隧道技術讓不支持的「外來協議」穿越網絡。隧道協議利用IP數據包「數據部分」承載其他協議，多工作於第4層，可替代TCP/UDP功能。遠程VPN、SSH隧道均基於此原理。

核心原理：協議封裝與解封裝

隧道協議將原協議數據包「藏」在載體協議數據部分。到達終點經解包(demux/disassemble)還原原數據包，繼續按原意圖傳輸。這使被防火牆阻擋的協議（如Windows文件共享端口139/445）能穿越邊界路由器限制。

VPN隧道實戰流程

1. 客戶端發往內網AD服務器端口445的數據包，被封裝為VPN數據包
2. 抵達VPN服務器，解包後以VPN服務器內網IP為源地址發往內網
3. 內網響應返回VPN服務器
4. VPN服務器添加VPN頭封裝，經外部接口發回客戶端

關鍵安全特性

• 內網數據已解密：進入內網後數據為明文（或內部加密）
• 公網傳輸加密：穿越Internet時附加特殊加密頭部
• 源地址轉換：內網看到的是VPN服務器內網IP，非客戶端真實IP

常見隧道協議

• PPTP（點對點隧道協議）：早期VPN主流，配置簡單但安全性較弱
• IPSec：企業級VPN標準，提供強加密與認證，後續講座詳細闡述
• SSH隧道：管理員常用，端口轉發、繞過防火牆利器

隧道技術是現代網絡互通的基石，掌握其封裝解封裝本質，能通透理解VPN、代理、SD-WAN等進階技術內核。