Короткий ответ
Сам VPN-сервер должен оставаться доступным через обычную сеть, иначе зашифрованные пакеты попытались бы войти в собственный туннель. Клиент создаёт специальный маршрут-исключение до сервера, а остальные назначения направляет согласно режиму full или split tunnel.
Маршрут по умолчанию
Default route используется, когда нет более точного правила. В полном туннеле VPN заменяет или перекрывает его маршрутами с нужной маской и метрикой.
Более точные правила
Маршрут к локальной сети, корпоративному адресу или отдельному приложению может иметь приоритет над общим туннелем. Поэтому принтер дома работает напрямую, а браузер выходит через сервер.
Почему ответы возвращаются правильно
VPN-сервер сопоставляет исходящие потоки с клиентской сессией. Ответ получает серверный IP, затем упаковывается в туннель и доставляется на виртуальный интерфейс устройства.
Чек-лист действий
- Проверьте, включён полный или раздельный режим.
- Посмотрите список исключённых приложений и сетей.
- Сравните внешний IP в двух разных приложениях.
- Проверьте доступ к локальным устройствам отдельно.
- После изменения маршрутов переподключите VPN.
Что часто делают неправильно
- Считать весь трафик защищённым при включённом split tunneling.
- Удалять маршрут до VPN-сервера.
- Путать DNS-маршрут и маршрут веб-трафика.
- Одновременно менять исключения и firewall.