VPN数据封装的核心工作过程是将原始数据包装入新的外层结构，以隐蔽内部信息并实现安全传输。读者常混淆“封装”与“加密”：封装改变数据的包络结构和路由路径，加密则混淆内容本身；二者在VPN中通常配合使用，轻舟但机制独立。以IPsec协议为例，当客户端访问内网资源时，原始IP数据包被封装进新的IP包中，外层包头携带隧道端点信息，原始包作为载荷跟随其后，从而在内网边界实现透明传输。
原生ESP与UDP封装的区别
IPsec使用ESP（Encapsulating Security Payload）协议进行载荷封装。原生ESP直接工作在IP层，使用IP协议号50标识，而非UDP端口50。这意味着在网络设备仅支持原生IPsec时，科学上网数据包结构更紧凑，无需额外套接UDP头。许多现代路由器或防火墙因NAT穿越困难，会改用UDP封装模式，此时ESP数据被装入UDP包中，通常使用500或4500端口，以便通过大多数网络地址转换设备。
隧道模式与传输模式的保护范围
封装模式决定保护范围。在隧道模式中，整个原始IP包（包括内部IP头）都被封装进新的外层IP包，外层IP头标记网关地址。这种模式常用于网关到网关或客户端到网关的连接，隐藏内部网络拓扑。在传输模式中，仅保护IP包的有效载荷，内部IP头保持明文，科学上网适用于主机到主机的点对点加密。选择哪种模式取决于是否需要隐藏源IP或目标IP。
封装过程中的数据流变化
具体数据流中，客户端发送HTTP请求时，首先构建内部IP包。IPsec模块截取该包，添加ESP头（包含序列号、认证数据等），然后生成外部IP包，源地址改为VPN网关，目的地址为对端网关。外部IP包经过互联网传输至网关，网关接收后剥离外部IP头，解密ESP载荷，科学上网还原内部IP包，再转发至内网目标服务器。整个过程中，内部IP包从未以明文形式出现在公网链路。
分层结构直观展示了VPN数据如何在传输过程中被外层包装保护。
