VPN按网段分流是当前混合办公、多网络并行环境下非常实用的路由调度机制，它不需要让所有设备流量全部走VPN隧道，仅把指定网段的访问请求转发到加密通道，其余流量直接走本地公网，既可以满足跨网访问内部资源的需求，也能避免普通公网访问出现不必要的路由绕转问题，本文结合实际落地场景梳理典型适用情况，旋风加速器给出可落地的配置验证方法，帮用户避开常见的配置误区。
第一类典型适用场景：企业混合办公内网访问场景
很多中小公司的远程办公环境里，员工既需要访问公司内部的OA、代码仓库、业务数据库等内部资源，又要同时访问本地的云文档、视频会议平台、旋风加速器本地办公系统等公网服务，如果走全流量VPN的模式，所有公网流量都要绕到公司机房再转发，很容易出现访问卡顿的问题，这时候VPN按网段分流的适用价值就完全体现出来。
这类场景下的分流规则配置前提非常明确，只需要把所有内部业务系统所属的内网网段，全部加入VPN的分流路由表，其余所有网段的流量都直接走用户本地的运营商网络，不需要经过VPN隧道，既不会影响内部资源的加密访问，也能保证普通公网服务的访问路径最短。
混合办公场景下VPN按网段分流可同时满足内网资源访问与公网流畅使用需求
第二类典型适用场景：多区域业务并行访问场景
很多做跨境业务的团队，日常需要同时访问境内的政务系统、国内云服务节点，以及境外的业务站点、海外合作方内部平台，如果用全隧道模式的VPN，很容易出现境内站点访问触发区域限制的问题，VPN按网段分流的适用场景刚好覆盖这类差异化访问需求。
这类场景下的网段梳理工作要提前完成，先把所有境内需要直连的服务对应的公网网段全部整理出来，再把需要走VPN通道的境外业务网段单独标注，避免出现路由冲突的问题，不要直接把所有境外网段全部加入分流规则，防止无关流量进入隧道造成不必要的带宽占用。
配置前的前置检查步骤
在正式配置VPN按网段分流规则之前，首先要确认当前使用的VPN客户端或者网关设备支持策略路由模式，部分老旧的VPN客户端仅支持全隧道和非隧道两种模式，梯子没有自定义网段分流的配置入口，这类设备无法直接实现按网段分流的效果，需要先升级客户端版本或者更换支持策略路由的网关设备。
接下来要提前梳理所有需要走VPN隧道的目标网段，确认这些网段没有和本地局域网的现有网段出现地址段重叠，如果出现网段重叠的情况，要先调整本地局域网的IP地址段，避免分流规则生效后出现本地设备无法访问共享打印机、本地NAS等资源的故障。
配置完成后的验证方法
配置完分流规则之后，首先可以用路由跟踪工具分别测试两类目标地址的路由走向，先跟踪需要走VPN隧道的内部资源IP，确认数据包的下一跳指向VPN虚拟网卡的网关地址，说明分流规则已经对该网段生效，访问请求会正常进入加密通道。
接下来再跟踪普通公网站点的IP，确认数据包的下一跳指向本地运营商网关，没有进入VPN隧道，说明非指定网段的流量没有被错误转发，整个分流机制的运行符合预期，不会出现多余的路由绕转问题。
常见配置误区排查
很多用户配置分流规则的时候，容易把单个IP地址直接写成子网掩码为32位的主机路由，却漏掉了该业务系统关联的其他附属网段，梯子导致部分关联资源的访问被错误转发到本地公网，出现资源加载失败的问题，遇到这类情况要重新梳理业务相关的所有网段，补全对应的分流规则。
还有部分用户会误把本地DNS服务器的网段加入VPN分流规则，导致所有域名解析请求都被转发到远端VPN节点的DNS服务器，出现本地域名解析失败、部分站点无法打开的故障，这类问题只需要把本地DNS的网段从分流规则里移除就可以快速修复，不需要改动其他路由配置。
