什麼是 IP 隧道？
隧道技術 是利用公共網路（如 Internet）基礎設施，在兩個私有網路之間建立邏輯專線的封裝傳輸機制。核心流程：
- 封裝：原始封包（Payload）加上新包頭（Delivery Header），提供路由資訊。
- 傳輸：封裝後封包在公網按新包頭路由，經過的邏輯路徑即「隧道」。
- 解封裝：抵達終端後移除外層包頭，將原始封包轉發至最終目的地。
隧道不限於 Internet，企業內網、MPLS、ATM 等皆可為載體。成熟隧道協議依 OSI 層級分為 Layer 2（資料鏈路層） 與 Layer 3（網路層） 兩大陣營。
Layer 2 隧道協議：封裝 PPP 幀
| 協議 |
發起端 |
傳輸載體 |
加密 |
特色 |
| PPTP | Client 發起 | 僅 IP (GRE over IP) | MPPE (RC4) | 微軟主導，NAT 穿透佳，單隧道 |
| L2F | NAS (ISP 端) | IP/UDP、Frame Relay、ATM | 無內建 | Cisco 專屬，強制隧道，無 Client 端控制 |
| L2TP | Client/NAS 雙向 | IP/UDP、X.25、FR、ATM | 搭配 IPSec | PPTP+L2F 合體，多隧道、標頭壓縮、隧道驗證 |
L2TP 封裝結構（IP/UDP 模式）
[原始 PPP 幀] → [L2TP 標頭] → [UDP 標頭] → [IP 標頭] → 傳輸
UDP 埠號 1701。可對 Payload 壓縮/加密（MPPE 或 IPSec ESP）。
Layer 3 隧道協議：封裝 IP 封包
- IP-in-IP (RFC 2003)：單純雙層 IP 標頭，無加密，極簡輕量。
- IPSec Tunnel Mode：企業級 VPN 主流。完整加密原始 IP 封包（ESP），再加外層 IP 標頭。提供機密性、完整性、身分驗證、防重放。
IPSec Tunnel Mode 流程
- 原始 IP 封包 → ESP 加密 → 新 IP 標頭 (Tunnel Endpoints IP) → 公網傳輸。
- 接收端驗證 ESP 完整性 → 解密 → 取出原始 IP 封包 → 依原目的路由。
- 金鑰管理：IKE (ISAKMP/Oakley) 協商 SA、交換金鑰、定期重鑰。
協議能力對比一覽
| 能力 |
PPTP |
L2TP |
L2TP/IPsec |
IPSec Tunnel |
| 負載協議 | IP/IPX/NetBEUI | IP/IPX/NetBEUI | IP/IPX/NetBEUI | 僅 IP |
| 傳輸載體 | IP | IP/X.25/FR/ATM | IP | IP |
| 加密 | MPPE (RC4) | 無內建 | IPSec ESP (3DES/AES) | IPSec ESP |
| 隧道驗證 | 無 | 有 | IKE 互驗 | IKE 互驗 |
| 多隧道 QoS | 不支援 | 支援 | 支援 | 需配合 DSCP |
| NAT 穿透 | 佳 (GRE 問題) | 需 NAT-T | NAT-T (UDP 4500) | NAT-T |
| Client 端部署 | Win 內建 | Win 內建 | Win 內建 | 需 Client 軟體或強式驗證 |
實務選型建議
- 遠端存取 VPN (Remote Access)：Windows/macOS/iOS/Android 皆內建 Client → 首選 L2TP/IPsec（安全性與相容性平衡）或 IKEv2/IPsec（現代標準、斷線重連快、MOBIKE 支援行動裝置）。
- 站對站 VPN (Site-to-Site)：防火牆/路由器對接 → IPSec Tunnel Mode 為標準選擇，效能最佳、標準化程度最高。
- 舊系統相容：僅支援 PPTP 的舊設備 → 僅作過渡方案，務必啟用強式密碼與 MPPE 128-bit，並規劃淘汰時間表。
常見坑點提醒
- MTU/MSS 問題：隧道封裝增加標頭開銷，導致大封包斷裂。必須在介面設定
ip tcp adjust-mss 1360 或降低介面 MTU。
- NAT 穿透失敗：PPTP 使用 GRE (協議 47) 非 TCP/UDP，許多 NAT 裝置不支援多對一映射；L2TP/IPsec 需啟用 NAT-T (UDP 4500)。
- 防火牆封鎖：確保 UDP 500 (IKE)、UDP 4500 (NAT-T)、ESP (協議 50) 通行。
- 路由遞迴：隧道介面路由指向實體介面，實體介面又走隧道 → 封包迴圈。需精確設定靜態路由或策略路由。
隧道技術是跨網路互聯的基石，理解封裝層級、協議特性與部署細節，才能建構安全、穩定、可維運的企業級 VPN 架構。