搜索 K

Appearance

双网卡分流与企业内网环境翻墙配置：内网外网互不干扰共存方案 ​

一、TL;DR：先给结论，再讲原理 ​

在公司电脑上开代理，最典型的事故现场是：外网通了，OA 打不开了；或者 OA 正常，但共享盘、打印机、Git 内网仓库全部超时。根因从来不是"代理不好用"，而是默认路由（0.0.0.0/0）被抢走了。

三条核心结论，先记住：

  1. 内网可达性靠"路由优先级 + 内网网段直连"解决，不靠客户端开关反复横跳。 只要 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 以及公司自有网段明确走物理网卡，代理怎么折腾都不会碰到内网。
  2. DNS 是第二个隐形杀手。 内网域名（OA、NC、SAP、Jira 私有部署）必须交给企业 DNS（通常是域控 10.x.x.x）解析，一旦被 fake-ip 接管，你会看到"IP 能 ping 通、域名打死不通"的诡异现象。
  3. 能不动系统路由表就不动。 优先用客户端的 route-exclude-address / 内网绕过选项，只有在企业 VPN 客户端（Cisco AnyConnect、深信服、Pulse）强行改写路由表时，才需要手动补静态路由做兜底。
💡 👑 2026 全网综合第一主推 · 【光速云】读者专享特惠通道：
IEPL 企业级内网专线 + 全球IPLC，单节点最高 2.5Gbps，全节点 x1 无倍率，原生解锁 ChatGPT / Claude / Netflix 全区：
8折立减AMM复制 📋
直达光速云官网 ↗

二、底层机理：为什么双网卡一定会"打架" ​

2.1 Windows 的路由决策是一个纯数学题 ​

Windows 没有 Linux 那套 ip rule 策略路由（policy routing），它的选路逻辑非常朴素：在匹配同一条目的路由中，取"接口跃点数 + 网关跃点数"之和最小的一条。

具体来说：

  • 每条路由的最终度量值 = 接口 metric + 路由本身的 metric。
  • 网卡属性里的"自动跃点"会按链路速率给一个基础值，千兆有线通常是 5~10，Wi-Fi 是 25~55，而虚拟网卡（TUN/TAP）默认可能只有 1~5。
  • 于是只要代理客户端创建了 TUN 网卡并注册了 0.0.0.0/0，它几乎必然赢，因为虚拟网卡的接口 metric 天然占优。

这就是"开代理之后内网全断"的第一性原理——不是代理软件有 bug，是它遵循了操作系统给出的默���优先级。

2.2 代理客户端的三种接管模式，代价完全不同 ​

模式接管层级内网影响典型问题
系统代理（System Proxy）WinINET / WinHTTP 应用层几乎无只对走系统代理的应用生效，UDP 全丢
TAP / 分流转发二层网卡中需要驱动签名，兼容性差，已逐渐淘汰
TUN（虚拟三层网卡）三层 IP 层大抢默认路由，DNS 泄漏，企业 VPN 冲突

2026 年主流客户端（Clash Verge Rev / Mihomo、Sing-box、V2rayN+sing-box 内核）默认都会推荐 TUN，因为它能覆盖 QUIC/UDP、游戏、Docker 容器流量。TUN 本身没错，错的是没配绕过。

2.3 跨境链路质量与本地分流是两件独立的事 ​

很多人把"内网不通"归罪于机场线路，这是混淆概念。上游出口线路决定的是外网体验上限，而分流决定的是内网能不能活。但既然要写深度指南，出口侧的机理也不能省：

  • 公网直连 VPS：数据包从本地 ISP 出口经国际公网到达目标机房，晚高峰期间国际出口拥塞触发 QoS 限速，丢包率可达 3%~15%，TCP 会频繁触发重传与降窗。
  • BGP 中转：中转商在国内多线（电信/联通/移动）接入，通过 BGP 择优把流量导入自建骨干，再落地海外。绕开了部分公网堵点，但仍然是"借道"。
  • IEPL / IPLC：IEPL 走的是运营商二层以太网专线（Ethernet Private Line），IPLC 是国际私有租用线路（International Private Leased Circuit），全程不经过公网出口，在 MPLS 层完成透传。丢包能稳定在 0.1% 量级，抖动极低——这也是为什么它贵。
  • BBRv3 拥塞控制：相比 BBRv1/v2，BBRv3 在高丢包链路上收敛更快、公平性更好。但注意，服务端开什么拥塞算法你无法从客户端感知，很多机场宣传的"BBRv3 加速"只是营销话术，无法在客户端验证。

