开源软件与产品名称
OpenVPN是建立加密虚拟专用网络的软件及相关协议体系。本文以开源OpenVPN 2.x的TLS模式为中心，并以2.6系列手册说明机制；不能把所有版本的能力和默认配置混为一谈。它通过虚拟网络接口连接远端主机或网络，不是网页浏览器中的应用代理。
OpenVPN社区项目与商业产品也需区分。Access Server是可自行部署、带网页管理界面的产品，CloudConnexa是托管服务，OpenVPN Connect则是客户端。OpenVPN 3主要是客户端库，并不意味着它可以直接替代OpenVPN 2的所有服务器用途。
控制通道与数据通道分工
在TLS模式中，控制通道负责身份认证和密钥协商，数据通道处理实际隧道流量。二者可复用同一个UDP或TCP端口，但不能因此认为所有业务数据都直接放在TLS记录中。使用UDP时，控制信息具有自己的可靠传递机制，数据通道则保留数据报式传送特点。
控制通道的TLS套件与数据通道使用的加密算法，是分别选择的参数。2.6系列可通过data-ciphers配置数据算法协商范围；某个算法是否可用，还受构建所用密码库与对端能力影响。描述安全性时应注明版本和模式，而不能只凭“支持TLS”判断每条连接的实际保护。
参考：[1]
TUN路由与TAP桥接
TUN接口面向三层IP分组，TAP接口面向二层以太网帧。路由式部署通常在不同IP子网之间转发流量；桥接式部署则可把虚拟接口接入以太网桥，让远端参与二层网络。它们不是两种强弱不同的加密方式，而是不同的网络组织办法。
官方指南通常倾向路由，因为配置与按客户端控制访问较为直接。需要跨隧道承载某些非IP协议或依赖二层广播的应用时，桥接才可能有必要。接口是否受支持还取决于平台，不能由桌面系统的TAP配置推断所有移动客户端也能照用。
认证不是只检查证书存在
证书认证需要确认对端是否具有预期身份和用途，而不仅是持有某张受信任证书。官方安全说明指出，若客户端不区分服务器证书和普通客户端证书，已获授权的客户端可能冒充服务器。检查证书的密钥用途及扩展用途，是阻止这种身份混淆的一环。
因此，证书签发、服务器身份核验与访问授权应分别考虑。建立隧道只说明双方按相应配置完成连接，并不自动赋予对所有内部资源的访问权，也不消除端点自身失陷的风险。社区软件提供机制，具体部署仍须正确管理身份和网络边界。