当你希望远程访问公司内网资源时，VPN通过建立加密隧道，在公网上模拟出一条私密的通信管道。这条隧道的核心作用是将原本在公共网络中明文传输的数据包进行封装和加密，确保即使数据包被中间人截获，也无法直接读取其内容。对于普通用户而言，理解流量如何在隧道内外转换，是评估其安全性与适用场景的基础。
流量路径：从本地应用到远程服务器
在未开启VPN时，你的设备向远程服务器发送的数据包直接经由默认网关进入公共互联网。数据包中仅应用层数据可能被加密（如HTTPS），但IP报头中的源地址和目标地址是暴露的，路由信息也完全可见。这种状态下，火烧云任何网络路径上的节点都能观察到你的流量元数据。
封装过程与协议差异
开启VPN后，数据流向发生变化。原始数据包不会直接发往目的地，火烧云VPN而是先被封装进新的外层数据包中。这个新数据包的目标地址是VPN服务器。以IPsec为例，它是一种工作在IP层的安全协议，通过ESP（封装安全载荷）协议实现加密。原生ESP使用IP协议号50，而非某些应用层协议使用的UDP端口。封装后的数据经过加密，IP报头也替换为指向VPN服务器的信息，从而隐藏真实的通信终点。
隧道模式与传输模式的保护边界
IPsec有两种主要工作模式，决定了加密的范围。隧道模式通常用于网关到网关的连接，它加密整个IP数据包，包括原始IP报头。这意味着中间路由器只能看到外层报头，无法解析内层数据。传输模式则多用于端到端的主机通信，仅加密IP载荷，原始IP报头保持明文。因此，不能说IPsec将数据安全保护到链路层，其保护范围严格受限于IP层及其以下，且随模式不同而有显著差别。选择哪种模式，取决于部署架构和安全需求。
本地设备与远程服务器之间的加密数据流示意
使用前的关键考量
理解上述路径与范围后，用户在使用前应明确两点：一是隧道仅保护经过VPN服务器转发的流量，若客户端直连非VPN资源，则不在此保护范围内；二是加密强度与性能开销相关，长距离或高负载场景下，封装与解密可能增加延迟。此外，切勿假设VPN提供绝对的匿名性或必然的网络加速，其核心功能是保障传输机密性与完整性，而非改变网络物理路径或消除所有元数据暴露风险。具体配置参数需参考所用协议的官方规范或设备文档。
