全隧道模式的流量路径界定
全隧道模式的核心配置目标是使终端设备的所有非本地流量均通过VPN网关转发。用户常混淆“全隧道”与“仅远程访问”，导致部分业务仍走本地宽带。观察对象应为操作系统的出站路由表或防火墙策略。若配置正确，Sakuracat除局域网内网段（如192.168.x.x）和本地回环地址外，所有目的IP的下一跳都应指向VPN适配器或隧道接口。检查时需区分操作系统默认路由（0.0.0.0/0）是否被接管。若默认路由未生效，全隧道即告失效，表现为部分应用无法访问公网。
路由优先级与网关冲突排查
在Windows或macOS系统中，VPN客户端通常通过修改路由表或安装虚拟网卡实现流量劫持。常见错误是虚拟网卡的接口跃点（Metric）高于物理网卡，导致数据包仍优先走物理连接。在Windows下，可通过路由查看工具确认指向虚拟网卡的默认路由条目是否存在且处于激活状态。若存在多条默认路由，需比较其跃点值，数值较小者优先。部分企业级VPN客户端支持“拆分隧道”策略，若误配置为全隧道但路由权重错误，会造成连接不稳定或速度异常。
客户端软件兼容性差异
不同VPN协议对全隧道实现机制差异显著。OpenVPN和WireGuard通常通过虚拟网卡驱动实现，对系统兼容性要求较高；而IPsec客户端可能依赖系统自带的隧道接口。使用第三方软件时，需确认其是否支持“全局模式”或“All Traffic”选项。例如，某些商业软件默认仅加密特定应用流量，需手动开启全局开关。若软件版本较旧，可能无法正确识别新的网络拓扑变化，导致路由表残留错误条目。建议查阅软件官方文档中关于“流量路由策略”的具体配置项，而非依赖通用界面假设。
排查全隧道模式配置错误时，需仔细检查路由表优先级与网关跃点值。
防火墙与安全软件干扰
本地防火墙或杀毒软件可能拦截VPN隧道接口的出站连接，表现为DNS解析失败或网页加载中断。全隧道模式下，DNS请求也需通过隧道转发，若本地安全策略阻断UDP 53端口在虚拟网卡上的出站流量，将导致解析失败。排查时应暂时观察防火墙日志，确认是否有针对虚拟适配器MAC地址或IP段的阻止记录。注意，此处建议仅用于诊断，不建议直接永久关闭防护。若确认为误报，应在防火墙中为VPN适配器添加出站允许规则，而非削弱整体安全防护。此操作适用于具备高级防火墙规则的Windows和Linux系统。
验证全隧道生效状态的方法
最直接的验证方式是查询公共IP服务。在全隧道开启状态下，查询结果应显示为VPN服务器的公网IP，SakuracatVPN而非家庭或办公网络的出口IP。若结果仍为本地宽带IP，说明流量未进入隧道。此外，可结合TCP连接跟踪工具观察目标端口连接是否经由隧道接口建立。需注意，某些公共IP查询服务可能通过AS号判断归属，若VPN提供商使用透明代理架构，显示结果可能存在滞后。建议多查询不同服务交叉比对。若IP正确但速度极慢，需进一步排查隧道内部丢包或带宽限制，而非单纯归因于路由配置。
