Appearance
VPN 分流底层原理与架构指南：最长前缀匹配、CIDR 路由表与现代规则引擎 (2026)
在使用 VPN 客户端时，如果开启了所谓的「全局模式」，你的所有网络请求（包括访问百度、网易云音乐、公司内部 OA 以及微信聊天）都会被强行送往远端的海外服务器。这不仅会瞬间耗尽宝贵的专线流量，还会导致国内视频网站被误判为跨国访问而降低画质，甚至触发各大银行和社交平台的「异地异常登录」风控冻结。
分流（Traffic Routing / Split Tunneling） 是解决这一矛盾的核心技术。它能让特定的流量（如访问 GitHub、YouTube、Google）自动走加密隧道出海，而国内网站和局域网设备依然保持千兆光纤直连。
本专区为你深度解构从三层 IP 路由表到七层域名规则引擎的分流底层原理，并提供全套分流实操教程入口。
独立第三方声明与客观中立原则
一、三大分流技术流派全维度对比
在现代网络工程中，实现流量分流通常有以下三种不同的技术流派：
| 分流实现流派 | 工作网络层级 | 匹配依据 | 典型代表工具 | 优点 | 局限性 |
|---|---|---|---|---|---|
| 三层 IP 路由分流 | 三层 (网络层) | 目标 IP 所属的 CIDR 网段 | WireGuard AllowedIPs、OpenVPN route | 内核原生支持、开销极低、不依赖代理软件 | 无法感知域名与应用，仅能按 IP 粗粒度划分 |
| 域名规则引擎分流 | 七层 (应用层) | 目标域名、泛域名、SNI 嗅探 | Clash、Sing-box、Surge | 分流极其精准、支持按网站灵活配置规则 | 需要前置解析 DNS 或劫持 SNI，开销略高 |
| 进程与套接字分流 | 系统适配层 | 发起网络请求的进程包名/EXE | Android VpnService、Netch、Windows WFP | 游戏与特定软件专属加速、零干扰其他进程 | 依赖系统特权驱动，跨平台实现复杂 |
二、分流配置核心实操长文索引
点击下方专题卡片，直接查看详尽的分流配置实战教程：
路由策略 · IP 实战
国内外精准分流实操：China IP List 路由动态加载 →
详细拆解利用 Python 脚本从 APNIC 自动拉取中国大陆最新 CIDR 地址块，生成高性能直连白名单路由表。
高阶语法 · 规则定制
自定义分流规则实战：DOMAIN-SUFFIX 与 CIDR 混配指南 →
深入讲解现代规则引擎的语法结构，结合 GEOIP、SRC-IP-CIDR 以及端口范围实现细粒度流量导流。
规则订阅 · 自动化维护
分流规则集维护指南：Rule-Provider 热更新与防冲突优化 →
搭建基于 GitHub Actions 的规则集自动同步与精简管道，规避数万条冗余规则引发的客户端内存崩溃。
三、底层网络核心：最长前缀匹配 (LPM) 原则
在三层 IP 路由分流中，操作系统内核决定一个数据包从哪个网卡发出的核心依据是最长前缀匹配原则（Longest Prefix Match, LPM）。
text
路由表规则匹配示例：
目标地址：114.114.114.114 (国内公共 DNS)
匹配条目 A：0.0.0.0/0 -> 虚拟网卡 (VPN 隧道出口) [掩码长度: 0]
匹配条目 B：114.114.114.0/24 -> 本地物理网卡 (宽带光猫) [掩码长度: 24]
最终裁决：条目 B 的子网掩码长度 (24) 大于条目 A (0)，系统优先执行条目 B！这解释了为什么我们可以在保留全局重定向（0.0.0.0/0）的同时，通过在系统中注入约 8000 条代表中国大陆各运营商 IP 的具体子网条目（如 223.5.5.0/24、180.101.0.0/16），即可精准让所有国内大厂服务保持本地千兆直连，而其余未知访问全部自动进入虚拟隧道。
四、现代规则引擎的流水线执行时序
在 Clash、Sing-box 等现代客户端中，数据包进入规则引擎后，会经历以下标准化判断流水线：
text
1. 传入请求拦截 (TCP/UDP)
↓
2. 嗅探提取目标特征 (读取 SNI 域名 / 本地 DNS 映射表)
↓
3. 进程名匹配 (PROCESS-NAME)
↓
4. 域名匹配 (DOMAIN-SUFFIX -> DOMAIN-KEYWORD -> DOMAIN)
↓
5. IP 属性匹配 (GEOIP -> IP-CIDR)
↓
6. 最终兜底规则 (MATCH -> DIRECT / PROXY)在编写自定义分流规则时，务必将命中频率最高、作用域最窄的精确规则排在前面，将宽泛的 IP 规则和兜底规则放在最后，从而最大化降低 CPU 逐条检索的匹配开销。