封装的本质是保护路由
VPN数据封装解决的核心问题，是在不可信网络中为通信双方建立可信通道。它并非单纯把数据“藏起来”，而是通过修改数据包结构，让路由器或网关能够依据新头部信息正确转发流量。如果仅将原始报文加密而不改变外层特征，中间设备仍可能因路由策略、防火墙规则或QoS标识而丢弃或篡改数据。因此，飞马封装的首要职责是确保数据在传输路径中保持完整的端到端语义，同时隔离内部网络细节与外部基础设施的交互。
外层报头的职责边界
封装过程会生成一个新的外层报头，如IP或UDP头部。这个外层报头仅承担寻址与转发功能，其内容不包含原始应用层数据。例如，在UDP封装场景中，外层UDP报头指定源目端口，供接收端解封装时识别隧道实例；而原始数据包的所有字段被完整保留在载荷区内。这意味着，外层报头的修改不会改变原始数据的完整性，但会改变数据包在网络中的路由行为。理解这一边界，有助于区分“路由控制”与“数据保密”两个不同层面的安全目标。
ESP原生模式的协议号含义
在IPsec协议族中，ESP（Encapsulating Security Payload）在原生模式下使用IP协议号50进行标识。这里的“协议号50”是IPv4或IPv6报头中的协议字段值，用于指示该数据包属于ESP协议，而非指UDP端口50。混淆协议号与端口号是常见误解：协议号决定内核如何分发包，而端口号是传输层概念，仅出现在TCP或UDP报头中。若网络中间设备仅放行UDP 50端口，飞马VPN却阻断了IP协议号50的流量，原生ESP连接将完全失效，即便两端配置正确也无法建立隧道。因此，防火墙规则必须同时覆盖对应的协议号，而非仅依赖端口过滤。
数据封装通过修改外层报头改变路由行为，同时确保内部数据在传输路径中保持完整的端到端语义。
隧道模式与传输模式的保护范围
IPsec的隧道模式会对整个原始IP数据包进行封装和保护，包括原始IP头、传输层头部及载荷，从而隐藏内部源目IP地址，适用于网关到网关或客户端到网关的场景。相比之下，传输模式仅保护传输层以上的数据，原始IP头仍然暴露在外，仅用于端对端通信。两种模式的保护范围差异直接决定了网络拓扑中哪些节点需要参与加密处理。例如，在远程接入场景中，若采用传输模式，用户的实际IP地址会出现在数据包中，可能暴露内网结构；而隧道模式则通过外层网关IP替代，提供更强的网络隔离效果。选择哪种模式取决于部署架构与安全需求，而非单纯的性能考量。
只读验证封装是否生效
在不修改任何配置的前提下，可通过抓包工具观察数据包的封装状态。适用于支持原始IP包捕获的系统，如Linux下的tcpdump。操作时，选择能同时看到内层与外层报文的网卡接口，过滤目标IPsec流量。若观察到数据包外层为IP协议号50，且其载荷内包含完整的原始IP包（含源目IP、TCP/UDP头部等），则说明隧道模式封装正常。若外层为UDP且端口为特定隧道端口（如500或4500），则表明使用了UDP封装模式。通过对比原始数据包与封装后数据包的头部字段，可确认封装是否按预期保留了所有原始信息，以及外层报头是否正确指向隧道端点。此检查方法无副作用，适合在问题排查初期快速定位封装层面的异常。
