VPN封装解决的核心问题
远程访问或站点互联时，网络管理员面临两个基础需求：一是隐藏内部IP地址，防止外部直接窥探拓扑；二是确保数据在公共网络传输时不被窃听或篡改。传统的纯应用层加密往往只保护部分流量，且无法处理中间网络设备对明文报文的解析。VPN通过在下层封装新的IP头部，将原始数据包作为载荷进行传输，从而在IP层建立安全通道。这种机制让底层路由设备只看到外层头部，而内部结构对链路设备不可见。
IPsec与ESP的协议定位
在讨论具体封装时，必须区分IPsec协议族中的两种主要协议：AH（认证头）和ESP（封装安全载荷）。对于数据保密性而言，ESP是核心组件。这里有一个常被混淆的技术细节：原生ESP模式使用的是IP协议号50，而非UDP端口50。IP协议号位于IP报头的第9字节，用于标识上层协议类型；而UDP端口位于UDP报头的源/目的端口字段。只有当ESP通过UDP封装（如NAT-T）穿越NAT时，快橙VPN客户端版本说明才会涉及UDP端口500或4500，这与原生IP封装是完全不同的路径。
此外，ESP在隧道模式下，封装后的报文包含外层的IP头部和ESP头部。ESP头部的序列号字段用于防重放攻击，认证数据部分则用于验证完整性。由于IPsec工作在IP层，它的保护范围是从源IP到目的IP的有效载荷，但并不保护底层链路层帧头（如以太网帧头），因为这些头部在跨越路由器时会被重写。因此，快橙声称IPsec加密到链路层是错误概念，其保护边界严格限定在IP层及以上。
验证封装状态的只读方法
若需确认当前系统是否正确建立IPsec隧道，可执行只读检查。在Linux系统中，假设已配置名为vpn0的接口，快橙可观察路由表以确定流量是否走VPN。使用ip route show命令，查找以vpn0为输出接口的路由项。如果特定远程网段的下一跳指向vpn0，说明路由策略生效，数据将被送入封装流程。同时，可检查/proc/net/xt_conntrack或相应内核计数器，查看是否有已建立的IPsec SA（安全关联）条目，这能确认隧道是否处于活跃协商状态。这些操作不会修改任何系统配置，且能直观反映封装路径是否正常。
VPN封装通过将原始数据包裹在外部头部中，使底层路由设备仅能识别外层协议，从而有效隐藏内部网络拓扑。
