路由器缺少 VPN 模块？检查四个能力层面

启动信息报告缺少 VPN 模块，而采购清单从一张新卡开始。那只是四个能力问题之一，而且不一定是失败的那个。机箱可能有内置加密，许可功能可能未激活，产品变体也可能完全不支持载荷加密就出售。在任何人批准采购之前，请按顺序逐层排查。

第 1 层：硬件清单

在再次阅读错误之前，先读清单。清单列出机箱、已安装模块及其部件号，这正是与平台支持的插槽和部件进行比对所需的信息。缺失的模块和存在但故障的模块会产生不同的提示和不同的修复方式。

show inventory
show module

记下部件号，并与确切型号的文档核对。从未订购过的可选服务模块属于正常配置，不是故障，启动信息可能只是在报告它不存在。已列出但无法识别的模块属于硬件或安装问题，那是另一张工单。在能说清属于这两种情况中的哪一种之前，不要订购替换件。

如果清单显示有受支持的模块而软件拒绝使用它，请停下。那是兼容性问题，新硬件回答不了。

第 2 层：平台的其他加密路径

许多路由器无需可选模块也能提供加密，或在主板的专用硬件中，或在 CPU 的软件中。询问平台使用哪个引擎，而不是从模块列表推断。答案会说明引擎以及它是硬件还是软件，而这正是启动信息没有给你的信息。

show crypto engine configuration
show crypto engine brief

软件引擎仍然可以终止 VPN，只是留给其他工作的周期更少。这一区别对容量规划有意义，而对功能是否存在没有意义。如果引擎输出显示引擎处于活动状态，那么缺失的模块就不是隧道失败的原因，调查应转向配置和许可。读输出时要看引擎状态和分配的算法，而不只是看名称。

把能力结论与性能结论分开。引擎告诉你什么能运行，只有负载测试才能告诉你什么运行得好。

第 3 层：软件镜像与功能激活

功能可能存在于镜像中，但没有许可证或激活密钥就不会生效。检查设备认为自己获得了哪方面的许可，然后与配置试图使用的功能进行比对。这两份清单之间的差距才是真正的结论。

show license
show version | include license

在较旧的平台上，同样的信息位于另一条命令之后，所以请使用你的版本所记录的命令，而不是照抄更新版指南中的命令。管理加密的许可证不是 VPN 载荷加密的许可证，把二者当作可以互换会导致买完仍解决不了问题。按设备打印的原样记录功能名称。供应商许可团队要的正是这个字符串。

如果所需功能不在许可清单中，请停下。那是关于授权的对话，不是配置更改。

第 4 层：产品变体，管理加密不等于载荷加密

有些设备出厂时采用一种变体，故意禁用 VPN 载荷加密，同时保留管理访问加密，Cisco 的许可文档描述了 ASA 9.8 系列的这一限制。在这些设备上，HTTPS 管理页面和 SSH 会话都能工作，这正是人们断定加密没问题的原因。限制存在于产品变体中，而不在模块列表或许可页面上。把版本输出中的 SKU 和平台字符串与供应商对该变体的描述进行核对。

show version
show running-config | include crypto

如果设备是不支持载荷加密的变体，任何固件下载和任何管理许可证都无法解除该限制。受支持的纠正方式是换一台设备或采用供应商批准的变更，这个决定属于采购负责人。在任何获批的维护之前，请保留运行配置和管理路径。

当你能够说出四层中哪一层失败、什么证据确认了它，以及供应商针对该确切组合支持哪种变更时，运行手册就结束了。能力不等于吞吐量，能用的管理页面也不等于能用的 VPN。