VPN数据封装的核心在于将原始网络数据包嵌入新的外层结构，以实现在公共网络上的安全或隧道传输。这个过程主要涉及IPsec、VPN加速器OpenVPN和WireGuard等协议，它们通过不同的头部添加方式改变数据包的可见属性，但不直接等同于加密本身。理解封装的关键是区分“载体”与“内容”，即外层协议负责路由和安全通道建立，内层报文保持业务逻辑不变。
原生IPsec封装的协议号特征
在IPsec协议体系中，封装安全载荷（ESP）是主要的载荷协议。原生ESP报文使用IP协议号50进行标识，这是一个IP层的协议号，而非传输层的端口号。这意味着在网络设备或防火墙配置中，若需放行ESP流量，必须依据IP协议号50进行策略，而非尝试匹配UDP或TCP的端口50。这种区别在基础网络排错中至关重要，混淆二者会导致安全策略配置无效。
隧道模式与传输模式的保护范围差异
IPsec封装分为隧道模式和传输模式，二者的主要差别在于封装后受保护的数据范围。在传输模式下，ESP头仅插入IP报头之后，原有的内层IP报头（源IP、目的IP等）对外可见，风驰仅对上层负载（如TCP/UDP数据）提供加密和认证。而在隧道模式下，整个原始IP报文被封装在新增的外层IP报头之内，内层IP信息被隐藏，外层使用安全关联的端点IP。隧道模式常用于网关到网关的连接，而传输模式多用于端到端的节点通信。
基于UDP或TCP的VPN封装机制
OpenVPN等用户态VPN通常将IPsec或自定义协议载荷封装在UDP或TCP数据包中，作为普通应用流量传输。这种方式的优点是穿透性强，易于在防火墙限制严格的环境部署。此时，封装的界限位于传输层协议之下，内层的“虚拟网线”数据对中间路由器表现为普通的应用流量。相较于原生IPsec，这种方式增加了额外的解封装与加密层级，VPN加速器但在兼容性和灵活性上更具优势，适合非网络基础设施层面的快速部署。
在网络设备的底层逻辑中，IP协议号才是决定ESP流量能否通行的真正依据。
封装与加密的功能边界
封装本身并不保证数据的机密性或完整性，它仅是改变数据包的结构性呈现。只有当封装协议（如ESP）结合加密算法时，数据才具备防窃听能力。因此，不能简单认为“封装了IPsec就等于加密了”，需确认具体的安全协议参数已生效。在排查连通性问题时，应先观察外层IP协议号是否正确匹配，再检查内层载荷是否被正确解包，最后验证加密密钥状态，避免将路由错误误判为加密故障。
