IPsec VPN 的基础网络连通性要求
在部署 IPsec VPN 前，蘑菇首要前提是网关之间具备基础 IP 可达性。如果内网主机或网关无法通过 ICMP 或 TCP 请求探测到对端公网 IP，IPsec 协商阶段将无法启动。检查时应确认两端路由表中存在指向对方网络的有效路由，且本地防火墙未阻断 IP 协议号 50（ESP）或 UDP 协议 500 端口（用于 NAT 穿越的 IKE 协商）。这里需要区分：原生 ESP 流量使用 IP 协议号 50，而非 UDP 端口 50；若链路中间存在 NAT 设备，通常需要开启 UDP 端口 500 和 4500 的 NAT-T 支持以兼容封装。
部署 IPsec VPN 前，确保网关间的基础 IP 可达性与防火墙策略正确性。
隧道模式与传输模式的保护范围差异
理解 IPsec 的保护范围取决于其运行模式。传输模式下，IPsec 仅加密 IP 报文的负载部分，原始的 IP 头部保留在明文状态，主要用于保护特定主机之间的直接通信。而隧道模式则将整个原始 IP 数据包封装在外部 IP 头部内，再对内部包进行加密，常用于网关到网关的站点互联。由于保护范围不同，配置前需明确业务意图：若目标是站点间所有流量，必须使用隧道模式；若仅是特定应用层的流量保护，传输模式可能更轻量，但其路由策略需精确指定感兴趣流。
策略路由与感兴趣流的明确界定
IPsec VPN 并非自动加密所有流量，而是基于策略路由或感兴趣流（Selector）来匹配需要保护的源目地址和端口范围。在配置前提中，蘑菇VPN代理模式区别必须明确哪些网段参与加密。如果网关背后的路由未正确指向 VPN 接口，或者策略路由未生效，流量将绕过 IPsec 隧道直接通过明文网络传输，导致安全策略失效。检查时应观察路由表，确认默认路由或特定子网路由确实被重定向至 IPsec 接口，确保只有符合策略的数据包才会被封装进 ESP 载荷。
NAT 穿越能力的必要评估
当 IPsec 端点位于 NAT 设备后方时，标准的 IP 协议号 50 流量在经过 NAT 时会因地址转换失效而丢失，导致隧道建立失败。此时需评估是否启用 NAT 穿越机制，该机制会将 IPsec 流量封装在 UDP 包中（通常端口 4500），使其能顺利通过 NAT 网关。若网络环境允许两端使用静态公网 IP 且直连，则无需 NAT 穿越，配置更简单且性能损耗更低。在部署前，应检查两端设备是否具备 NAT-T 支持，并确认中间网络未过滤 UDP 4500 端口，否则即使配置正确，协商也会因中间设备阻断而失败。
