MotionPro 的分流与非分流模式：Split Tunnel vs Full Tunnel 详解

核心差异

MotionPro 的 L3VPN 路由策略有两种模式，完全由 AG 网关端 配置，客户端被动遵循：

Split Tunnel 为什么是主流

在高校和绝大多数企业场景下，AG 网关默认配置为 Split Tunnel。原因很简单：

1. 成本效率：网关带宽是贵的，让它承载全部公网流量是巨大浪费
2. 性能体验：用户访问公网（查资料、刷视频）时不需要绕到公司/学校网关再出来，延迟更低
3. 合规考虑：很多组织只需要审计员工的内网访问，不希望也不需要监控所有公网浏览活动
4. 架构合理：VPN 的定位就是"内网入口"，而不是"公网出口"

Split Tunnel 的工作原理

Split Tunnel 的关键是 路由表：

1. VPN 隧道建立后，AG 网关下发一个 内网网段列表（路由表）
2. 这个列表通常包含组织的所有私有网段，如 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16
3. 客户端操作系统收到路由表后，修改内核路由规则
4. 之后所有 IP 数据包出发前，内核先查路由表：

• 目标 IP 在路由表内 → 发给 MotionPro 虚拟网卡 → 加密 → 隧道
• 目标 IP 不在路由表内 → 发给默认网关（家里路由器/运营商）→ 直接出网

内网网段可能包括哪些

不同组织的路由策略不同，但通常会下发：

• 所有内网私有网段（RFC 1918）
• 特定的服务器公网 IP（如组织购买的云服务器）
• DMZ 网段（有一部分公网可达但需要审计的服务器区域）

网关端还可以配置 exclude list（排除列表）——某些特定 IP 即使在内网网段内也不走 VPN（比如某些不应该被审计的内网系统）。

Full Tunnel 的适用场景

Full Tunnel 在以下场景下有意义：

• 高合规要求：金融、政府等对网络审计有严格要求的行业，需要确保所有网络活动都可追溯
• 网络出口管控：部分组织希望员工在任何网络环境下都强制通过公司的安全出口访问公网（防止数据泄漏、恶意链接等）
• 安全审查：部分组织的 Host Checking 或数据防泄漏（DLP）策略只有在 Full Tunnel 下才能全面生效

但这种配置对网关的压力很大，通常只在组织内的特定用户组（如 IT 运维、财务）上启用。

我用的是哪种模式

大多数普通用户不需要关心这个——它是网关端的策略配置，客户端自动遵循。但如果你好奇，可以：

Windows

route print

看 Active Routes 部分，如果看到指向 VPN 虚拟网卡的路由只有少数几条内网网段（如 10.0.0.0/8），那就是 Split Tunnel；如果 0.0.0.0/0（默认路由，即所有流量）也指向 VPN 网卡，那就是 Full Tunnel。

macOS / Linux

netstat -rn

查看 default 路由（0.0.0.0 或 ::）走的是哪个接口。如果走的是本地网卡（如 en0/Wi-Fi），就是 Split Tunnel；如果走的是 VPN 接口（如 utun0），就是 Full Tunnel。

修改模式

普通用户不能自行修改。VPN 路由策略是 AG 网关端配置项，由组织 IT 部门统一管理。如果你确实需要特殊的路由策略（比如某个特定的公网 IP 也需要走 VPN），联系 IT 部门提需求——他们可以在网关端调整路由表。