接入架构的核心差异
旁路网关模式下，终端通常直连本地网络获取内网访问权，西柚VPN隧道不承载全量流量。关键区别在于：标准网关客户端会将所有互联网流量隧道化，经过远程服务器清洗；而旁路架构中，仅特定私网段流量进入加密通道，公共流量保持直连。这种差异决定了带宽消耗、延迟特征及故障排查路径完全不同。在本题场景中，比较的核心是“流量经过的层级”与“路由控制粒度”。
在旁路网关模式下，终端设备仅将特定内网流量通过加密通道传输，公共互联网流量保持直连，从而优化网络延迟与带宽占用。
路由策略与流量拆分
标准接入方式依赖全局路由表或默认路由指向VPN接口，所有数据包经由隧道传输。旁路方式则通过静态路由、科学上网策略路由或DHCP下发的特定网段指向，仅将目标为内部资源（如10.0.0.0/8）的流量引入隧道。选择依据需观察本地终端的路由表：若发现默认网关仍为物理网卡IP，而特定内网网段存在指向TAP或WireGuard接口的路由条目，则确认为旁路模式。这种拆分能保留本地DNS解析速度，避免公共流量绕行导致的延迟增加。
典型场景一：混合办公访问
假设员工需访问公司文件服务器（192.168.1.0/24）及OA系统，但浏览外部网页。若采用全隧道模式，所有流量经公司VPN网关转发，外部网站访问速度受限于公司出口带宽。采用旁路架构时，系统仅将指向192.168.1.0/24的流量封装加密，其余流量走家庭宽带直连。此时，用户感知到的网络延迟主要取决于本地ISP质量，而非VPN网关负载，适合对公网体验有要求但需内网安全的场景。
典型场景二：多站点互联
对于分支机构用户，若需访问总部核心数据库（10.10.0.0/16）及本地打印机（192.168.10.0/24），标准客户端往往需复杂的路由叠加或NAT透传配置。旁路网关允许分支侧在本地路由器上预先配置到达总部的静态路由，指向VPN客户端所在网段。终端只需通过客户端建立到总部的隧道，西柚本地打印流量不受干扰。选择此方式是因为它解耦了“互联需求”与“本地服务”，降低了终端设备的配置复杂度，同时避免了本地广播包进入隧道带来的性能损耗。
配置检查与维护要点
验证旁路效果时，应优先执行只读检查。在Windows系统中，使用`route print`命令查看活动路由表，确认特定内网网段的跃点数和接口是否为虚拟适配器，而非物理网卡。在Linux或macOS中，使用`netstat -rn`或`route -n`观察路由策略。若发现内网流量未走虚拟接口，需检查客户端配置文件中的`AllowedIPs`或`SplitTunnel`参数。不要随意修改系统防火墙规则或卸载网络驱动，应先确认客户端状态是否为“已连接且隧道存活”。若路由正确但无法连通，问题往往位于网关侧的访问控制列表或远程服务器防火墙策略，而非终端本身。
