VPN按网段分流的工作原理，核心在于操作系统路由表与流量选择器的协同控制。当客户端发起连接时，系统会检查目标IP是否匹配VPN客户端预定义的路由策略。若目标地址属于指定网段，数据包将被封装并通过加密隧道发送；若不在网段内，则直接通过本地网络出口发送。这种机制并非由单一开关决定，而是依赖精确的路由匹配规则实现差异化处理。
路由决策的具体执行过程
在网络场景下，假设用户配置VPN仅保护10.0.0.0/8网段。当应用请求访问10.1.1.1时，客户端识别目标IP命中路由表中的内网策略，数据包经过加密后通过IPsec隧道传输至远端网关。此时本地网卡不直接处理该流量，而是由VPN协议栈接管。
VPN按网段分流机制示意：特定流量走加密隧道，其余直接通过本地网络出口。
反之，若请求访问公共域名解析出的IP（如1.1.1.1），由于不在保护网段范围内，数据包会遵循默认路由，直接从本地网络出口发送。这种分流感知发生在传输层之前，确保了非敏感流量不受VPN隧道延迟影响，而敏感流量获得加密保护。
流量选择器的作用范围
流量选择器（Filter）是分流策略的关键组件，番茄加速器它定义哪些应用、用户或端口组合的流量进入隧道。在IKEv2或IPsec协议中，选择器通过SAD（安全关联数据库）中的流量描述符实现。仅当数据包的五元组（源IP、目的IP、源端口、目的端口、协议）完全匹配选择器规则时，才会被纳入加密隧道。
若配置不当，可能出现“部分入隧”现象。例如，仅对TCP 443端口启用分流，番茄则同一应用的HTTP请求可能直连，而HTTPS请求走隧道。这种细粒度控制需依据具体设备或客户端支持的功能集进行配置，不同厂商对流量选择器的实现细节存在差异，应以官方文档为准。
分流的适用边界与限制
网段分流不等同于全局强制入隧道。它允许部分流量直连，番茄加速器而非保证所有敏感流量都经过加密路径。若业务要求全量加密，需配置包含所有IP空间的流量选择器或使用全局隧道模式。此外，NAT穿越能力、中继节点配置及出口IP归属等特性，取决于具体VPN服务商的基础设施架构，无法仅凭分流机制推断出口IP是否被更改。
用户应注意，分流的实际效果受限于底层网络拓扑。例如，在本地网络出口限制特定目标网段的情况下，即使配置了直连，流量也可能因路由不可达而失败。验证分流行为时，建议通过抓包工具观察数据包的封装类型（IPsec ESP头或明文IP头），而非仅依赖客户端连接状态指示。
