如何在 Global Protect VPN 或类似全局 VPN 环境下实现分流?

[PhDMartin]

问题描述

目前遇到的情况是:

1. 单位使用 Global Protect VPN 作为全局代理访问外网，如 Google 等
2. Global Protect VPN 无法设置分应用或分域名分流
3. 希望实现部分域名/应用直连,其余流量走 VPN

已尝试的方案

使用 Surge 增强模式:

1. 打开系统代理 -> 所有流量变为直连，导致无法访问外网，如 Google 等
2. 设置 Force VPN = direct, interface=ppp0, allow-other-interface=true -> 仍无法访问外网

需求

希望在开启 Global Protect VPN 后:

• 指定域名或应用可以直连
• 其他流量通过 Global Protect VPN 访问

技术环境

• VPN: Global Protect
• 代理工具: Surge for Mac
• VPN 网口: ppp0

请问有什么方案可以实现这样的分流需求? 感谢!

[yyzh]

GPVPN 的分流要在防火墙上配置好的吧.找你们 IT 投诉就是.

[NekoNeko666]

一般这种会写 IP Routing Table ，来决定系统网络去向。你运行下 netstat -rn 看下不同的 tun interface 接口写了那些 CIDR 。系统是看哪一条 CIDR 范围最小哪一条有优先级。实在不行我觉得你可以写入哪些哪些 IP 用哪个 tun （启动两个 tun 然后看看接口的名称，然后自己添加到 routing table 里

[laduary]

可以要拨 VPN 之前，先配置路由表实现分流，当年的云梯 VPN 就是这么干的

[diskerjtr]

GP 客户端分流，需要依赖 Poloalto 墙的配置，企业 IT 一般为了方便都是 full tunnel 全局引流。

[diskerjtr]

你这个只有在本地 macOS 上做路由表分流，默认 VPN ppp0 口，大陆白名单走本地网卡接口。