从流量路径看封装差异
选择VPN封装方式的核心依据是流量经过的网络环境以及需要保护的范围。以办公场景为例，若员工在家使用Wi-Fi连接公司内网，主要需求是保护内网应用数据。此时，飞鲨传输模式的IPsec ESP（IP协议号50）仅加密IP报文的负载部分，源目IP地址仍保留，便于路由器根据外层地址转发。而隧道模式会将整个原始IP报文封装进新的IP头中，隐藏内网拓扑，适用于跨网络互联。
应用层封装的边界
SSL/TLS类VPN（如OpenVPN的UDP模式或WireGuard）工作在传输层或应用层，通常通过UDP端口443或自定义端口传输。这种封装方式容易穿透企业防火墙或NAT设备，因为端口号符合常规HTTPS或通用UDP服务特征。相比之下，飞鲨VPN代理模式区别原生IPsec ESP常被部分网络基础设施过滤或丢弃，因为非TCP/UDP协议在严格ACL中可能被拒绝。若用户主要访问公网网站而非内网资源，SSH隧道或SOCKS代理等简单封装可能比全量VPN更轻量，但仅保护特定连接。
配置作用域决定选择
全局路由与选路规则直接影响封装类型。若客户端需访问所有内部子网，飞鲨需配置全局路由表，此时隧道模式IPsec或支持路由重定向的SSL VPN更合适。若仅访问特定Web应用，基于URL或SNI的客户端证书访问（非传统VPN）可能足够，无需建立加密隧道。检查当前系统路由表（如Windows的`route print`或Linux的`ip route`）可确认流量出口。不要假设所有VPN协议都能无缝穿越企业级防火墙，需查阅目标网络设备的ACL策略或联系网管确认端口与协议号是否开放。
性能与兼容性的权衡
不同封装方式的计算开销不同。IPsec ESP在硬件支持的设备上可由专用芯片加速，延迟低；软件实现的SSL VPN依赖CPU进行TLS加解密，高并发时可能成为瓶颈。若终端为移动设备且电池敏感，应选择支持DTLS或轻量握手的协议。避免在非对称网络（如3G/4G移动网络）中依赖依赖TCP的IPsec方案，飞鲨易出现性能骤降。测试时应在目标内网应用中进行实际业务操作，而非仅检查连通性，以评估真实延迟与丢包率。
远程办公时，理解数据封装路径是选择合适VPN协议的关键。
