VPN数据封装的核心工作是将原始数据包放入新结构中，以支持加密或路由隔离。其过程取决于所选协议和模式：IPsec在IP层提供保护；OpenVPN可通过TUN承载IP包，也可通过TAP承载以太网帧，不能一概归为二层隧道。理解差别的关键在于观察流量在离开主机前增加了哪些字段，以及这些字段如何改变包的生命周期。
网络连接与设备配置场景示意
IPsec的原生封装方式
IPsec在IP层提供保护。原生ESP不使用传输层端口；启用NAT-T时，科学上网ESP可封装在UDP中，通常使用4500端口。在隧道模式下，整个原始IP包被作为新包的载荷，外层添加新的IP头与IPsec头。ESP（封装安全有效载荷）模式使用IP协议号50标识原生ESP流量，而非UDP端口50。这意味着在抓包时，识别IPsec隧道应关注IP报头的协议字段，而不是传输层端口号。
传输模式下，封装仅覆盖IP载荷部分，外层IP头保留原始通信端点。两种模式的区别在于保护范围：隧道模式保护整个原始包，适合网关间互联；采用加密的ESP传输模式保护原IP载荷，包括上层协议头和数据，原IP头位于ESP保护之外；这种模式可用于主机点对点通信。配置时需明确模式，否则路由与安全策略可能不匹配。
虚拟接口封装的额外开销
OpenVPN支持UDP或TCP传输，TUN模式处理IP包，TAP模式处理以太网帧；WireGuard承载IP包并使用UDP。原始报文进入虚拟接口后，由相应实现完成保护和外层封装。实现可位于用户态或内核态，不能按协议名称统一归类。1194是OpenVPN常用端口而非所有部署的固定端口，识别时应结合实际配置与报文格式。
这种多层封装增加了处理开销，但灵活性更高。调试时可根据具体实现，结合虚拟网卡的吞吐量和协议日志定位问题。观察对象是虚拟接口上的原始包与物理网卡上的封装后包之间的差异，可据此检查封装、MTU及丢包线索；科学上网额外时延需要另行测量，不能由包结构对比直接认定为零。
使用边界在于：使用虚拟接口的实现依赖相应的驱动或内核支持，若驱动未加载或版本不兼容，封装会失败。此时应检查系统日志中关于虚拟接口的加载记录，而非直接修改路由表。避免在未确认驱动状态前卸载或重置网络组件，以免影响其他连接。
观察封装过程的只读方法
在不修改系统配置的前提下，可通过抓包工具对比封装前后的数据包。对于原生IPsec，可观察协议号50（ESP）或51（AH）；隧道模式的外层地址对应隧道端点，快连传输模式则保留原IP头。启用NAT-T时还需检查UDP封装，不能仅按协议号筛选。对于OpenVPN，应按实际UDP或TCP配置及端口抓包；外部抓包可观察外层和部分协议字段，不能直接读取加密业务明文。
重点观察封装是否导致分片或重传。封装后的报文若超过路径MTU，结果取决于IP版本、分片相关标志及实现，可能在端点分片、收到包过大反馈或被丢弃，进而影响应用访问。此时应检查接口的MTU设置及分片标志，而非盲目降低应用层发送窗口。确认封装完整性后，再评估网络路径是否存在丢包或乱序，避免将封装问题误判为链路故障。
