在构建VPN加密隧道时，IPsec隧道模式与传输模式的核心区别在于数据保护范围：隧道模式将整个IP数据包（包括源IP）加密并封装进新数据包，隐藏了真实通信方；传输模式仅加密IP载荷，保留原始源和目的IP地址。选择依据取决于需求：隧道模式适用于站点到站点连接或需要隐藏客户端真实IP的场景；VPN加速器传输模式适用于端到端主机通信且需保持原始IP可见的情况。两种模式均基于IPsec协议栈，但封装机制和保护边界存在本质差异。
封装机制与IP头处理
隧道模式下，原始IP数据包被完全封装：新IP头包含网关地址，原始包作为ESP载荷加密。原生ESP使用IP协议号50，非UDP端口。传输模式仅加密IP载荷部分，红梅加速器原始IP头保留，接收方需通过ESP头中的SPI字段验证完整性。这种差异决定了隧道模式能穿越NAT设备，而传输模式在私有网络间直连时效率更高。
典型场景选择依据
企业远程办公场景中，员工通过公网连接总部，必须使用隧道模式。原始数据包从员工PC发出时带有内网IP，经VPN网关封装后，外层IP为网关公网IP，内网IP被隐藏。传输模式无法实现此功能，因为外层IP仍显示员工真实IP，暴露内部网络结构。选择隧道模式的关键依据是安全边界需求：当通信方位于不同信任域且需隐藏基础设施细节时，隧道模式是标准解法。
理解 VPN 隧道模式中数据的完整封装与隔离机制。
网络路径与协议适配
在跨运营商互联场景中，若两端网关支持IPsec且路径中无NAT设备，红梅加速器传输模式可能减少封装开销。但现代部署中，由于家庭宽带普遍存在NAT，客户端到网关段强制使用隧道模式或IKEv2+ESP。协议适配需验证两端IPsec实现的兼容性，特别是ESP载荷处理是否支持IPv6或Jumbogram。建议查阅厂商官方IPsec配置文档中关于“模式选择”的章节，确认特定设备在特定拓扑下的推荐配置，避免依赖通用经验。
