理解VPN数据封装的关键，在于看清原始数据包如何被“套上外壳”并在不同网络层间传递。以IPsec为例，它工作在IP层，通过安全载荷（ESP）或认证头（AH）将原始IP数据报封装进新的IP包中。对于用户而言，核心区别在于封装位置决定了哪些数据被保护，以及中间路由器是否需要解析外层协议。这不是简单的加密替换，暴喵而是改变了数据在互联网中的存在形态。
数据在网关处被封装进新的IP头部，中间网络只能看到外层包裹，从而隐藏了内部网络拓扑。
传输模式与隧道模式的封装差异
传输模式仅加密IP载荷，保留原始IP头。它适用于端到端主机通信，中间路由器只需转发，无需解密。这种模式保护范围有限，不隐藏源目IP地址。配置时通常需明确指定是保护主机间通信还是网关间通信，避免混淆。
隧道模式：隐藏内网拓扑的封装
隧道模式将整个原始IP包作为载荷，暴喵加速器常见问题解答封装进新的IP头中，新头使用网关IP。中间网络只能看到外网IP，无法感知内网结构。这是企业VPN站点间互联的常用方式。理解这一点有助于排查：若内网主机直连测试失败，需确认是否误用了隧道模式网关IP而非真实内网IP。
ESP协议号50的识别与封装
原生IPsec ESP使用IP协议号50，而非UDP端口50。在流量观察中，若看到协议号为50的数据包，即可能是IPsec ESP载荷。注意区分NAT-Traversal（UDP 4500）场景，那是为了穿越NAT设备而额外封装的UDP包，并非ESP本身。混淆端口与协议号会导致误判网络策略拦截原因。
检查封装生效的只读方法
在受支持的系统上，可通过命令行查看IPsec安全关联（SA）状态，暴喵加速器常见问题解答确认隧道是否建立及模式是否正确。例如Linux下可查询`xfrm`策略与SA状态，Windows可检查IPsec安全关联数据库。这些命令属于只读操作，不修改路由或驱动。若SA显示为“传输”而预期为“隧道”，则说明封装层级错误，需核对两端网关配置，而非仅调整客户端设置。
