在现代企业网络架构中,虚拟专用网络（VPN）已成为保障远程访问安全的核心技术之一，并非所有用户都希望将整个设备的流量都通过VPN隧道传输——这不仅可能影响本地网络性能，还可能违反某些合规性要求。“非全局模式”（Split Tunneling）的VPN配置应运而生，它允许用户仅将特定流量（如公司内网资源）通过加密通道传输，其余流量仍走本地网络，本文将详细介绍如何在Windows、macOS和Linux系统上搭建非全局模式的OpenVPN或WireGuard服务端，并探讨其优势、配置要点及常见问题解决方案。
明确“非全局模式”的定义：它是一种基于路由规则的流量分流机制，仅对目标IP地址段（如10.0.0.0/8或公司内网网段）启用加密通道，其余流量直接由默认网关处理，这种模式极大提升了用户体验，避免了因全流量代理导致的网页加载缓慢、视频卡顿等问题。
以OpenVPN为例,搭建非全局模式的关键步骤如下：
-
服务端配置：在服务器端的
server.conf中添加以下指令：push "route 192.168.1.0 255.255.255.0" # 推送内网路由 push "redirect-gateway def1 bypass-dhcp" # 若需全局则启用，非全局则注释此行注意：删除或注释
redirect-gateway可确保本地流量不被强制重定向。 -
客户端配置：在客户端
.ovpn文件中，添加：route-nopull route 192.168.1.0 255.255.255.0这样客户端不会自动接收服务端推送的所有路由,而是手动指定需要加密的网段。
-
防火墙与NAT设置：若服务端运行在云主机（如AWS EC2），需配置安全组放行UDP 1194端口；同时确保iptables规则允许转发并正确SNAT源地址，防止回包无法返回客户端。
对于WireGuard,配置更简洁，服务端wg0.conf中：
[Peer]
PublicKey = 客户端公钥
AllowedIPs = 192.168.1.0/24客户端同理,仅允许指定子网通过隧道，无需额外路由脚本，因其原生支持精细的IP白名单控制。
优势方面,非全局模式显著降低延迟、节省带宽成本（尤其移动用户），且兼容本地DNS解析（如家庭打印机、NAS），但挑战在于：需精确识别哪些IP属于内网，否则可能导致数据泄露或访问失败，建议使用静态路由表或结合DHCP标签标记内网设备。
常见问题包括：
- 客户端无法访问内网：检查
AllowedIPs是否覆盖目标网段； - 流量未按预期分流：确认系统路由表（
ip route show）无冲突条目； - 性能瓶颈：启用硬件加速（如Intel QuickAssist）或调整MTU值（通常1400-1420）。
非全局模式是兼顾安全与效率的理想选择,通过合理配置，企业既能保护核心资产，又能让员工享受流畅的本地网络体验，网络工程师应根据业务需求灵活设计路由策略，持续优化用户体验。
半仙加速器-海外加速器|VPN加速器|vpn翻墙加速器|VPN梯子|VPN外网加速
