在VPN分流模式下，并非所有网络流量都强制经过加密隧道。这种模式的核心在于通过路由策略或流量选择器，区分需要保护或加速的流量与可以直连的普通流量。验证访问路径的关键，水母在于确认特定数据包是采用了本地默认网关，还是被导向了VPN接口。理解这一机制有助于避免“开了VPN就等于全盘代理”的误区，也能更准确地诊断连接异常或延迟问题。
分流机制的判定依据
客户端是否将流量送入隧道，主要依赖操作系统的路由表状态、VPN协议中的流量选择器配置或客户端层面的应用策略。例如，基于IKEv2/IPsec的客户端通常通过Tunnel-Endpoint和SADP策略定义匹配规则；而OpenVPN或WireGuard则可能依赖路由注入或用户态代理。分隧道模式下，系统允许未匹配规则的流量绕过隧道，直接使用物理网卡访问网络。这意味着“分流”并不等同于“全加速”或“全隐藏”，未入隧道的流量仍由本地ISP分配出口IP。
确认路由指向的方法
最直接的只读检查方法是观察操作系统的活动路由表。在Windows系统中，可通过命令行工具查看默认网关及特定网段的路由条目，确认0.0.0.0/0是否指向VPN接口，或特定IP段是否被绑定至虚拟网卡。在Linux或macOS下，水母检查路由表项即可判断流量是否被重定向。如果存在多条路由，需关注度量值（Metric）和网关接口名称。若某网段的路由指向物理网卡而非VPN虚拟接口，则该段流量未经过加密隧道，直接经由本地网络出口发出。
通过物理连接与路由策略，直观区分本地直连流量与远程隧道流量。
使用流量捕获验证路径
对于需要更深层证据的场景，可结合网络抓包工具进行只读分析。在启动VPN客户端并建立会话后，捕获经过本地网卡的UDP或IPsec ESP流量。如果观察到针对目标IP的DNS查询或TCP握手直接出现在物理网卡上，而非封装在ESP报文中，VPN下载说明该流量未走隧道。反之，若目标流量在本地网卡上表现为发往VPN服务器IP的IPsec包，则证明路径已分流至隧道。此方法不涉及任何配置修改，仅监控当前网络行为，风险极低且能提供路径走向的直观证据。
区分出口IP与路径
验证路径时，需明确“流量去向”与“出口IP”的区别。即使流量未入隧道，若其目标是本地服务器或内网资源，路径验证仅关注下一跳网关。而对于公网流量，未入隧道的流量其出口IP为本地ISP分配的公网IP。若业务需求要求某些敏感流量必须入隧道以改变出口，则需确保路由策略覆盖了相应网段。某些加速服务可能中继流量，此时出口IP可能变更，但这取决于服务提供商的架构，不能仅凭客户端分流设置断定。因此，水母验证时应结合实际业务目标，区分“技术路径”与“最终出口位置”，避免将两者混淆。