2.4 双 ISP / 多线接入的真实含义 ​

企业网络里常见的"双 ISP"指的是两条不同运营商出口做冗余，依赖 BGP 或策略路由做故障切换。在代理场景里，这通常体现在中转商的多线入口上：你的流量进入他们国内入口后，可以在电信、联通、移动之间动态选最优路径。它不解决本地双网卡的分流问题，但决定了你跨境那一段的稳定性下限。

三、核心参数对照矩阵 ​

3.1 五种共存方案横向对比 ​

指标纯系统代理TUN 全局TUN + 内网排除双网卡 + 静态路由 + 系统代理双网卡 + TUN + 精确分流
内网 OA/ERP 可达性好差（多数直接断）好好好
外网 UDP / QUIC 支持差好好差好
DNS 解析正确性中中（易泄漏）好中好
是否需要管理员权限否是是是是
配置持久化能力是是是需 route -p 参数是
与 Cisco / 深信服 VPN 兼容性好差中中中
崩溃后对办公网影响面无大小小小
首次配置耗时约 2 分钟约 3 分钟约 8 分钟约 15 分钟约 20 分钟
抗 DNS 污染能力弱强强弱强
适用人群临时轻度使用纯个人电脑多数办公场景内网资源密集有域控 / 多层内网

3.2 跨境链路类型量化对照 ​

链路类型沪-洛杉矶实测延迟晚高峰丢包抖动高峰速率保持率成本水平
公网直连 VPS160~220ms3%~15%高30%~60%低
BGP 中转（多线）140~190ms1%~5%中60%~80%中
IEPL 企业专线130~160ms0.1%~0.5%低85%~95%高
IPLC 点对点125~155ms0.05%~0.3%极低90%~98%很高

判断一个机场是否真在跑 IEPL，最简单的办法是晚高峰（20:30~22:30）跑 mtr -rwzc 100 目标IP，观察第 3~5 跳丢包。公网中转在这一段普遍会跳到 5% 以上，专线基本贴着 0.5% 以内。

四、人群与场景选型推荐 ​

  • 纯办公机、只上 OA 和邮箱：系统代理 + PAC 就够，别装 TUN，省事且不触企业 EDR。
  • 开发岗（内网 Git、Jenkins、K8s 集群 + 外网 GitHub/Stack Overflow）：TUN + 内网网段排除 + DNS 分流，这是标配。
  • 财务 / ERP 岗（NC、SAP、用友私有部署）：必须走双网卡 + 静态路由兜底，因为这类系统经常用非常规内网段，客户端规则容易漏。
  • 需要同时挂企业 VPN 的：优先考虑"VPN 走系统、代理走浏览器"的隔离方案，两者叠加做 TUN 会互相抢路由，排障成本极高。
  • 跨境团队 / 多地区协同：优先选 IEPL 或 IPLC 线路的机场，跨境会议（Zoom / Teams）对抖动极度敏感，公网中转的 5% 丢包在语音场景下就是灾难。

五、Windows 双网卡分流实操 ​

5.1 先搞清楚现状 ​

powershell
# 查看所有网卡与接口索引（记下 IfIndex）
Get-NetAdapter | Format-Table Name, InterfaceIndex, Status, LinkSpeed

# 查看 IP 配置与网关
Get-NetIPConfiguration | Format-List InterfaceAlias, IPv4Address, IPv4DefaultGateway

# 查看完整 IPv4 路由表
route print -4

在 route print -4 输出里，重点看 Network Destination 为 0.0.0.0 的那几行——有几条默认路由，说明就有几方在抢出口。

5.2 用手动跃点数给内网网卡"加权" ​

powershell
# 内网网卡（有线）设为 10，让它优先
Set-NetIPInterface -InterfaceIndex 12 -InterfaceMetric 10

# 代理/TUN 虚拟网卡设为 9000，让它只接兜底流量
Set-NetIPInterface -InterfaceIndex 34 -InterfaceMetric 9000

注意：设置手动跃点后，"自动跃点"会被取消勾选，网卡重启后依然保留。

5.3 静态路由：把内网网段钉死在物理网卡上 ​

powershell
# 方式一：经典 route 命令，-p 表示持久化（重启后保留）
route -p add 10.0.0.0 mask 255.0.0.0 10.1.2.1 metric 1 if 12
route -p add 172.16.0.0 mask 255.240.0.0 10.1.2.1 metric 1 if 12
route -p add 192.168.0.0 mask 255.255.0.0 10.1.2.1 metric 1 if 12

# 方式二：PowerShell 原生（推荐，语义更清晰）
New-NetRoute -DestinationPrefix "10.0.0.0/8" `
  -NextHop 10.1.2.1 -InterfaceIndex 12 `
  -RouteMetric 1 -PolicyStore PersistentStore

