分流隧道与全隧道 VPN：安全取舍

几乎每个 VPN 应用里，迟早会出现一个名字让人迷惑的开关：分流隧道（Split Tunneling）。它背后是 VPN 网络中最古老的设计选择之一：你是把所有流量都送进加密隧道，也就是全隧道（Full Tunnel），还是只送一部分，也就是分流隧道？每种答案保护一些东西，同时也暴露另一些东西。

本文把这个选择当作安全决策来讨论，而不是功能清单。我们看每种模式下哪些内容被隐藏、哪些仍可见，各自会出现哪些典型错误，以及如何按设备、应用和网络来选择。如果你需要先了解该功能的基本定义，请先阅读 什么是分流隧道，再回到这里。

两种模式的整体图景

在全隧道模式下，设备把每一个数据包都先送到 VPN 服务器。浏览器、邮件、后台更新、聊天软件、系统服务和游戏走同一条路。本地网络只看到一条加密的数据流，别的什么都看不到。

在分流隧道模式下，设备同时有两条路径。一部分流量进入 VPN，另一部分走普通连接，也叫直连路径。哪些走哪条，由规则决定。常见的规则有三类：

• 按应用。 你选择哪些应用走隧道，或哪些应用留在隧道外。
• 按目的地。 某些 IP 段或域名走隧道，其余直连，或者反过来。企业经常这样做。
• 按网络。 VPN 根据你所连的 Wi-Fi 自动开启或关闭。

有两个说法容易混淆。“排除式”（exclude 或 inverse）分流表示除了你列出的项目，其余全部走 VPN。“仅包含式”（include）表示除了你列出的项目，其余都不走 VPN。两者的安全含义正好相反：排除列表从安全状态出发再添加例外；仅包含列表从开放状态出发，再一点点加入保护。

两种模式分别暴露什么

项目	全隧道	分流隧道
共享咖啡馆网络上的流量	全部被隧道包裹	仅进入隧道的部分被包裹
本地网络能看到哪些网站	看不到，只看到 VPN 服务器	能看到直连流量的目的地
网站看到的你的真实 IP	所有应用都被隐藏	隧道外的应用可见
某个应用泄漏的影响	被限制住	可能暴露真实 IP 或位置
规则配置错误的风险	低	较高，规则可能出错或过期
本地设备（打印机、NAS、电视）	默认往往无法访问	本地流量直连时可以访问
被排除应用的速度	较慢，要经过 VPN	正常速度
对单台 VPN 服务器的依赖	一切都依赖它	仅隧道部分依赖它

核心要点是：分流模式下，你需要保证每一条规则都正确；全隧道下，你只需要保证一件事，就是隧道有没有开着。

支持全隧道的安全理由

全隧道的论据很简单：设备除了经过 VPN，不留任何正常出口。

1. 出错的地方更少。 没有要记住的按应用规则，也不会因为应用更新或改名而出现过期的列表。
2. 保护后台流量。 应用在你没打开它的时候也会联网。更新程序、同步服务、统计与推送服务都被覆盖。
3. 在共享网络上行为一致。 在酒店、机场和咖啡馆 Wi-Fi 上，设备的任何内容都不会以明文穿过房间。
4. 更简洁的断网保护基础。 当 kill switch（断网保护） 在隧道断开时阻断流量，规则可以很简单：阻止所有不经隧道的流量。如果某些流量本就打算直连，这就更难推理。
5. DNS 的情况更清楚。 所有域名查询都可以交给 VPN 的解析器，有助于避免 DNS 泄漏。

全隧道也有代价。更多流量要经过同一台服务器，不需要保护的任务也会变慢。一些本地设备会失灵：网络打印机、投屏设备或路由器管理页面，在隧道开启时可能消失。而且一些银行、支付或办公应用会对 VPN 地址起疑而拒绝打开。

支持分流隧道的安全理由

分流隧道不只是图方便的功能。对某些任务来说，它是更安全、更合理的设计。

• 缩小企业隧道的攻击面。 公司可能只希望访问内部系统的流量走 VPN。让每位员工的娱乐和私人浏览也经过公司网关，只会增加负载、日志和风险，没有任何收益。
• 保持本地服务可访问。 你自己网络里的打印机、智能音箱和文件共享需要直连。只让工作目的地走隧道的规则，可以让两者共存。
• 让敏感应用正常运行。 对 VPN 地址反感的银行应用，在你信任的网络上直连时往往能正常使用，而其余流量依然受保护。
• 保持对延迟敏感的应用响应迅速。 视频通话和游戏会被额外的跳数拖累，可参考 VPN 速度为何会变化。在你信任的家庭网络上排除它们，是合理的取舍。

