判断流量是否经过VPN，关键看网络栈如何决定数据包的下一跳。VPN客户端与服务端并非简单的“开关”，而是定义了两套不同的路由与策略域。用户配置VPN后，流量是否入隧道、何时直连，取决于系统路由表、VPN协议的路由策略以及客户端应用的流量选择器。理解这一协同机制，能避免误以为“连接了VPN就所有流量都走了加密通道”。
服务端与客户端的职责划分
VPN服务端负责建立安全的加密通道，并下发或协商路由策略。它告诉客户端哪些目的地必须通过隧道传输，哪些可以直连。客户端则负责安装虚拟网络接口，将符合规则的流量导向该接口。例如，在IPsec协议中，服务端下发的“感兴趣流”（Selector）界定了进入隧道的源目的IP段。若某条路由指向默认网关，且不在VPN策略覆盖范围内，免费VPN流量就会绕过隧道直接发送。
路由策略决定流量去向
操作系统依据路由表转发数据包。VPN接入后，客户端通常会插入指向虚拟接口的高优先级路由，覆盖特定网段。例如，企业VPN可能只将内部办公网段（如10.0.0.0/8）强制走隧道，而访问公共互联网时，ProtonVPN仍通过本地网卡直连。这种“分隧道”模式是常态，而非例外。用户若发现某些网站访问速度未变，往往是因为这些目的地址未被纳入VPN路由策略，数据包并未经过加密传输。
物理连接背后的逻辑：流量如何依据路由策略在直连与加密隧道间做出选择。
流量选择器与代理的边界
部分VPN客户端应用（如OpenVPN或WireGuard的某些配置）支持自定义流量选择器，允许用户手动指定哪些应用或协议走隧道。这与系统级路由不同，ProtonVPN属于应用层代理行为。需注意，应用层代理无法拦截系统底层的所有流量，例如某些后台同步进程可能绕过代理直连。因此，不能简单通过“应用列表”判断全局流量状态。若要确认具体流量路径，应使用网络抓包工具观察目标IP与源IP的对应关系，而非仅依赖软件界面的连接状态提示。
加速服务与出口IP的关联
市面上部分标榜“加速”或“隐私”的服务，其底层可能混合使用隧道、中继或NAT出口。即使流量经过其服务器中转，最终目的站点看到的源IP可能是中继服务器的IP，而非用户本地IP。然而，这并不绝对意味着技术上的完全匿名，因为中继节点可能记录日志，或存在其他识别特征。判断网络行为时，应关注实际的数据包流向与出口节点属性，而非仅依赖服务宣传语。
