VPN应用分流开关用于指定仅部分应用或特定流量经由VPN隧道传输，梯子软件其余流量直接通过本地网络访问互联网。它并非强制所有数据入隧道的安全锁，而是基于路由策略的流量分配工具。在无需全量匿名或加速的场景下，开启分流可保留直连速度与连接稳定性，同时让受监管或需要专线的应用走隧道。
何时启用分流而非全量隧道
当VPN主要用于访问内网资源或特定SaaS服务时，无需将日常浏览、游戏或流媒体全部推入隧道。全量隧道可能因中继节点延迟导致体验下降，且部分网站会因IP变化频繁重置会话。分流模式下，指定白名单应用走隧道，其他流量直连，既满足合规需求，大象又避免不必要的性能损耗。
流量分流让关键应用走隧道，其他数据直连，兼顾安全与速度。
分流依赖客户端策略而非路由表
现代VPN客户端如WireGuard或OpenVPN通常通过流量选择器（Traffic Selector）或本地代理规则决定归属。路由表仅记录下一跳，不直接控制应用级分流。若未配置正确策略，即使路由指向隧道接口，系统仍可能将无关流量误导向直连。检查时应确认客户端日志中的匹配规则，而非仅看系统路由。
分流不改变非目标流量的出口属性
未经过隧道的流量仍保留本地ISP分配的源IP，目的地所见出口不变。而进入隧道的流量，其出口IP由VPN中继或隧道对端决定。这意味着分流并非“加密开关”，而是“路径选择器”。若目标要求所有流量不可被第三方追踪出口，则必须全量入隧；若仅特定业务需隔离，分流即可满足。
验证分流效果的只读方法
在目标设备上运行 traceroute 或 ping 两个不同域名：一个在分流白名单内，一个不在。观察响应路径是否分别经过VPN网关或本地路由器。同时查看VPN客户端状态页中的活跃会话列表，确认仅白名单应用存在隧道会话。避免修改防火墙或重置网络，仅通过现有工具比对路径差异即可判断策略是否生效。
