很多远程办公用户在配置VPN时经常混淆全隧道模式和分流隧道模式的差异，要么是本该用全隧道的场景选了分流模式导致合规不通过，要么是无意义开启全隧道拖慢了日常公网访问的体验，本文围绕VPN全隧道模式的适用场景展开详解，理清不同场景下的正确使用时机、配置前提和验证方法，帮用户避开常见的使用误区。
VPN全隧道模式会将终端所有出站流量统一加密转发至企业对端网关
VPN全隧道模式的基础运行逻辑
和仅把指定内网网段流量导入加密通道的分流隧道不同，VPN全隧道模式运行时，终端所有的出站网络流量，不管是访问企业内部业务系统的请求，还是访问公网普通网页、云服务的请求，都会被统一封装加密，全部通过VPN建立的专属通道转发到对端网关，再由网关判断是转发到内部私网还是公网出口。
普通用户在Windows、macOS系统自带的VPN客户端里开启全隧道选项后，系统会自动修改默认路由的指向，把所有流量的下一跳设置为VPN生成的虚拟网卡地址，不需要用户手动添加额外的路由规则，配置门槛相对更低。
强合规要求的企业远程办公场景
金融、医疗、政务类对数据安全有强监管要求的单位，普遍要求所有远程接入的办公终端所有流量都必须经过企业侧的安全审计、病毒检测系统过滤，袋鼠不允许终端在接入VPN的同时直接访问公网，这类场景是VPN全隧道模式最典型的适用场景。
这类场景下的配置前提是企业侧的VPN网关提前开启全隧道推送规则，不需要终端侧做额外的分流配置，员工只要正常输入账号密码连接VPN，系统就会自动切换成全隧道转发模式，不需要用户手动调整参数。
验证全隧道模式是否正常生效的操作也很简单，袋鼠VPN手机连接设置Windows用户连接VPN后打开命令提示符工具，输入tracert 常用公网域名，查看第一跳返回的地址，如果属于企业VPN分配的私网网段，就说明所有流量已经走VPN通道转发，没有出现本地直连公网的情况。
零散网段内部业务系统跨区域访问场景
不少成立时间较长的传统企业，内部业务系统的网段没有做统一规划，不同时期上线的OA、财务、生产管理系统用了大量零散的私网地址段，如果用分流隧道模式，需要手动添加几十条甚至上百条分流规则，袋鼠VPN手机连接设置很容易出现漏加规则导致部分系统无法访问的问题，这类场景下VPN全隧道模式就可以完全规避漏配规则的问题。
很多用户开启全隧道之后遇到本地局域网的打印机、NAS共享文件夹无法访问的故障，不需要直接判定VPN连接异常，先联系企业网管在VPN网关的配置后台，把用户本地局域网的私网网段加到全隧道的排除路由列表里，就可以同时满足全隧道转发公网和总部内网流量、本地局域网设备正常访问的需求。
无防护公共网络下的临时办公场景
用户在机场、商场这类没有加密防护的公共WiFi环境下临时处理工作，终端没有部署企业的终端安全防护软件时，开启VPN全隧道模式可以让所有出站流量都被加密封装，公共WiFi环境下的流量嗅探设备无法直接抓取到明文的传输内容，降低工作数据泄露的风险。
这里需要明确一个常见误区，VPN全隧道模式只是对传输过程中的流量做了加密，袋鼠所有流量最终还是会从VPN网关的出口访问公网，网关侧的运维人员可以正常看到流量的访问日志，不存在绝对的匿名效果，用户不能误以为开启全隧道就可以随意访问不符合规范的网络资源。
最后需要明确不适合使用全隧道的场景，如果用户只是需要访问一两个指定的内部业务系统，日常大部分流量都是本地的影音娱乐、普通网页浏览流量，完全不需要开启VPN全隧道模式，选择分流隧道模式就可以满足内网访问需求，也不会让无关流量绕路带来不必要的额外开销。