关键细节：if 12 里的 12 必须是你内网网卡的接口索引，写错等于往黑洞里发包。-PolicyStore PersistentStore 对应 route -p，不加的话重启就没了。

删除路由：

powershell
Remove-NetRoute -DestinationPrefix "10.0.0.0/8" -Confirm:$false

5.4 客户端侧的内网绕过 ​

以 Mihomo / Clash 系内核为例，config.yaml 里两个关键块���

yaml
tun:
  enable: true
  stack: mixed
  route-exclude-address:
    - 10.0.0.0/8
    - 172.16.0.0/12
    - 192.168.0.0/16
    - 169.254.0.0/16

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-filter:
    - "*.corp.local"
    - "*.company.com"
    - "oa.*"
    - "+.internal"
  nameserver:
    - https://223.5.5.5/dns-query
  nameserver-policy:
    "*.corp.local": 10.1.2.10
    "+.company.com": 10.1.2.10

fake-ip-filter 是很多人漏掉的一环：只要内网域名被 fake-ip 接管，即使路由是对的，DNS 也解析不出真实内网 IP。

5.5 系统级环境变量隔离（针对命令行工具） ​

powershell
# 让 Git / npm / pip 走代理，但内网地址直连
$env:HTTP_PROXY  = "http://127.0.0.1:7890"
$env:HTTPS_PROXY = "http://127.0.0.1:7890"
$env:NO_PROXY    = "localhost,127.0.0.1,10.0.0.0/8,172.16.0.0/12,192.168.0.0/16,.corp.local,.company.com"

持久化写入用户环境变量：

powershell
[Environment]::SetEnvironmentVariable("NO_PROXY", "localhost,127.0.0.1,10.0.0.0/8,.corp.local", "User")

六、抓包排障诊断手册 ​

6.1 分层诊断命令清单 ​

powershell
# 1) 路由层：确认默认路由归属
route print -4

# 2) 连通性：指定源地址 ping 内网网关（验证双网卡是否真的双活）
ping -S 10.1.2.100 10.1.2.1

# 3) 端口层：确认 OA 端口是否可达
Test-NetConnection oa.company.com -Port 443 -InformationLevel Detailed

# 4) DNS 层：指定企业 DNS 查询内网域名
nslookup oa.company.com 10.1.2.10

# 5) 路径层：看流量第几跳被带走
tracert -d -h 15 8.8.8.8
tracert -d -h 5 10.1.2.1

# 6) 网卡配置总览
netsh interface ip show config

跨平台补充（WSL / macOS / Linux 环境）：

bash
# 长时间丢包采样，判断链路稳定性
mtr -rwzc 100 1.1.1.1

# macOS 侧等效命令
scutil --dns          # 查看 DNS 解析顺序
route -n get default  # 查看默认路由与接口
netstat -rn           # 完整路由表

Windows 原生抓包（无需装 Wireshark）：

powershell
# pktmon 是 Windows 内置的包捕获工具
pktmon filter remove
pktmon filter add -p 443
pktmon start --etw -m real-time
# 复现问题后 Ctrl+C，然后 pktmon stop

重点看：内网地址的包是否出现在 TUN 网卡上。如果 OA 的包被抓在虚拟网卡上，说明分流规则彻底失效，回到第五节重新配。

6.2 症状判定表 ​

症状高概率根因处理动作
外网通、OA 打不开默认路由被 TUN 抢占加 route-exclude-address
OA 域名解析失败但 IP 能通fake-ip 接管了内网域名补 fake-ip-filter + nameserver-policy
共享盘 / 打印机断连内网网段未排除，SMB 走隧道排除 192.168.x.0/24 与 169.254.0.0/16
重启后内网又断路由未持久化用 -p 或 PersistentStore
挂企业 VPN 后代理失效VPN 强制改写了路由表代理侧改用 PAC 或分流模式，避免 TUN 正面冲突
外网速度只有标称的 1/5走的是公网中转且高峰拥塞换 IEPL/IPLC 线路，用 mtr 验证丢包
部分网站能开部分 403出口 IP 被风控换节点，优先原生 IP 落地
上传大文件到内网超时MTU 被 TUN 改小导致分片调低 TUN MTU 至 1400 或启用 MSS Clamping

七、行业避坑矩阵 ​

宣传话术真实情况识别方法
"全设备兼容，路由器/手机/电脑通用"仅支持系统代理，无 TUN、无 UDP 转发看客户端是否提供 TUN 模式开关
"全线路 IPLC 专线"实际为公网中转 + BGP 优化晚高峰

数据仅供参考，请以机场官网实时信息为准。遵守法律法规，文明合规出海。

© 2026 AirPick · airpick.co