Если совсем просто.
Вместо правила «всё через один выход» задаются исключения: по приложению, подсети или другому поддерживаемому признаку. Это удобно для локального принтера, корпоративной сети или приложения, которому нужен обычный адрес. Но такой режим сознательно оставляет прямые соединения. Он не подходит под безусловное утверждение, что весь трафик скрыт за VPN.
Рабочая подсеть доступна через корпоративный VPN, видеосвязь идёт напрямую, а домашний NAS остаётся в локальной сети. Это осмысленная схема, если она соответствует политике организации. В другом случае пользователь исключает банковское приложение из потребительского VPN. Проверять результат надо внутри выбранного приложения, а не только в браузере, который остался в туннеле.
Как это работает.
Маршруты или политика клиента определяют, какой поток направляется в виртуальный интерфейс. Реализации могут использовать список включения либо список исключения; перепутать их легко. DNS требует отдельной логики, особенно когда внутренние имена должны разрешаться корпоративным сервером. Правило по доменному имени сложнее простого адресного маршрута, поскольку один домен может соответствовать нескольким меняющимся адресам.
Сопоставляйте требование и наблюдение для каждой группы трафика. Если браузер показывает IP VPN, это ещё не тест исключённой программы. Если локальный принтер пропал, проверьте политику локальной сети прежде, чем менять DNS. Раздельный туннель — управляемый компромисс маршрутизации, а не ошибка защиты сам по себе; важно явно знать, какой трафик остаётся прямым.
Почему это важно.
Сначала определите, что должно идти через VPN и почему. Сделайте короткий список, примените одно правило и проверьте адрес выхода и доступность ресурса. Затем проверьте DNS и разрыв туннеля. Не создавайте десятки исключений одновременно: при ошибке будет трудно понять, какое правило сработало. Для рабочего доступа согласуйте исключения с администратором. Периодически пересматривайте список исключений после изменения задач или удаления программ. Ненужное правило усложняет понимание маршрута и может пережить причину, ради которой создавалось. Для каждого оставленного исключения полезно иметь короткое объяснение и дату проверки: это делает следующую настройку менее случайной и сохраняет контроль над прямыми соединениями.
Узнать больше.
Продолжи с соседних понятий или загляни в документацию.
Практический разбор
Продолжение темы: практическое руководство.