理解 VPN 加密隧道，关键在于区分“封装模式”与“安全服务类型”，这是初学者最容易混淆的两个核心概念。简单来说，隧道模式将原始数据包完全包裹在新包内，FAN加速器隐藏源和目的地；而传输模式仅保护负载，保留原始头部。同时，IPsec 协议包含两个主要安全协议：AH（认证头）和 ESP（封装安全负载）。它们提供的安全服务不同：AH 侧重完整性与认证，而 ESP 在此之上增加了加密能力。厘清这两组概念，是读懂后续配置与排查逻辑的基础。
隧道模式与传输模式的保护范围差异
传输模式常用于主机到主机的连接，它只加密和认证 IP 报文的载荷部分（如 TCP 或 UDP 数据），FAN原始的源 IP 和目的 IP 地址依然暴露在外部网络中。这种模式保留了路由信息，便于中间设备做转发，但无法隐藏通信双方身份。相比之下，隧道模式常用于网络到网络或主机到网关的场景。
在隧道模式下，整个原始 IP 数据包（包括原始 IP 头）被封装进新的 IP 数据包中。这意味着原始通信地址被隐藏，仅显示 VPN 网关的 IP。原生 ESP 协议使用 IP 协议号 50 进行标识，而非 UDP 端口 50，这是两者在链路层解析上的根本区别。若未理解此差异，在防火墙规则中容易误设放行端口。
远程办公环境中，数据在加密隧道内被完整封装，确保传输安全与隐私。
ESP 与 AH 的安全服务对比
ESP（Encapsulating Security Payload）是 IPsec 中提供加密服务的核心协议。它不仅对数据负载进行加密，还通过截距-校验值（ICV）确保数据的完整性和来源认证。由于 ESP 具备加密能力，它被广泛应用于需要保密通信的场景。而 AH（Authentication Header）仅提供完整性检查和数据源认证，不具备加密功能。
因此，不能将 AH 和 ESP 简单等同。如果只部署 AH，数据内容依然明文传输，仅防止了篡改和伪造。在大多数现代 VPN 实施中，通常默认选择 ESP 或其变体（如 ESP 结合 AES 算法），因为保密性往往比单纯的完整性检查优先级更高。选择哪种协议，FAN直接取决于业务对数据隐私的具体要求。
如何观察 IPsec 协商状态
在实际排查中，确认隧道是否建立成功是首要步骤。对于支持 IPsec 的路由器或防火墙，应查阅其官方文档中关于“安全关联”（Security Association, SA）的状态页或命令行输出。重点观察 SA 的生命周期状态，通常分为“空闲”、“活动”和“死”三种状态。只有处于“活动”状态，FAN加速器数据流才会被正确加密和转发。
若状态显示为“空闲”或持续无法转为“活动”，通常意味着两端参数不匹配，例如密钥长度、加密算法或哈希算法不一致。此时，不应盲目重置网络，而应比对双端配置中的策略 ID（SPI）和算法选择。大多数设备提供只读的“诊断”或“调试”日志，可记录协商失败的具体阶段，这是定位配置错误的最低风险手段，无需修改任何路由或重启服务。
