在现代企业与个人用户日益依赖远程办公和跨地域访问的背景下,Ubuntu作为开源操作系统中的佼佼者，其灵活性和强大的网络功能使其成为搭建虚拟专用网络（VPN）的理想平台，单纯建立一个连接到远程服务器的OpenVPN或WireGuard隧道并不足以满足复杂网络需求——如何将特定流量通过VPN路由、而其他流量走本地网络，是许多Ubuntu用户面临的实际问题，本文将详细介绍如何在Ubuntu系统中配置基于路由表的VPN策略，实现智能流量分流，提升安全性与效率。
确保你已正确安装并运行一个支持自定义路由的VPN客户端,如OpenVPN或WireGuard，以OpenVPN为例，通常通过sudo apt install openvpn安装，并配置.ovpn文件，关键步骤在于理解默认路由行为：当启用VPN时，系统可能将所有流量（包括互联网流量）强制通过远程网关，这不仅降低性能，还可能导致DNS泄露等问题。
要解决此问题,需手动控制路由规则，核心方法是在启动VPN后，使用ip route命令添加特定子网的路由规则，而非全量覆盖默认网关，假设你的目标是让访问内网IP段（如192.168.100.0/24）的数据包走VPN隧道，而其他流量走本地ISP：
- 获取当前路由信息：执行
ip route show查看现有路由表。 - 修改VPN配置文件：在OpenVPN配置文件中添加
route-noexec和redirect-gateway def1 bypass-dhcp的组合，但更推荐使用--route选项显式指定目标网络，如：route 192.168.100.0 255.255.255.0 - 设置策略路由：利用Linux的
ip rule机制，为特定源地址或目的地址创建路由策略。sudo ip rule add from 192.168.1.100 table 100 sudo ip route add default via <VPN_GATEWAY> dev tun0 table 100
这样,来自特定IP的流量会被定向至自定义路由表，从而走VPN。
建议结合iptables进行更细粒度控制，仅允许特定端口（如SSH、RDP）走VPN，其余走直连：
sudo iptables -t mangle -A OUTPUT -d 192.168.100.0/24 -j MARK --set-mark 1 sudo ip rule add fwmark 1 table 100
测试配置是否生效：使用ping或traceroute检查流量路径，确保目标子网确实通过VPN出口，同时监控日志（journalctl -u openvpn@yourconfig.service）排查异常。
通过上述步骤,Ubuntu用户可在不牺牲整体网络可用性的前提下，实现精准的流量管理，既保障了内网资源的安全访问，又避免了不必要的带宽浪费，这是企业级网络架构中“最小权限原则”的实践典范，也是网络工程师日常运维的重要技能之一。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
