如何设置分流

本文确定的内容

分流会将选定的一组应用或地址发送到隧道之外，并让其他所有流量留在隧道内。列表中的每一项，都是 VPN 不再处理的流量；这些流量会完整地通过普通网络传输。设置得当，它可以让打印机和银行应用正常工作，同时不影响其他内容；设置得过于宽松，则会变成由你亲自配置的泄漏。以下步骤采用的是严格版本。

两种规则

按应用

规则指定一个程序，该程序的连接会绕过隧道。Windows、macOS 和 Android 客户端都提供此功能；从 Android 17 开始，客户端可以将列表交给系统管理的界面，因此例外由操作系统而不是客户端强制执行 — 如果客户端从自身设置中打开该界面，它使用的就是这一功能。iOS 不向普通客户端提供按应用分流；最接近的功能是下面的本地网络开关。

按地址或子网

规则指定一个目的地，任何程序发往该目的地的流量都会绕过隧道。这种方式更粗略，也更难回溯，因为地址规则涵盖的是明天在该地址响应的任何内容。对于你自己网络上的设备，这是合适的工具；对于互联网上的服务，则不合适。

哪些内容会被发送到隧道之外

1. 你自己网络上的设备 — 打印机、NAS、媒体服务器等；隧道路由会让你无法访问这些设备。先尝试本地网络开关；它的设置范围更小，而且无需添加规则就能覆盖其中大多数设备。
2. 拒绝来自出口地址的连接的应用，通常是银行应用。该规则只让这个应用看到你的真实地址，其他应用不会看到。银行随后会知道你在哪里，这就是需要付出的代价。
3. 默认情况下没有其他内容。列表中的每一项，都是其流量会被你所在网络读取的应用。列表过长，意味着 VPN 只保护浏览器，几乎不再保护其他内容。

例外适用于无法通过隧道工作的应用。它不是用来访问已经决定不向出口所在国家提供服务的服务；那是服务自身的决定，绕过该决定不在本文讨论范围内。

设置规则

1. 打开客户端的分流部分，通常位于连接设置或高级设置中。在 Android 17 及更高版本中，客户端可能会为同一列表打开由系统管理的界面；无论哪种情况，都只有一个列表，而引导你进入该列表的是客户端自身的分流部分。
2. 添加任何内容前先检查模式。大多数客户端提供两种模式：列出的应用绕过隧道，或只有列出的应用使用隧道。第二种是反向分流；列表为空时，意味着没有任何流量经过隧道。确认当前模式符合你的意图。
3. 添加应用，而不是添加其文件夹，并添加实际建立连接的那个可执行文件。包含多个进程的软件套件可能需要分别添加每个进程；添加安装程序文件夹也会把其更新程序一并加入。
4. 完全退出应用，然后重新连接客户端。规则只适用于新连接。保持打开状态的应用会继续使用旧路径，并在检查时给出错误结果。

反向模式

在反向模式下，只有列出的应用使用隧道，其他所有流量都会绕过隧道。当某个应用需要使用隧道，而设备的其余部分应表现得像没有安装客户端时，这种模式很合适；除此之外都不适合，因为你忘记列出的每个应用都会处于开放网络中。如果使用该模式，大多数客户端的终止开关只覆盖列出的应用；其他应用从一开始就不在隧道内。

本地网络访问

大多数客户端都有一个开关，可以让你自己网络中的地址通过，同时让其他所有流量留在隧道内。这是按子网进行的分流，只是由客户端替你选择，因此无需规则就能覆盖打印机和 NAS。在你自己管理的网络上，它带来的代价很小；在公共网络上，它会让该网络中的每台设备都能访问你的设备，这正是它默认关闭、并且值得在离开前再次关闭的原因。

确认分流符合你的要求

1. 在设置了例外的应用中，找到它自己的地址检查功能 — 例如银行应用的会话详情、种子客户端的地址面板，或在设置了例外的浏览器中打开的任何页面 — 并确认显示的是你自己的地址和国家/地区。
2. 在任何未设置例外的应用中运行地址检查，并确认显示的是出口地址。在未添加到列表的浏览器中进行检查；如果还有其他能显示地址的应用，也在其中一个应用中进行检查。
3. 运行一次完整检查：在规则生效的情况下，按照如何检查 VPN 是否正常工作中的方法进行。覆盖范围超过预期的规则，会在该检查中表现为原本应留在隧道内的内容发生泄漏。