分离隧道（Split Tunneling）

分离隧道让你决定哪些流量走 VPN，哪些走普通网络。不开启时，VPN 通常把所有流量都发往自己的服务器。开启后，你可以让网银应用或浏览器留在隧道内，同时让游戏、本地流媒体或家里的打印机直接联网。

工作原理

VPN 连接时会修改设备的路由表，让流量进入虚拟网卡，再发送到 VPN 服务器。分离隧道在这套路由里加入例外：VPN 应用标记特定的应用、域名或 IP 段，让它们的数据包改走常规网卡。

大多数应用提供以下一种或两种模式：

• 排除模式（绕过）： 除列表中的应用或网站外，其余全部走 VPN。
• 包含模式（反向分离隧道）： 只有列表中的应用或网站走 VPN，其余直连。

排除模式更适合作为默认选择，因为新安装的应用会自动受保护，除非你手动把它移出。

分离隧道的类型

消费级 VPN 最常见的是按应用分流。按域名分流通常通过浏览器扩展实现，或把域名解析成 IP 再处理，所以遇到 IP 经常变化或使用 CDN 的网站时可能失效。企业 VPN 多用路由规则，只把公司内网网段送进隧道。

为什么重要，什么时候需要

• 速度与延迟： 加密和多绕一跳到 VPN 服务器都会增加延迟。游戏、视频通话和大文件下载放在隧道外往往更快。
• 本地服务： 部分银行、政务网站和流媒体会屏蔽已知的 VPN IP，把它们排除在外就不必反复断开 VPN。
• 同时使用两个地区： 一边通过境外服务器观看内容，一边让本地应用看到你的真实位置。
• 局域网访问： 全部流量进隧道时，打印机、智能电视、Chromecast 和网络硬盘经常无法连接。
• 流量限额： 免费 VPN 往往有每月流量上限，把高流量应用放在隧道外可以节省 VPN 流量。

局限与风险

隧道外的流量不受 VPN 保护。运营商或公共 Wi-Fi 的管理者能看到它访问了哪些网站，网站也能看到你的真实 IP。在公共 Wi-Fi 上处理敏感事务的应用不要排除。

还需要注意：

• DNS 泄露： 如果隧道内外共用同一个 DNS 解析器，查询记录可能暴露你的活动。好的应用会让隧道内的 DNS 请求留在 VPN 内，参见 私人 DNS。
• 与 Kill Switch 的关系： Kill Switch 会在 VPN 掉线时阻断流量，但被排除的应用仍在真实网络上运行。有些应用在开启特定 Kill Switch 模式时会停用分离隧道。
• 平台差异： Windows 和 Android 支持最完整。iOS 由于苹果的网络限制，大多数 VPN 应用无法提供按应用分流。macOS 和 Linux 的支持情况因应用和版本而异。
• 浏览器整体生效： 排除浏览器等于排除其中所有标签页。需要更细的控制时，可以用域名规则或另开一个浏览器。
• 规则容易遗忘： 规则列表一长就容易忘记，使用习惯变化时应重新检查。

对比 VPN 时要看什么

• 支持哪些平台：Windows、macOS、Android、iOS、Linux、路由器。
• 提供排除模式、包含模式，还是两者都有。
• 只能按应用分流，还是也支持域名和 IP 规则。
• 被排除流量的 DNS 如何处理。
• 能否与 Kill Switch 和 混淆服务器 同时使用。
• 免费版是否可用，还是仅限付费版。
• 是否有单独的局域网访问开关，这样就不必为本地设备手动写 IP 规则。

相关概念

分离隧道 vs 全隧道： 全隧道让所有流量走 VPN，覆盖最全面但缺乏灵活性。分离隧道 vs 代理： 代理通常本来就只作用于某个应用或浏览器，分离隧道则是在全局 VPN 的基础上划出例外。分离隧道 vs Double VPN： Double VPN 改变的是隧道内流量的路线，让它经过两台服务器，并不决定哪些流量进入隧道。