VPN路由分流，路由转发原理要从哪里理解
先说结论：VPN路由分流要先建立可证伪的路径模型，再修改配置。先查看目标网段是否被路由到 VPN 接口，再验证实际数据路径，比同时调整多条规则更可靠。
五个关键动作
- 确认目标地址与网段。
- 找出所有候选路由。
- 先确定目标网段与出口，再记录请求和响应两个方向。
- 验证请求与响应两个方向。
- 记录不同目标网段的出口、解析结果和连接是否一致。
路由器问题只有放回网段、路由和接口中，才能解释清楚：路由器技术教程可以帮助把路由条目、接口和双向路径整理成可解释的转发过程。所有配置与抓包测试都应在自己管理或有授权的网络中进行。
遇到只看 VPN 显示已连接，就认为所有访问都进入隧道时，先回到最小拓扑核对。只有确认地址与回程后，增加策略或优化才有意义。
先画拓扑再做配置
至少标出终端、网关、路由器接口和目标网段。拓扑清楚后，地址冲突、错误下一跳和缺失回程会更容易被发现，也能减少对生产配置的反复试错。
每次测试都记录源地址、目标地址、时间、接口和结果，避免只留下一个“能通”或“不能通”的结论。
静态路由、动态路由和策略路由各有适用边界，应以网络规模和运维能力为依据，不盲目堆叠规则。
遇到偶发问题，先保留当前证据，再比较正常与异常时的路由和会话状态。
排查结束后再核对配置意图与测试结果，确认没有留下临时入口或未记录的改动。