Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 1215

VPN 分流(Split Tunneling)

VPN 分流(Split Tunneling) 是什么?

VPN 分流(Split Tunneling)一种 VPN 配置,仅将所选流量(如企业子网)经加密隧道传输,其余流量直接走本地互联网。

分流策略在 VPN 客户端(OpenVPN、WireGuard、IKEv2、Cisco AnyConnect、Windows Always On VPN、ZTNA 代理)中配置,使特定目的地——通常是内部 IP 段、DNS 后缀或应用——通过加密隧道传输,其余流量则走本地互联网链路。优点是减轻 VPN 集中器负载、降低 SaaS 延迟、避免对云服务的双重 NAT。但缺点真实存在:终端同时处于可信网络与公网中,削弱了安全边界,使 DLP 与流量检测更复杂,并可能通过本地解析器泄露 DNS。现代设计通过对受管设备使用全隧道、按应用的 ZTNA 策略、指向公司解析器的安全 DNS,以及在每个终端部署 EDR 来弥补。

● 示例

  1. 01

    WireGuard 客户端仅将 10.0.0.0/8 通过公司隧道,Zoom 流量直接走互联网。

  2. 02

    Microsoft 365 的分流指南建议将 Exchange、SharePoint、Teams 优化端点从公司 VPN 中排除。

● 常见问题

VPN 分流(Split Tunneling) 是什么?

一种 VPN 配置,仅将所选流量(如企业子网)经加密隧道传输,其余流量直接走本地互联网。 它属于网络安全的 网络安全 分类。

VPN 分流(Split Tunneling) 是什么意思?

一种 VPN 配置,仅将所选流量(如企业子网)经加密隧道传输,其余流量直接走本地互联网。

VPN 分流(Split Tunneling) 是如何工作的?

分流策略在 VPN 客户端(OpenVPN、WireGuard、IKEv2、Cisco AnyConnect、Windows Always On VPN、ZTNA 代理)中配置,使特定目的地——通常是内部 IP 段、DNS 后缀或应用——通过加密隧道传输,其余流量则走本地互联网链路。优点是减轻 VPN 集中器负载、降低 SaaS 延迟、避免对云服务的双重 NAT。但缺点真实存在:终端同时处于可信网络与公网中,削弱了安全边界,使 DLP 与流量检测更复杂,并可能通过本地解析器泄露 DNS。现代设计通过对受管设备使用全隧道、按应用的 ZTNA 策略、指向公司解析器的安全 DNS,以及在每个终端部署 EDR 来弥补。

如何防御 VPN 分流(Split Tunneling)?

针对 VPN 分流(Split Tunneling) 的防御通常结合技术控制与运营实践,详见上方完整定义。

VPN 分流(Split Tunneling) 还有哪些其他名称?

常见的别称包括: Split Tunnel, 选择性 VPN 路由。

● 相关术语