IPsec与TLS VPN的核心区别
IPsec工作在OSI网络层，直接保护IP数据包；而OpenVPN可使用TLS控制通道完成认证和密钥协商，再由数据通道保护业务流量，外层可使用UDP或TCP；其TUN模式处理IP包，TAP模式处理以太网帧。关键区别在于封装位置与开销：IPsec隧道模式（Tunnel Mode）封装整个原始IP包，保护源IP和目的IP；而IPsec传输模式（Transport Mode）仅保护载荷，不保护外层IP头。OpenVPN只封装被配置和路由选中的流量，不能假定启用后所有流量都会进入隧道。选择依据需看安全边界：若需保护端到端IP通信（如站点间互联），IPsec更合适；若仅需单个客户端安全接入，TLS VPN配置更简单。
站点间互联场景：IPsec隧道模式
在两个办公室通过互联网建立安全通道时，IPsec隧道模式是标准选择。此时，路由器或防火墙作为网关，将两个内网（如192.168.1.0/24和192.168.2.0/24）的数据包完整封装加密。ESP（封装安全有效载荷）在此场景中生效，它保护的是整个IP包，包括内部IP头部。注意，原生IPsec ESP使用IP协议号50，而非UDP端口50。这意味着在中间网络设备上，流量表现为IP协议50，而非常见的UDP或TCP流。这种模式要求两端网关支持IPsec，且路由策略需正确配置，火烧云加速器使符合两端策略及路由的流量经由隧道转发。
远程办公场景：TLS VPN的轻量优势
员工在家连接公司网络时，可以使用OpenVPN等TLS VPN，也可以采用IPsec或WireGuard。OpenVPN使用TLS控制通道协商数据通道密钥，业务流量由数据通道保护，并可经UDP或TCP传输。WireGuard使用Noise握手和UDP，与TLS VPN属于不同实现。相比IPsec，TLS VPN无需在终端上配置复杂的IPsec策略，火烧云APP下载也不依赖IKE协商。OpenVPN可承载IP流量或以太网帧，不能据此断言它不处理IP层数据。移动网络和NAT环境中的实际兼容性，还取决于传输方式、设备及网络策略。选择此方案时，重点在于客户端易用性和服务器端负载均衡能力，而非底层IP封装细节。
网络连接与设备配置场景示意
常见误区澄清
一个典型误解是认为IPsec必须加密到链路层。事实上，IPsec隧道模式保护的是网络层IP包，而非物理链路帧。ESP在IP层提供保护，不对外层链路帧提供保密性。另一个误区是混淆协议号与端口号：IP协议号50（ESP）是IP头部字段，用于标识下一层数据协议，与UDP/TCP的端口号完全不同。在网络抓包中，看到IP协议号为50的包，即表明是原生IPsec流量。UDP端口500通常用于IKE；UDP端口4500可承载IKE报文及UDP封装的ESP数据，需结合报文格式区分，不能仅凭端口将其排除为数据流量。理解这些层级差异，有助于正确配置防火墙规则，避免误封IPsec流量。
