连上之后发生了什么：SSL 加密隧道与虚拟网卡的工作原理

不需要懂网络协议，只需要记住两个词：隧道和虚拟网卡。理解了它们，一半的故障你都能自己判断出在哪一段。

第一层：SSL 加密隧道

客户端和网关之间走的是 HTTPS 类的加密连接。你在浏览器地址栏里看到那串地址以 https:// 开头，就是这个原因——这也是为什么地址写成 http:// 会连不上（一直卡在初始化），详见一直显示初始化的排查。

隧道建立后，你和单位内网之间传输的所有数据都是加密的。这就是「在公司外面访问公司系统，和坐在工位上一样安全」的技术底气：中间经过的运营商网络看到的只是一串密文。

第二层：虚拟网卡与虚拟 IP

登录成功后，Windows 或 macOS 上会出现一块名为 Sangfor SSL VPN 的虚拟网卡，它给电脑分配一个内网虚拟 IP——相当于临时给你发了一张「内网工牌」：

• 拿到虚拟 IP 后，你访问被授权的内网系统时，流量会被引导进隧道，从网关内侧出去——内网服务器看到的访问来源就是你的虚拟 IP，而不是你家宽带的真实 IP。
• 拿不到虚拟 IP，隧道就建立不起来——这是「登录成功了却访问不了资源」的最常见原因之一，排查方法见拿不到虚拟 IP 怎么办。
• 手机端对应的是系统级 VPN 连接：Android 会弹出「创建 VPN 连接」的授权请求，iOS 会要求允许添加 VPN 配置，详见手机端首次登录的授权。

流量怎么被「拐进」隧道

不同资源类型的引流方式不一样，这直接决定了你的使用体验：

这张表是本站使用组的主线，展开见资源类型总览。

为什么有的单位不给你建隧道

管理员可以在网关侧限制只开放 Web 资源——这时你不会拿到虚拟 IP，只能点开网页类系统。这是策略决定的，不是故障。