VPN加密隧道改变的是数据包在公网中的路由与封装路径，而非单纯添加密码层。它决定流量是否被强制或允许通过远程网关中转，从而影响出口IP、跳数及中间网络设备的可见行为。理解这一机制，有助于判断特定访问请求实际流经哪些链路节点。
可视化演示加密隧道如何封装数据包并改变其路由去向
路由策略决定流量去向
是否进入隧道取决于客户端路由表与流量选择器配置。全隧道模式下，除局域网保留地址外，所有目的地均指向VPN接口；袋鼠分隧道模式则只匹配指定网段（如远程办公网段）的流量入隧，其余流量仍走本地网络。这意味着访问公网网站时，若目标IP不在分隧道列表中，数据包根本不经过加密通道，直接由本地ISP路由。
隧道封装改变外层标识
当流量被纳入隧道，原始IP包会被封装进新的外层包。以IPsec为例，ESP协议使用IP协议号50标记有效载荷，此时外层源地址变为VPN网关的公网IP，目的地址为对端网关IP。接收端在解密前，只能看到外层头信息；解密后，内层原始包还原，袋鼠VPN手机连接设置才暴露真实的客户端IP。因此，对公网目标站点而言，其日志中记录的源IP通常是网关IP而非客户端本地IP，前提是流量确实通过了该网关。
只读验证出口IP变化
在不修改系统配置的前提下，可通过对比不同状态下访问同一公共回显服务的结果来观察路径差异。首先在断开VPN时，访问任何可显示源IP的在线查询服务，记录返回的IP地址；然后连接VPN并保持全隧道模式，再次执行相同查询。若两次返回的IP地址不同，且连接状态下IP归属地为VPN服务商所在区域，则证实流量已改道经由远端网关转发。此方法仅反映出口身份的变化，无法单独证明加密是否有效或路径跳数是否增加。
避免混淆隧道与加速功能
部分网络优化工具可能采用中继、隧道或NAT出口混合架构，其目的IP可见性取决于具体部署方式，袋鼠不能默认所有非直连流量都经历完全相同的加密与路由逻辑。分隧道策略本身并不保证所有敏感流量都入隧，仅匹配的策略网段才受隧道规则约束。因此，评估访问路径影响时，应明确当前会话的流量选择范围，而非仅依据“已连接VPN”的状态推断所有请求均被代理或加密。
