作为一名网络工程师，我经常遇到用户反馈：“我装了VPN，但只有部分应用能翻墙，其他软件还是访问不了外网。” 这种现象在技术术语中被称为“非全局模式”或“不全局的VPN连接”，很多人误以为只要安装了VPN客户端就能完全覆盖所有流量，但实际上，现代操作系统和应用程序对网络请求有着精细的控制策略，今天我们就从底层原理出发，深入剖析为什么你的VPN可能不是“全局”的。
我们需要理解什么是“全局代理”（Full Tunnel）与“分流代理”（Split Tunneling），全局模式意味着所有设备发出的网络请求都会被强制通过VPN隧道，包括浏览器、微信、游戏客户端、甚至系统更新服务，而分流模式则允许用户指定哪些应用走本地网络，哪些走VPN——这通常是为了性能优化或合规需求。
为什么很多免费或轻量级的VPN工具默认采用分流模式？原因有三：
性能考量：并非所有流量都需要加密传输，比如你使用本地DNS解析器访问内网资源，如果强行走VPN反而增加延迟；又如某些游戏或视频流媒体服务,如果强制走国际线路可能导致卡顿或掉线。
权限限制：在Android和iOS等移动平台上，出于安全考虑，普通应用无法直接接管系统级别的网络路由，因此许多第三方VPN只能通过设置“应用级代理”来实现局部加密,无法真正成为系统的默认网关。
合规要求：在中国大陆地区，根据《网络安全法》及相关法规，任何涉及跨境数据传输的行为都需符合监管要求，部分企业级或政府机构使用的VPN解决方案会主动规避“全局代理”,避免敏感数据无意间上传至境外服务器。
更关键的是，Windows和macOS等桌面系统也支持“路由表配置”，但这需要管理员权限，并且容易因系统更新被重置，在Windows中，如果你用OpenVPN或WireGuard手动配置时未勾选“Use default gateway on remote network”，那系统只会将目标地址为特定IP段的流量转发给VPN,其余仍走本地网卡。
有些杀毒软件、防火墙或企业级EDR（终端检测响应）系统也会拦截未经许可的全局代理行为,以防止恶意软件利用此类方式绕过本地防护机制。
解决方法其实很简单,但取决于你的具体场景：
“VPN不全局”并不是故障，而是现代网络架构下的一种合理设计，理解其背后的逻辑，才能正确配置并充分利用VPN带来的便利与安全性，作为网络工程师，我们不仅要解决问题,更要教会用户如何思考问题。
