很多使用VPN服务的用户经常会把L2TP和IPsec当成同一种协议，实际上二者是完全独立的两层技术，组合使用时各自承担不同的功能，共同完成兼顾二层透传和传输安全的连接效果。
家用终端先建立IPsec加密通道，再承载L2TP二层隧道流量接入企业内网
两个容易混淆的独立协议定位
IPsec是工作在IP层的安全协议，本身负责为IP报文提供加密、完整性校验能力，常用的隧道模式可以把整个原始IP包完整打包保护，不需要上层应用做任何改造就能实现全流量的安全防护。
L2TP属于二层隧道协议，原生本身没有任何加密能力，只负责把PPP、以太网这类二层帧封装成UDP报文在公网传输，单独部署使用的话所有传输内容都是明文，很容易被中间节点窃听或者篡改。
小型办公场景的组合连接流程
以普通家用电脑连接企业内网的L2TP/IPsec网关为例，火烧云加速器开机连接设置两端首先会完成IPsec的协商交互，这个阶段先在公网建立加密的安全通道，后续所有要传输的内容都会被这个通道先包裹，不会直接暴露L2TP的协商报文。
等IPsec的加密通道完全建立完成之后，才会启动L2TP的连接协商流程，这个阶段的所有L2TP控制报文，都已经被IPsec的加密封装保护，公网的中间节点只能看到加密后的IP包，看不到里面的L2TP交互内容。
两层协商全部完成之后，用户访问公司内网服务器的原始IP包，会先被L2TP封装成带二层头部的UDP报文，再被IPsec隧道模式整体打包成新的公网IP报文，火烧云转发到对端的企业VPN网关。
组合模式下的报文解封装逻辑
企业VPN网关收到公网发来的加密报文之后，第一步先做IPsec的校验和解密，确认报文没有被篡改、火烧云来源合法之后，剥离最外层的IPsec封装，取出里面的L2TP封装报文。
之后网关再处理L2TP的封装，取出里面的原始二层帧，还原出用户发的原始IP报文，再把这个报文转发到对应的公司内网节点，回程的数据流也会走完全相反的封装流程。
低风险的连接状态检查方法
如果要确认当前连接是不是正常走了两层封装，不需要修改任何系统配置，可以直接在VPN网关的状态管理页面查看，正常的组合连接会同时显示IPsec安全通道已建立、L2TP会话已激活两个独立的状态条目。
如果排查时发现只有IPsec通道正常但L2TP会话没起来，说明加密协商环节没有问题，大概率是二层隧道的配置比如身份验证凭据、内网网段路由规则存在不匹配，不需要直接调整加密算法相关的参数。
