很多人在开启VPN后发现部分网站访问路径变了，甚至原本走本地宽带的内网资源突然无法访问，本质上都是VPN虚拟网卡接入系统后，修改了原有路由决策逻辑，让原本发往物理网卡的流量，被引导到虚拟网卡对应的隧道链路里，最终改变了整个网络访问的转发路径。
容易混淆的两个基础概念
很多用户会把虚拟网卡收到的内层业务流量，和走公网传输的加密外层隧道流量混为一谈。典型的用户态TUN模式VPN实现里，虚拟网卡只负责和VPN客户端交换未加密的内层IP数据包，极速VPN后续的封装、加密操作都由VPN客户端完成，再通过原本的物理网卡发往公网。
不少人以为只要开启VPN，所有流量就一定会走隧道，实际上流量的转发选择由系统路由表、极速加速器VPN客户端自带的流量选择器、预设的分流策略共同决定，不存在默认强制全量走隧道的必然规则。部分VPN客户端的默认配置就保留了本地直连的内网网段路由，这类流量不会进入隧道。
开启VPN后系统路由规则调整，不同流量将按照预设策略选择对应的转发路径
单设备场景下的路径变化完整过程
我们以普通Windows办公电脑的常见场景为例：用户本地电脑连接了家用WiFi物理网卡，又启动了支持TUN模式的远程办公VPN客户端，客户端成功加载虚拟网卡完成连接后，极速加速器系统路由表会新增一批指向该虚拟网卡的高优先级路由条目。
当用户此时访问公司内网的文件服务器IP，系统匹配到优先级更高的VPN路由，就会把这个IP的数据包发给VPN虚拟网卡，由VPN客户端封装加密后，通过原本的WiFi链路发往远端VPN网关，解密后再转发到公司内网服务器。
如果VPN客户端开启了分隧道策略，仅指定公司内网网段走隧道，那么用户访问普通公网视频网站的流量，就不会匹配到虚拟网卡的路由，依旧直接通过物理网卡走本地宽带出口，不会经过远端VPN网关。
低风险验证路径变化的可行方法
不需要修改任何网络配置，你可以在VPN连接成功前后，分别执行Windows系统自带的路由查看命令，对比新增的路由条目，就能直观看到哪些目标网段被引导到了VPN虚拟网卡，全程属于只读操作，不会影响现有网络连接。
你可以直接ping指定的业务IP地址确认连通性，但要注意ICMP无回应不能直接判定VPN隧道故障，极速VPN也不能直接对应VPN服务的外层协议端口被阻断，需要结合路由匹配结果综合判断，不要仅凭单次ping结果下结论。
如果VPN开启了分隧道模式，不要默认所有敏感流量都会自动进入隧道，你需要对照客户端官方给出的分流规则说明，确认你关心的目标地址是否在隧道转发的范围内，避免出现预期外的直连情况。
