用户常将VPN理解为一层“加密外壳”，其实核心机制是隧道封装。它通过在网络层数据包外层添加特定头部，构建虚拟点对点通道，使中间网络设备只需识别外层地址进行转发。这种设计将数据包的源与目的地址替换为隧道端点，改变了路由行为。理解这一边界，有助于区分协议差异与配置范围，避免误判流量流向或性能瓶颈所在。
从路由视角看封装差异
传统明文传输中，数据包携带真实源与目的IP，路由器依据目的地址查表转发。VPN隧道封装后，外层封装头通常使用隧道端点的IP地址。路由器仅识别外层地址，将数据包作为普通IP包发往对端VPN服务器。服务器解封装后，才看到内层真实地址并据此转发至内部网络。这种“套娃”结构屏蔽了内部网络细节，实现了逻辑隔离。
数据包在虚拟隧道中的层叠封装过程，外层头部替代真实地址以指导路由转发。
不同协议封装层级不同。例如IPsec ESP原生使用IP协议号50，直接在IP层操作；而OpenVPN或WireGuard常运行在UDP上，封装在传输层。层级差异决定了防火墙策略的观测点。若只看网络层，UDP封装的流量表现为普通UDP包；若深入分析，需查看UDP载荷内的二次IP包才能识别真实目标。
传输模式与隧道模式的边界
IPsec有传输模式和隧道模式两种主要封装方式。传输模式只加密IP报文的负载部分，轻蜂保留原始IP头，通常用于主机到主机的通信。隧道模式则加密整个原始IP包，并添加新的IP头，常用于网关到网关或主机到网关的场景。混淆这两种模式会导致安全策略失效或路由不可达。
使用隧道模式时，内层数据包的源和目的IP被完全隐藏在外层封装中。中间路径上的网络设备无法依据内层IP做访问控制或QoS。若网络架构要求基于源IP识别用户，需依赖VLAN标记或应用层身份认证，而非直接依赖三层IP地址。明确这一边界，能避免在核心交换机上配置错误的ACL导致流量被意外丢弃。
配置作用域与流量选择
并非所有流量都必然进入VPN隧道，这取决于配置的作用域。全隧道模式下，本地网卡的所有非本地流量都经隧道封装；半隧道模式则仅针对特定子网或目标IP封装。用户需确认客户端或网关的匹配规则。例如，只将访问10.0.0.0/8的流量送入隧道，其余互联网流量直接本地路由，可显著降低延迟。
检查配置作用域时，优先查看路由表或分流策略。在Linux系统中，可用ip route show查看策略路由；在Windows中，可使用route print查看持久化路由。若存在多条路由且优先级相近，需确认metric值。只读检查这些命令输出，能明确哪些IP段实际走隧道，哪些直接出网关，从而验证封装范围是否符合预期。
性能观察与故障定位
封装引入额外头部开销和加密计算消耗，可能增加延迟。UDP封装的协议若经过NAT设备，需关注UDP分片问题。当报文超过MDF（最大数据包长度）时，UDP报头可能携带DF标志或需要分片。若中间链路不支持分片，连接会中断。通过抓包工具观察外层UDP包的长度变化，可判断是否存在分片重组或丢包。
若隧道建立后通信正常但间歇性卡顿，建议检查内核态与用户态的性能计数器。对于IPsec，查看ESP包的错误计数；对于用户态实现，轻蜂加速器监控CPU占用率。不要仅凭ping通与否判断隧道健康，需结合吞吐量测试与错误日志。单个测试通过不能证明无底层丢包，应持续监控一段时间，排除偶发故障。
