很多企业和个人用户部署全量VPN之后经常遇到内网业务访问不通、公网普通网页加载异常的问题，VPN按网段分流就是指定部分目标网段的流量走VPN隧道，其余流量直接走本地网关的规则，本文从实际故障现象倒推适用场景，梳理部署前的配置前提和逐项排查步骤，帮用户避开常见配置误区，解决混合访问场景下的网络冲突问题。
从异常现象倒推VPN按网段分流的典型适用场景
首先第一个常见现象是企业员工远程办公时，连了总部VPN之后，本地家里的智能家居、NAS共享盘完全无法访问，这时候对应的就是第一个适用场景：远程办公混合访问场景，员工既需要访问总部内部的OA、研发服务器等指定网段资源，又要正常访问本地家庭网络的设备、普通公网娱乐资源，不需要把所有流量都转发到总部节点。
第二个常见现象是跨境业务运维人员连VPN之后，国内的云服务控制台、支付平台访问延迟暴涨甚至提示异地登录风险，对应的是第二个适用场景：多区域业务运维场景，只有海外节点的业务服务器网段需要走VPN隧道，国内所有办公系统、公共互联网流量直接走本地运营商链路，避免触发平台的异地访问风控规则。
第三个常见现象是校园网或者政务内网用户，连VPN之后无法访问公共教育资源、外部学术数据库，对应的是第三个适用场景：内外网合规隔离场景，只有涉密或者内部业务网段的流量走加密VPN隧道，其余公网流量直接通过本地网关转发，符合单位的网络安全审计要求，也不会占用VPN隧道的带宽资源。
VPN按网段分流可解决全量VPN部署后本地内网、公网资源访问异常的混合访问冲突问题
VPN按网段分流部署前的核心配置前提
首先要先完成所有目标网段的地址梳理，不能有网段重叠或者漏写的情况，先把需要走VPN隧道的所有业务网段全部列出来，同时要确认本地局域网的私网网段没有和待分流的VPN网段出现地址冲突，这是配置生效的基础，很多后续的路由冲突问题本质上都是前期网段梳理不到位导致的。
其次要确认当前使用的VPN客户端或者网关设备支持策略路由的分流规则，部分老旧的VPN客户端只支持全流量隧道模式，没有自定义网段分流的选项，这类设备无法直接启用该功能，需要先升级版本或者更换支持策略分流的接入端，不要强行修改系统路由表尝试适配，很容易出现路由死循环的问题。
分流规则生效的逐项检查步骤
第一步先检查分流规则的优先级，很多设备的路由规则是最长匹配优先，要确认添加的指定网段分流规则，优先级高于默认的全流量走本地的规则，避免规则被系统自带的默认路由覆盖，飞鱼官网下载导致配置完之后完全没有分流效果。
第二步做完规则配置之后，先在本地主机上执行路由表查询命令，查看目标业务网段的下一跳地址是否指向VPN虚拟网卡的网关，而不是本地物理网卡的运营商网关，这一步的预期结果是目标网段的路由条目下一跳和VPN虚拟适配器的地址匹配，代表路由转发的路径已经符合分流要求。
第三步做连通性测试，先访问一个不在分流列表里的公网站点，确认出口IP是本地运营商的公网地址，再访问一个分流列表里的总部内网业务地址，确认出口IP是VPN节点的对外地址，两个测试都通过才代表分流规则完全生效，没有出现流量错走链路的问题。
部署过程中的常见误区排查
很多用户配置的时候会把0.0.0.0/0这条默认路由也加到分流网段里，相当于回到了全流量走VPN的模式，完全失去了分流的意义，遇到配置后所有流量都走隧道的现象，首先要检查分流列表里有没有全量默认路由的错误条目，及时删除之后就能恢复正常分流效果。
还有部分用户配置的时候漏写了VPN节点本身的网段，导致VPN隧道建立的流量也被迫走还没连通的VPN隧道，出现隧道反复断线重连的死循环，遇到VPN连接频繁断开的现象，要先把VPN接入节点的公网地址加到排除分流的白名单里，让隧道建立的初始流量直接走本地链路。
最后要注意，VPN按网段分流本身只是基于目标地址的路由转发规则，飞鱼VPN不会额外提升网络速度，也不能实现绝对的匿名，所有分流的流量走向都要符合所在区域的网络管理规定，不要用于违规的网络访问场景。
