在现代网络环境中，虚拟私人网络（VPN）已成为保障数据安全、突破地域限制和优化访问体验的重要工具。“局部代理”（Split Tunneling）功能尤为关键——它允许用户仅将特定流量通过加密隧道传输，而其他流量则直接走本地网络，从而兼顾隐私保护与性能效率，本文将从技术角度深入剖析局部代理的核心机制，并结合典型开源项目中的源码实例,帮助网络工程师理解其底层逻辑与实际部署要点。
局部代理的本质是路由策略控制，传统全隧道模式下，所有流量均被强制经由VPN通道，这可能导致延迟增加或带宽浪费，局部代理则通过动态路由表（Routing Table）实现智能分流：当客户端发起请求时，系统会根据目标IP地址或域名判断是否需要走代理，若为受信任的服务（如公司内网），则绕过VPN；否则,自动进入加密通道。
以OpenVPN为例，其局部代理功能常通过配置文件中的route指令实现。
route 192.168.0.0 255.255.0.0此命令表示将局域网段（192.168.x.x）的流量直接发送到本地网关，不经过VPN隧道，源码层面，OpenVPN在初始化阶段会调用add_route()函数（位于routemgmt.c），该函数通过Linux的ip route add命令修改内核路由表，若需更细粒度控制（如按应用或端口）,可借助iptables规则或SO_ORIGINAL_DST套接字选项。
另一个典型案例是WireGuard，其局部代理依赖于“接口绑定”机制，WireGuard的配置文件中定义了AllowedIPs字段,用于指定哪些子网应通过隧道传输。
[Peer]
PublicKey = ...
AllowedIPs = 0.0.0.0/0这表示默认全流量走代理；若改为AllowedIPs = 10.0.0.0/8, 192.168.0.0/16，则仅这些网段被代理，WireGuard的内核模块（wireguard.ko）会在数据包进入时检查目标IP是否匹配AllowedIPs列表,若不匹配则直接转发至物理接口。
值得注意的是，局部代理的实现涉及多个层次的协作：
- 应用层：通过
setsockopt(SO_ORIGINAL_DST)获取原始目的地址（适用于HTTP代理场景）； - 网络层：利用
ip rule添加策略路由（如ip rule add from 192.168.1.100 lookup 100）； - 内核层：修改
/proc/net/route或使用netlink socket动态更新路由表。
实践中，局部代理可能引发安全风险：若配置不当，敏感流量可能意外暴露在明文网络中，建议结合防火墙规则（如iptables的-m addrtype --dst-type LOCAL）进行二次过滤，移动端（如Android的VpnService）需处理权限申请和DNS劫持问题，源码中常见setDnsServers()方法调用。
局部代理不仅是技术优化，更是网络安全与用户体验的平衡艺术，通过分析OpenVPN/WireGuard等项目的源码，我们能清晰看到路由决策如何从配置文件落地为内核行为，对于网络工程师，掌握此类机制不仅能提升故障排查能力，更能设计出更高效的混合网络架构，随着eBPF等新技术普及，局部代理或将实现更灵活的实时策略调整——而这正是我们持续探索的方向。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
