VPN分流模式的核心原理在于通过本地路由表策略，将不同目的地的流量指向不同的网络出口，从而实现路由分离。它并非依赖单一的开关，而是基于数据包的目的IP地址、协议类型等特征进行筛选，决定哪些流量进入加密隧道，哪些直接通过公共网络发送。
本地路由表的双出口机制
在分流模式下，操作系统或客户端网络栈维护着多张路由表。当应用发起连接时，系统首先查询路由表，根据最长前缀匹配原则确定下一跳。若命中VPN专用路由条目，流量将被封装进UDP或TCP隧道发送至服务器；若命中默认网关路由，梯子则直接经物理网卡发出。这种机制使得同一台设备可以同时拥有两个有效的网络出口，互不干扰。
流量筛选的匹配维度
规则筛选通常包含三个主要维度：目的地址、协议类型和端口范围。最基础的筛选是目的IP，例如将特定境外IP段划入隧道。进阶规则可针对特定应用进程或网络接口。以OpenVPN为例，其`route`指令可指定子网；以WireGuard为例，`AllowedIPs`字段定义了哪些流量允许通过该端点。这些规则共同构成了决策依据，而非简单的全量接管。
分流模式下，加密流量与普通流量通过不同路径并行传输，互不干扰。
分隧道与全隧道的区别
全隧道模式将所有非局域网流量强制送入VPN，确保所有对外通信都经过同一加密通道。分隧道则相反，梯子它仅将符合特定规则的流量送入隧道，其余流量保持直连。这意味着分隧道并非保证所有敏感流量入隧道的开关，而是一种按需分配策略。如果规则配置不当，部分流量可能绕过加密保护，直接暴露源IP给目的服务器。
验证流量走向的只读方法
要确认分流是否生效，可使用只读命令观察路由决策。在Linux系统中，执行`ip route get <目标IP>`可直接查看系统如何路由该目的地址，输出中的`via`或`dev`字段指明了实际出口。在Windows系统中，可通过`route print`查看完整路由表，结合`netstat -o`查看当前连接状态。这些操作不改变任何配置，袋鼠安全且能直观反映当前策略结果，帮助判断特定流量是否真正进入了预定通道。
