如何控制哪些流量通过 VPN？

Question

我的工作只是改变了关于我们如何在家中连接的政策——以前，我可以 ssh 进入网关，然后 ssh 进入我需要使用的任何内部机器。但是，现在我必须使用 VPN 进行连接，然后我可以直接通过 ssh 连接到我需要的任何机器。

这很酷，但出于各种原因，我不希望我的所有流量都通过 VPN。它使用 Cisco AnyConnect 移动客户端，我查看了我能找到的设置，但找不到任何关于如何选择哪些流量通过 VPN 以及哪些流量通过我的常规互联网连接的信息。

我可以在应用程序级别进行设置吗——就像总是通过互联网路由 Firefox 而通过 VPN 路由 Chrome？或者我可以为端口流量设置它——只设置我的 SSH 流量通过我的 VPN 而其他所有东西都通过我的常规互联网？

Answer 1

这是关于在系统端手动配置拆分隧道的很棒的文档（如果可能的话）。您可以通过在您的系统上创建路由规则来控制您的 Windows PC 将其流量发送到何处，并专门控制流向特定 IP 范围的流量离开的接口。这可能是在不涉及公司 IT 部门的情况下实现目标的最佳方式，它将确保您的所有常规流量离开您的家庭互联网连接，无论使用何种浏览器。根据 IT 管理员对 AnyConnect 软件的配置，这可能不起作用，但将其配置为拆分隧道是一般策略。见这里。

子网内流量的客户端拆分隧道行为的差异

AnyConnect 客户端和传统 Cisco VPN 客户端（IPsec/IKEv1 客户端）在将流量传递到与 ASA 分配的 IP 地址位于同一子网内的站点时的行为不同。使用 AnyConnect，客户端将流量传递到您配置的拆分隧道策略中指定的所有站点，以及与 ASA 分配的 IP 地址位于同一子网内的所有站点。例如，如果 ASA 分配的 IP 地址为 10.1.1.1，掩码为 255.0.0.0，则无论拆分隧道策略如何，端点设备都会传递所有发往 10.0.0.0/8 的流量。

相比之下，传统 Cisco VPN 客户端仅将流量传递到拆分隧道策略指定的地址，而不管分配给客户端的子网如何。

因此，为分配的 IP 地址使用正确引用预期本地子网的网络掩码

这是文档：https : //documentation.meraki.com/MX-Z/Client_VPN/Configuring_Split-tunnel_Client_VPN

这可用于检查建立连接时软件正在执行的操作，并可能用于手动配置拆分隧道。

我会在这里添加步骤，以防链接被破坏。

1) 在 VPN 软件创建的网络适配器上，在 IPv4、高级下，确保取消选中“在远程网络上使用默认网关”。

2) 在命令窗口中，键入： route print

3) 在列表中查找 VPN 接口，并记下它的 ID（类似 12 的数字）。然后，您可以通过键入以下内容来添加特定路由：

route add <destination subnet> mask <subnet mask> 0.0.0.0 IF <VPN adapter number> -p

例如。

route add 10.10.10.0 mask 255.255.255.0 0.0.0.0 IF 12 -p

这是另一个提出相同问题的问题。祝你好运！