风险在于隧道外的那一部分。被排除的内容，暴露程度等同于没有开 VPN。对自家路由器上的电视应用来说没关系，对机场 Wi-Fi 上的邮件应用就很糟。

分流隧道会在哪里泄漏

大多数分流隧道事故源自几个相同的原因。

• DNS 被单独处理。 如果域名查询走普通网络，而网页流量走 VPN，网络运营者仍然能看到你查询的每一个域名。请找到把 DNS 送进隧道的设置；如果你的配置把二者分开，可参考 分离 DNS。
• IPv6 没有被覆盖。 有些隧道只承载 IPv4。如果某个网站可通过 IPv6 访问而隧道不处理，你的真实地址就可能暴露。
• 会派生辅助进程的应用。 浏览器、游戏启动器或聊天软件可能启动辅助进程或内嵌浏览视图。如果规则只包含主进程，应用的一部分可能绕过隧道。
• 更新后名称或路径变化的应用。 匹配旧可执行文件的规则，在更新之后会失效。
• 切换 Wi-Fi。 从家里走到咖啡馆却没有改规则，被排除的应用就会暴露在不可信的网络上。
• 本地路由优先。 针对 192.168.1.0/24 的路由让你能访问本地网络。如果一个恶意或配置错误的网络使用了同一地址段，本该进入 VPN 的流量可能被送到本地某台机器。这种情况罕见，但确实存在。

这些都不需要什么高深的攻击，只是普通设置长期无人复查。

如何选择：决策指南

与其一次定终身，不如按场景决定。

场景	建议模式	理由
酒店、机场或咖啡馆 Wi-Fi	全隧道	网络不可信，尽量减少暴露
家庭 Wi-Fi，希望对运营商保持隐私	全隧道	对服务商隐藏目的地
在家，银行应用拒绝在 VPN 下运行	分流并排除该应用	在可信网络上的短期例外
在家，开 VPN 时仍需使用打印机和 NAS	分流并允许本地访问	仅本地流量直连
工作笔记本与雇主的 VPN	以雇主设置为准	策略属于雇主，不属于你
信号较弱地区的移动数据	全隧道，先测试	只有应用出问题时才加例外
在可信的家庭网络上玩在线游戏	分流并排除游戏	延迟更低，该流量风险较小

如果想给自己定一条经验法则：先用全隧道，只有在有明确、已审查的理由时，才逐条添加例外。

安全地建立分流规则的步骤

1. 从全隧道开始，并确认它能用。 打开几个网站和应用，看有没有什么坏掉。
2. 列出真正出问题的东西。 记下有问题的那一个应用或设备，不要提前排除。
3. 一次只排除一项。 每次修改后，重复之前失败的测试。
4. 检查 DNS 和 IP。 在开着 VPN 且排除规则生效时，按 泄漏测试方法 检查。
5. 记录适用的网络。 对不想在公共 Wi-Fi 上使用的规则，注明“仅限家中”。
6. 每次应用更新后复查。 确认规则仍然匹配该应用。
7. 理由消失就删除例外。 一条本应临时的规则若一直保留，就会变成永久的漏洞。

三个场景

家里有打印机的远程办公者。 阿荣在家办公，连接 VPN 访问客户系统，同时用无线打印机打印发票。全隧道时，只要开着 VPN，打印机就不见了。她改用一条只把客户地址段送入隧道、本地网络直连的规则。结果客户流量受保护，打印方便，而且她根本没让音乐或视频走 VPN。到咖啡馆办公时，她会把笔记本改回全隧道。

宿舍网络里的学生。 小凯与几百人共用宿舍网络，他始终保持全隧道。学校的银行应用在 VPN 开启时拒绝打开。他只为这一笔付款关闭 VPN，用手机移动数据完成后再打开。他没有在共享网络上设置永久的例外。

家里有智能电视的家长。 小米在手机和笔记本上使用 VPN，但全家看视频的电视应用需要家庭网络。她把电视留在 VPN 之外，因为它是自家路由器上的独立设备；而手机一离开家就使用全隧道。

常见误区

• 在公共 Wi-Fi 上把分流隧道当作默认设置。
• 把浏览器排除在外，却忘了你大部分活动都发生在浏览器里。
• 以为“VPN 已开启”就等于一切都被覆盖。
• 从家里换到共享网络之后，仍保留为提速而设的排除规则。
• 修改规则后从不测试 DNS 或 IPv6。
• 把 VPN 当成防火墙。两者的区别见 VPN 与杀毒软件、防火墙的区别。

总结

全隧道是更安全的默认选择，因为它把一切送进 VPN，留给出错的空间很小。分流隧道是为兼容性和速度做的有意取舍，在可信网络上针对狭窄、可命名的例外是可以接受的，在共享网络上则有风险。请按场景决定，每次只改一条规则，并在每次修改之后都测试 DNS 和 IP。目标不是找到抽象意义上防护最强的设置，而是随时清楚地知道，自己的哪些流量此刻受到了保护。

如果想用短期预付通行证，在自己的设备上试试两种模式，可在 价格页面 查看目前的选择。