MotionPro 的核心 L3VPN 模式：工作原理与 Full Tunnel / Split Tunnel 对比
MotionPro Plus 只支持 L3VPN
需要先明确一个官方限制：MotionPro Plus 客户端只支持 L3VPN 模式。如果 AG 网关配置了 motionpro portal vpnpolicy both（同时支持 L3VPN 和 Web 两种模式），Plus 客户端仍然只会使用 L3VPN 模式，不会受影响。
这意味着 MotionPro Plus 客户端与旧版 MotionPro 客户端的一个重要差异：Plus 版专注于移动场景下的 L3VPN + 企业应用门户，不再提供复杂的 Web 模式配置。
L3VPN 是什么
L3VPN（Layer 3 VPN）的"Layer 3"指的是 OSI 七层模型中的网络层（IP 层）。这意味着 VPN 隧道是在 IP 数据包层面建立的：
- 应用层数据 → TCP/UDP 封装 → IP 数据包 → MotionPro 虚拟网卡 → SSL 隧道 → AG 网关
- 网关解封装 → IP 路由 → 内网目标服务器
对用户来说完全透明：你的应用（浏览器、FTP 客户端、SSH 终端、原生 App）完全感知不到 VPN 的存在，它们只是向虚拟网卡的 IP 地址发送数据包，MotionPro 在后台负责加密和转发。
Full Tunnel vs Split Tunnel
这是 L3VPN 路由策略中最核心的设计选择。
Full Tunnel（全隧道）
- 所有流量（包括访问百度、YouTube 等公网站点）都通过 VPN 隧道发往 AG 网关
- 网关作为统一出口处理所有流量
- 优点：网关端可以全面审计用户的所有网络活动；安全策略可以覆盖所有流量
- 缺点：网关压力大（承担所有公网出口流量）；公网访问速度受网关带宽影响；增加延迟
Split Tunnel（分流隧道）
- 只有内网网段的流量走 VPN 隧道
- 公网流量直接走本地网络（家庭宽带、手机热点），不经过 VPN
- 优点：网关压力小；公网访问保持本地速度；VPN 只承载必要的内网流量
- 缺点：网关只能审计内网访问，公网活动由本地网络处理
实际使用中几乎都是 Split Tunnel
在高校和企业场景中，AG 网关通常默认配置为 Split Tunnel。网关根据组织的内网网段（如 10.0.0.0/8、172.16.0.0/12、内部 DNS 域名）下发路由表，客户端根据路由表判断：目标地址在路由表范围内 → 走 VPN；否则 → 直接走本地。
你可以在桌面端用以下命令查看 MotionPro 下发的路由表：
# Windows
route print | findstr /i "motionpro 内网网段"
# macOS/Linux
netstat -rn | grep -i motionproVPN 策略切换
AG 网关管理员可以通过 motionpro portal vpnpolicy 命令为 MotionPro 客户端配置不同的策略模式：
l3vpn：纯 L3VPN 模式（MotionPro Plus 唯一支持的）web：纯 Web 模式（浏览器级 VPN，Plus 不支持）both：同时支持两种模式，但 Plus 只会用 L3VPN
对于普通用户来说，这些策略是网关端配置好的，客户端不能自行切换。如果你需要特定的路由策略，联系组织 IT 部门。