基于TLS的VPN也就是常说的SSL VPN，它的连接建立过程和传统IPsec VPN的隧道建立逻辑有核心差异，我们先对齐两者在连接建立场景下的关键区别，再结合实际使用场景说明选型依据。
两类VPN连接建立的核心对齐差异
首先对齐两者的传输层依托，基于TLS的VPN默认直接依托TCP或者UDP的443端口传输，不需要在网络中间节点开放额外的专用VPN端口，普通的网页代理、防火墙大多不会拦截这类流量。而IPsec VPN需要依赖专门的封装协议或者特定端口，蓝莓VPN下载很多公共网络的出口防火墙会直接拦截这类非标准业务流量。
再对齐身份校验的触发顺序，基于TLS的VPN的身份校验第一步是先完成标准的TLS握手，先验证服务端证书合法性，之后再做用户侧的账号、短信令牌这类二次身份校验，整个校验流程和普通HTTPS网站的访问逻辑高度一致。传统IPsec VPN的校验是先完成两端的预共享密钥或者证书校验，再协商加密隧道，用户身份校验通常是隧道建立之后才触发。
公共网络远程办公场景的选型依据
如果是员工在酒店、咖啡馆这类公共WiFi环境下接入公司内网，优先选择基于TLS的VPN方案。这类场景下公共网络的管理员通常会封禁所有非网页类的特殊端口和协议，IPsec VPN的连接请求大概率会直接被丢弃，根本走不到身份校验环节。
直观呈现基于TLS的VPN与传统IPsec VPN的连接传输逻辑差异
这类场景下基于TLS的VPN只需要用户打开浏览器或者轻量客户端，就可以像访问普通HTTPS网站一样完成握手校验，蓝莓VPN下载不需要用户手动调整本地网络配置，也不会和公共网络的现有路由规则产生冲突，接入成功率会高很多。
自有站点专线互联场景的选型依据
如果是企业两个自有数据中心之间的站点互联，需要长期稳定传输大流量业务数据，传统IPsec VPN的建立逻辑反而更适配。这类场景下两端网络都是企业可控的专线环境，没有公共网络的端口拦截限制，不需要兼容TLS的网页类传输逻辑。
这类场景下IPsec VPN的隧道建立之后可以直接和内网路由深度打通，不需要额外做七层的业务代理转换，传输过程的额外开销更低，蓝莓VPN下载也更容易和企业现有的内网访问控制策略做统一对接。
连接建立状态的通用检查方法
如果需要确认基于TLS的VPN的连接建立状态，不需要修改任何本地网络配置，直接在客户端侧查看握手日志就可以。你可以在对应VPN客户端的官方帮助文档里找到日志开启选项，日志里会依次显示TLS握手完成、用户身份校验通过、隧道路由下发这几个明确阶段。
如果某一步连接失败，日志里也会标注对应的阶段，比如卡在证书校验环节就检查本地系统时间和服务端证书有效期，蓝莓加速器卡在路由下发环节就核对当前设备的本地路由规则有没有冲突，不需要随意改动系统网络底层配置。
