VPN会话建立后，数据包并非自动全部进入隧道，其最终路径取决于路由策略、流量选择器及客户端配置。分隧道模式下，仅匹配特定规则的流量经过加密通道，其余保持直连。因此，VPN状态本身不保证所有出站IP变更，是否改变目的站点看到的源地址，具体由网关策略和出口节点决定。
分隧道模式下，数据包根据路由策略分流，部分加密传输，部分保持直连。
路由与流量选择器决定入隧范围
在IKEv2或WireGuard等协议中，服务端可下发路由指令或流量选择器（Traffic Selectors）。若选择器限制为特定IP段或域名，火苗未匹配的流量将直接通过本地默认网关发送，不经过VPN隧道。这种设计允许用户同时保留部分直连流量，避免所有数据都绕行远程节点。
分隧道不等于全量隐藏
许多用户误以为连接VPN即意味着所有流量匿名化。实际上，分隧道架构仅覆盖指定应用或子网。例如，仅将访问企业内部网络流量导入隧道，而普通网页浏览仍走本地ISP出口。此时，火苗加速器外部网站看到的仍是本地IP，而非VPN节点IP。判断关键在于查看操作系统的路由表，确认目标目的地的下一跳是否指向虚拟网卡。
出口IP与隧道路径的关联
对于已入隧流量，其出站IP通常为VPN终端节点的公共IP。若服务商使用NAT中继或透明代理架构，目的站点看到的IP可能经过程序化映射，而非直接对应物理服务器。这意味着，即使流量在隧道内传输，最终呈现给远端的源IP地址仍取决于出口层的配置策略，不能简单等同于隧道起点。
验证路径的只读方法
无需修改任何配置即可观察路径。在操作系统中查询路由表，确认目标IP匹配的具体路由条目及接口。使用网络抓包工具，检查经过虚拟网卡的数据包是否携带IPsec或WireGuard封装头。同时，访问公开的IP回显服务，对比直连与入隧状态下的返回结果。若返回IP与本地公网IP一致，说明该流量未进入隧道；若为节点IP，则确认已切换至VPN出口。这些只读检查能准确反映当前流量的实际走向。
