Parades du contournement par encapsulation

Éviter à tout prix les encapsulations.
Utiliser un principe de flux où « tout ce qui n'est pas spécifiquement autorisé est interdit ».
Bloquer les protocoles et ports d'encapsulation.
Exemple: GRE (General Routing Encapsulation) sur IP (utilisé par CISCO pour encapsuler IPX).
Limiter les encapsulations à des couples de machines autorisées.
Appliquer sur ces machines une administration et un contrôle du type de celui appliqué sur le système de sécurité Internet : machines agréées.