如何选择能够互通的站点到站点 VPN 网关

来自不同厂商的两台站点网关，只要各自实现就协商的参数达成一致，就能建立隧道。同一品牌不是必要条件，品牌一致也不构成保证。兼容性问题关乎功能与版本，容量问题关乎设备必须在软件中完成的工作。请按这个顺序把它们当作两项检查。

沿清单向下检查，在第一个没有答案的项目处停下。

从协议功能出发，而不是从品牌出发

对于你打算运行的协议，列出设计所需的内容：认证方式、商定的加密与完整性提案、接口或受保护流量的构造方式、路由模式，以及任意一侧是否位于 NAT 之后。每一项都是实现必须支持的功能，而不是产品页面上的勾选框。

AWS 的客户网关要求是有用的模板，即使你并不连接 AWS，因为它们把契约表述为一组协议与路由义务。针对特定型号的厂商示例文件，是有人测试过该组合的可靠证据。声称支持 IPsec 的笼统标签，既证明不了版本，也证明不了策略模型。请阅读发行说明，而不是营销摘要。

检查固件版本，而不是数据表上的标签

IKEv2 的互操作性由协商参数决定，因此问题在于当前固件提供并接受哪些提案。一台总体支持该协议的设备，仍可能拒绝你另一端坚持的特定组合。请在两侧确认版本字符串与提案列表。

某项功能在后续固件版本中才加入，这类说明足够常见，值得单列一条检查项。

把容量当作一个独立问题

加密要消耗算力，消耗多少既取决于实现，也取决于算法。某些加速路径只适用于特定算法或特定转发路径，因此设备在一种配置下很快，在另一种配置下很慢。普通 WAN 吞吐量不等于加密隧道吞吐量。请按你真正要保护的流量来选型设备。

数据包大小同样重要，因为封装和任何额外开销都会减少每个数据包承载的有效载荷。

明确决定路由策略

站点到站点并不意味着只有选定的流量可以使用隧道，也不意味着所有流量都必须。设计可以承载特定的私有前缀，也可以让默认路由经过网关。选定一种并写下来，因为两端必须就通告什么和接受什么达成一致。此处不一致会造成隧道在线而网络只有一半可达。

动态路由的设计还增加一项要求：两端都要支持路由协议。

购买前要比较什么

把更新节奏、互操作性证据、配置恢复和预期故障切换行为与峰值传输速率放在一起比较。询问设备带着过期配置重启时会发生什么。询问厂商是否会为你打算使用的确切对端发布互操作性清单。询问当固件更新改变默认提案时，变更由谁负责。

硬件保修回答不了其中任何一个问题。

然后在推广到整批设备之前先测试这一对。一条隧道、真实的提案、真实的路由模式，以及接近实际负载的传输，会比任何规格表告诉你更多。