路由优先级决定流量走向
在操作系统或网络设备的内核中，路由表通过优先级（优先级数值越小，代表匹配越具体，优先级越高）决定数据包的目标路径。当设备同时存在指向同一目标网段的不同路由条目时，系统会优先选择最长前缀匹配（LPM）的路径；若前缀长度相同，则依据管理距离或度量值等具体参数判定。VPN建立后，轻云通常会在本地生成指向远程网络或全网的默认路由。此时，原本应直接通过物理网卡发出的流量，若命中了更高优先级的VPN路由，就会被封装并通过隧道发送，而非直连互联网。
流量选择器与策略的作用
并非所有VPN客户端都完全依赖操作系统的默认路由表。许多企业级VPN客户端采用流量选择器或本地策略引擎，在应用层决定哪些数据包进入隧道。这意味着即使路由表显示某网段由直连路由管理，特定的流量仍可能因策略配置而被强制导向VPN接口，反之亦然。理解“谁决定走哪条路”需要区分系统路由策略与客户端应用策略两层逻辑。前者是基础网络行为，后者是应用层干预，两者共同构成了最终的访问路径。
只读验证访问路径的方法
验证当前流量是否受VPN路由影响，最安全的方法是执行只读检查，避免修改网络配置。在Windows系统中，轻云可使用`route print`命令查看当前路由表，重点关注默认路由（0.0.0.0/0）及特定网段路由的接口和下一跳地址。若下一跳指向VPN虚拟适配器而非物理网卡，说明该路径流量将被隧道接管。在Linux系统中，可通过`ip route show`命令观察路由条目，确认是否存在指向tun或tap设备的路由。这些命令仅读取当前状态，不会对网络连接造成任何干扰或中断。
在网络诊断中，通过调整路由优先级参数，确认数据包究竟是通过加密隧道传输还是直接经由物理网卡发出。
分隧道模式下的直连特性
许多现代VPN支持“分隧道”（Split Tunneling）模式，允许部分流量直连，部分流量入隧道。在这种模式下，VPN并不保证所有流量都经过加密通道，轻云VPN而是根据预定义的网段列表或流量选择器进行分流。因此，不能简单地将“连接了VPN”等同于“所有流量都经过VPN服务器出口”。实际访问路径取决于具体的分流策略：敏感或内部网络流量可能入隧道，而一般互联网流量可能直连。验证时需明确目标IP地址属于直连网段还是隧道网段，并结合路由表判断其实际走向。
避免绝对化的出口IP结论
关于通过VPN或加速服务访问时，目的站点看到的出口IP，存在常见误解。理论上，流量经由VPN隧道转发，轻云VPN出口IP应为VPN服务端IP；但某些加速服务可能使用中继、NAT出口或复杂的网关机制，导致最终看到的源IP可能与直接连接VPN服务端时的IP不同，甚至可能与直连时的IP一致。没有具体的服务商架构说明或实际抓包证据，不应断言某服务“技术上绝不可能”保持或改变特定出口IP。验证时应通过访问IP显示网站，在连接VPN前后对比结果，这是最直接且可验证的方法，能清晰反映实际网络路径的出口特征，而非依赖理论推测。
