分流与全量隧道的核心差异
在访问路径验证场景下，全量隧道将设备产生的所有网络流量封装后发送至远程网关，确保出站IP地址统一为服务端IP。而分流模式依据路由表或流量选择器规则，仅将特定目的IP或协议流量导入隧道，其余流量保持直连本地网络。两者的关键区别在于：分流模式并非“部分敏感流量入隧道”的固定开关，其具体行为完全取决于客户端策略及路由配置，蓝猫无法默认保证所有敏感请求均通过VPN出口。
基于出口IP一致性的选择依据
若验证目标是确认所有出站流量均受控于同一安全边界，应选择全量隧道。例如在访问需要单一源IP绑定的企业内网系统时，分流可能导致部分请求从本地家庭宽带直接发出，造成源IP不一致而触发访问拒绝。此时，全量隧道通过强制所有流量经由VPN网关转发，梯子软件确保了IP地址的逻辑一致性，是验证网络出口唯一性的可靠基础。
基于性能与带宽的权衡取舍
当验证场景允许部分流量直连，且追求高带宽利用率时，分流模式更为适用。例如，蓝猫在仅验证内部API接口连通性的场景中，非业务流量（如系统更新、本地视频）可被路由至直连，避免隧道拥塞影响关键业务包。这种选择依据并非基于安全绝对性，而是基于对流量结构的精细控制。需注意，分流策略的有效性依赖于准确的路由匹配规则，错误的优先级设置仍可能导致流量泄露至非预期出口。
分流模式下，不同目的地的流量走不同的路径，而非全部封装进同一条隧道。
验证方法的局限性与边界
使用工具测试出口IP仅能反映当前测试流量的路径，无法证明所有流量均遵循既定路由。在分流模式下，某些低频或后台流量可能仍走直连通道，导致基于单一测试通过而得出“全量入隧道”的错误结论。验证应覆盖不同优先级和目的地的流量样本，并结合路由表条目状态进行交叉比对。此外，某些加速服务可能在中继节点进行NAT转换，导致目的站点所见IP与客户端逻辑IP不同，这进一步增加了路径验证的复杂性，不能简单依据连接成功即认定路径完全符合预期。
