装进IPsec隧道，通过公网安全送达对端；对端网关解开封装，恢复原始帧供本地网络使用。用户真正关心的是“我的业务流量能否稳定、自动地在两站点间流动”，轻蜂APP下载而非底层每一个比特的变动。
数据帧的封装与传输路径
当站点A的主机向站点B的主机发送数据包时，数据包首先抵达站点A的VPN网关。网关依据配置的策略（如静态路由、BGP或OSPF同步的路由）判断该目标属于受保护的远程网络，于是将原始IP数据帧作为载荷，封装进IPsec安全关联（SA）中。封装过程会增加IPsec头（如ESP或AH协议号）并执行加密与完整性校验。此时，外层源IP和目的IP变为两个VPN网关的公网接口地址，原始帧的源目IP被隐藏在载荷内。数据帧随后经由公网链路传输至站点B的网关。
两地网关间的数据流量经由 IPsec 隧道加密传输，确保端到端的安全互联。
对端解密与本地交付
站点B的VPN网关接收到封装后的数据帧后，首先校验IPsec头与完整性校验值，确认数据未被篡改且来源可信。随后，网关使用预共享密钥或证书派生的会话密钥解密载荷，提取出原始IP数据帧。该原始帧被交给站点B的内部交换网络或三层路由模块，根据本地路由表转发至目标主机。整个解密与交付过程在网关设备上完成，轻蜂APP下载对端主机无需知道VPN的存在，也无需配置任何VPN参数，这正是站点到站点架构相较于客户端VPN的核心优势。
双向策略与可达路径的同步
确保流量顺利往返的关键在于双向的流量策略与可达路径一致性。如果仅站点A将站点B网段纳入VPN保护，轻蜂vpn而站点B未做反向配置，则从B到A的回程流量可能走默认公网路由，导致IPsec隧道无法匹配SA，从而丢弃报文。因此，两个站点必须建立对称的隧道策略，且各自内部路由需能到达对端网段。若使用动态路由协议（如BGP或OSPF）在网关间同步路由，需特别注意路由通告范围与策略交互：并非所有站点VPN部署都依赖动态路由，静态路由或策略路由即可满足需求；只有当网络规模扩大、站点数量增多或需要自动收敛时，才引入动态路由并明确其同步边界。
适用边界与观察方法
在排查此类问题时，应优先采用只读检查手段。可通过网关控制台查看IPsec隧道状态、活跃SA数量及最近通信时间，确认隧道是否建立且双向活跃。同时，检查网关路由表，验证是否将远程网段指向IPsec接口或隧道接口，而非默认路由。对于使用动态路由的场景，需额外确认协议邻居状态及学到的远程路由是否存在。若隧道状态正常但业务不通，轻蜂vpn应进一步检查ACL或安全组是否阻断了加密后的报文，或内部防火墙是否限制了原始载荷的进出。
