IPsec封装与路由选择的关系
VPN数据封装本身不改变底层物理路径，但它通过建立虚拟接口，改变了操作系统内核转发数据包时的路由依据。当客户端启动IPsec等协议时，会触发路由表的修改或新增策略路由。数据包在发出前，会被查询是否命中VPN路由规则；若命中，火种则进入封装流程，外层地址变为网关IP，内层保留原始目的IP。这意味着，访问路径的控制权从本地网卡直接转发，转移到了VPN客户端的处理逻辑中。
数据在封装后被重定向至虚拟接口，改变了原本直连的路径逻辑。
全隧道与分隧道的路径差异
全隧道模式将默认路由指向VPN接口，所有出站流量均被封装并经由VPN服务器中转。此时，对端服务器看到的源IP通常是VPN服务器的出口IP，而非用户真实IP。分隧道模式则仅对特定目标网段（如10.0.0.0/8）应用路由策略，其余流量保持直连。例如，网络加速器访问内网资源10.1.1.1时，流量走隧道；访问公开网站8.8.8.8时，流量仍经本地ISP出口直连。这种差异决定了封装对“访问路径”的影响范围是全局还是局部。
选择依据取决于目标：若目的是隐藏真实IP或绕过地域限制，全隧道是前提；若仅用于远程办公访问内部应用且希望节省带宽，分隧道更高效。需注意，分隧道并非“安全开关”，未匹配的流量仍会暴露真实IP，需根据策略明确哪些流量入隧、哪些直连。
IPsec原生模式的协议层定位
在原生IPsec实现中，ESP载荷使用IP协议号50，而非UDP端口50。这意味着在链路层之上、IP层之下的数据帧中，协议字段直接标识为IPsec。隧道模式下，整个原始IP包成为ESP负载，外层封装新的IP头；传输模式下，仅IP载荷被加密，IP头保留。这种结构决定了防火墙与中间设备如何识别和转发这些流量：若设备不支持IP协议号50，数据包可能被丢弃，火种需依靠UDP封装模式（如NAT-T）来穿越NAT设备，但原生模式下不存在UDP端口协商过程。
验证路由与封装行为的只读方法
在Windows系统中，火种可通过“路由表”查看是否存在指向VPN接口（如WAN Miniport）的0.0.0.0/0路由，以确认是否启用全隧道。在Linux系统中，使用`ip route show`命令观察是否出现`dev tun0`或`dev ipsec0`相关的策略路由。观察对象是路由表的下一跳地址：若默认为物理网卡，则非隧道流量直连；若默认指向虚拟接口，则流量被封装。此检查无需修改系统配置，仅读取当前网络状态，可安全判断当前访问路径是否受VPN影响。
