什么是分流隧道（Split Tunneling）？

默认情况下，VPN 会把设备的一切网络活动都送进它的隧道。这样简单又有保护，但并不总是方便：家里网络上的打印机可能没有响应，银行应用可能拒绝 VPN 的地址，游戏可能比应有的更慢。分流隧道就是让你在 VPN 与普通连接之间划分流量的设置。

本文从一般意义上介绍：分流隧道如何工作、有哪几种配置方式、什么时候有用，以及你要为此放弃什么。文中不声称任何特定服务提供这项功能。

全部走隧道与分流隧道

全隧道（full tunnel）：所有流量都经过 VPN。你的网络服务商只能看到通往 VPN 服务器的加密连接，网站看到的是 VPN 服务器的地址。

分流隧道（split tunnel）：VPN 软件应用一套规则。符合规则的流量走隧道，其余走你的常规连接，并显示你的真实 IP 地址，就像 VPN 没开一样。

	全隧道	分流隧道
走 VPN 的内容	所有流量	只有你选定的（或除你排除的以外的全部）
本地网络设备	可能无法访问	通常仍可访问
保护范围	广	仅限隧道内的部分
设置成本	无	需要选择并维护规则
常见风险	应用变慢、网站被拦截	忘了有些内容在隧道之外

关于流量如何进出隧道的基础知识，请阅读VPN 是如何工作的。

划分流量的三种常见方式

1. 按应用

你选择哪些应用走 VPN。例如浏览器走隧道，视频通话或银行应用使用普通连接。这是最容易理解的形式，也是大多数人说到分流隧道时指的那种。

2. 按网站或域名

规则基于目的地：只有选定的网站走 VPN，或除选定网站外都走 VPN。这需要更细心，因为一个网站往往会从许多其他域名加载内容。

3. 按网络地址

规则基于 IP 地址段，在公司环境中很常见：访问办公网络的流量走 VPN，普通互联网流量不走。家庭和办公网络通常使用 RFC 1918 中的私有地址段，因此规则可以写成“10.0.0.0/8 走隧道，其余不走”。

包含模式与排除模式

许多 VPN 应用提供两种风格之一：

• 包含（仅这些走 VPN）。 默认在隧道之外，你把想保护的应用或网站加进来。新安装的应用在你添加之前不受保护。
• 排除（除这些之外都走 VPN）。 默认在隧道之内，你列出例外。通常更安全，因为新应用会自动受到保护。

如果可以选择，从隐私角度看，排除模式更稳妥；包含模式适合只想为某一项任务使用 VPN 的人。

分流隧道什么时候有用

• 访问本地设备。 打印机、网络存储或电视投屏目标都在本地网络里，全隧道可能把本地请求送往别处。把本地网络排除出去，它们就能正常使用。
• 拒绝 VPN 地址的应用。 一些银行、支付和政务服务对来自 VPN 服务器的流量比较警惕，可能要求额外验证或拒绝登录。把该应用排除出去，它就看到你的普通连接。这是为了方便使用你自己的账号，而不是为了规避任何规则。
• 减轻隧道负担。 不需要保护的大文件下载或更新可以直连，把容量留给更需要的部分。使用 VPN 时速度变化有多种原因，见为什么使用 VPN 后网速会变化。
• 远程办公。 公司可能只让内部系统走 VPN，使视频通话和一般浏览保持流畅。NIST 等机构的远程办公指南讨论过“所有流量走远程接入隧道”与“只走机构流量”之间的取舍。
• 与地区相关的服务。 你可能希望本地网站看到你的家庭位置，同时另一个应用走 VPN。效果取决于网站及其规则，不要想当然地认为能解锁什么。

一个简单的例子

你在酒店 Wi-Fi 上，想保护邮件和浏览器，但也想把登机牌打印到商务中心的无线打印机，并使用拒绝 VPN 服务器登录的银行应用。采用全隧道时，打印机无法访问，银行应用也会报错。采用排除模式的分流隧道，你把打印机所在的本地网络和银行应用留在隧道之外，其余一切仍在隧道内。

需要注意的是：银行应用现在走的是酒店网络。银行应用通常有自己的加密，但你选择了让酒店网络直接看到这条连接本身，即便内容仍然加密。这是一个你应当清楚知道的取舍。

如何合理设置

1. 先确定要保护什么。 写下你想用 VPN 的一两个理由，例如公共 Wi-Fi。
2. 确认你的 VPN 应用或操作系统是否支持。 不同应用中的位置不同，也不是每种连接方式都有这个功能。
3. 有条件时优先选择排除模式。
4. 尽量少排除。 一次只加一个应用，并且只在确实出问题时才加。
5. 用 IP 查询页面验证。 打开应在隧道内的浏览器，确认地址是 VPN 的，再单独测试被排除的应用。参见如何检查 VPN 是否正常工作。
6. 定期检查你的规则列表。 规则很容易被遗忘，应用也会自动更新。

局限与注意事项

• 被排除的流量不受 VPN 保护。 在公共 Wi-Fi 上，网络运营者可以看到这类连接信息。排除任何在家以外使用的内容之前，请先阅读公共 Wi-Fi 安全。
• 应用并不总是单一整体。 一个应用可能自带内置浏览器、从其他服务加载内容，或启动遵循不同规则的辅助进程。
• DNS 可能不一致。 取决于软件的实现，被排除应用的域名查询可能仍发往你自己的网络服务商，或者隧道内应用的查询出现泄漏。请参考 什么是 DNS 泄漏进行测试。
• Kill Switch 可能不覆盖被排除的应用。 Kill Switch 会在 VPN 失效时阻止流量，但被排除的应用本来就被允许在隧道之外。
• 它是便利功能。 它不会增加安全性，而是用保护范围换取兼容性。

小结

分流隧道按应用、网站或地址段，在 VPN 隧道和普通连接之间划分流量。它有助于访问本地设备、应对拒绝 VPN 地址的应用以及改善性能，但隧道之外的一切都失去了 VPN 的保护。能用排除模式就用排除模式，例外尽量少，并测试你的设置。

如果你想试用有固定天数、不自动续费的 VPN，定价页面展示了预付套餐的运作方式，帮助中心涵盖常见设备上的设置方法。