隧道协议

封装的逻辑

隧道的本质是套娃：把要传输的原始包（内层）整体当作数据，塞进外层包的载荷字段，外层包按正常网络路由到目的地后，再把内层包取出来处理。外层包的协议和内层可以完全不同——比如 IPv6 over IPv4（6in4，RFC 4213）让纯 IPv4 网络透明传输 IPv6 流量，是过渡期的重要手段。

GRE（Generic Routing Encapsulation，RFC 2784）是最通用的隧道协议，支持封装任意三层协议，思科设备广泛支持。GRE 本身不加密，通常和 IPSec 搭配使用（GRE over IPSec）。[1]

SSH 隧道的实际用途

SSH 隧道是开发者日常最接触到的隧道技术。ssh -L 8080:内网服务器:80 跳板机 把跳板机能访问的内网 HTTP 服务转发到本地 8080 端口；-R 反向隧道则把本地端口暴露到远程服务器，让外网能访问本地开发环境——ngrok 这类工具的原理正是如此。

L2TP（第二层隧道协议）将整个以太网帧封装，用于运营商宽带（ISP 用 L2TP 将用户 PPPoE 会话从接入层传到汇聚层）和早期 VPN 方案（L2TP/IPSec）。随着 WireGuard 的普及，L2TP 在 VPN 场景逐渐退场，但在运营商基础设施中仍大量存在。