如何配置网络策略,让指定IP地址流量走VPN隧道
在现代企业网络与个人远程办公场景中,经常需要对特定IP地址的流量进行定向控制，例如让某个内部服务器或外部服务（如云数据库、API接口）的通信通过加密的虚拟专用网络（VPN）隧道传输，而其他流量仍走本地互联网，这种“按需路由”策略不仅提升了安全性，还能优化性能和合规性，作为网络工程师，掌握如何实现这一目标至关重要。
明确需求：假设你有一台Linux服务器（如Ubuntu或CentOS），并已部署了一个OpenVPN或WireGuard客户端，用于连接到远程私有网络，你的目标是确保发往IP地址192.168.10.50的所有流量都经过该VPN隧道，而不影响其他IP的访问路径。
第一步：确认VPN连接状态
使用命令 ip a 或 ifconfig 检查VPN接口（如 tun0）是否已激活，并通过 ping -I tun0 192.168.10.50 验证是否能通，如果失败，需检查VPN配置文件中的路由规则（如route remote-network 255.255.255.0）是否正确。
第二步：添加静态路由
在Linux系统中，使用ip route add命令为指定IP设置策略路由。
ip route add 192.168.10.50/32 dev tun0 src <your-vpn-ip>
此命令将目标IP 192.168.10.50的流量强制绑定到tun0接口（即VPN隧道），同时指定源IP为VPN分配的地址（如10.8.0.2），若未指定src参数，可能导致数据包无法正确返回。
第三步：验证路由表
运行 ip route show 查看当前路由表，你会看到类似：
168.10.50 via 10.8.0.1 dev tun0这表明该IP的流量会优先走VPN,测试时可用curl -x http://192.168.10.50:8080（假设该IP提供HTTP服务）观察流量是否经由tun0接口发送（可通过Wireshark或tcpdump -i tun0抓包确认）。
第四步：持久化配置（重要！）
重启后路由规则会丢失，因此需将其写入启动脚本，对于OpenVPN，可在配置文件末尾添加：
script-security 2
up /etc/openvpn/update-route.sh其中update-route.sh内容如下：
第五步：高级场景——多网卡环境
若服务器有多个网卡（如eth0连接公网，tun0连接VPN），需避免默认路由冲突，此时应使用ip rule创建路由策略，
ip rule add from <local-ip> table 100 ip route add default via <vpn-gateway> dev tun0 table 100
这样仅来自特定本地IP的流量才会走VPN,而其他流量仍走eth0。
常见问题排查：
- 若流量仍走公网,检查防火墙规则（如iptables）是否拦截了tun0接口。
- 确保DNS解析不绕过VPN（可配置dnsmasq或systemd-resolved强制DNS走tun0）。
通过上述步骤,你可以精确控制特定IP的流量走向，实现“智能分流”，这对保护敏感数据（如访问远程数据库时）或满足合规要求（如GDPR）极为关键，网络策略需结合实际拓扑调整，建议在测试环境先行验证！
半仙加速器-海外加速器 | VPN加速器 | VPN翻墙加速器 | VPN梯子 | VPN外网加速
