多条 VPN 同时在线，Windows 流量如何按应用分流？Rouler 的路由规则实践
开发机上常常同时存在几种网络出口：日常浏览走隐私 VPN，访问公司资源走工作隧道，局域网服务则留在本地网络。传统做法往往是切换 VPN 或手动改路由；前者打断工作，后者容易把规则变成难以追踪的系统配置。Rouler 是一款面向 Windows 的分流工具，尝试把「哪个应用的流量走哪张网卡」变成可观察的规则。
它解决的不是 VPN，而是出口选择
Rouler 官方将其定义为 Windows split tunnelling。规则可以匹配应用，也可以按目标 IP 或子网细分；应用与目标地址可组合匹配。比如让浏览器默认走 Mullvad，同时仅在访问 10.0.0.0/20 时改走 Tailscale。没有匹配规则的流量仍由 Windows 原有路由表处理。
关键点是 Rouler 面向网络接口工作，而非替代 VPN 客户端。官方列举 WireGuard、Tailscale、OpenVPN、Mullvad 和 AmneziaWG 等兼容例子；客户端仍按各自方式运行。每张接口能到达哪些网段，仍由对应路由决定，因此规则不能凭空创造 VPN 的可达性。
| 需求 | 规则思路 |
|---|---|
| 浏览器默认走隐私 VPN | 匹配浏览器应用，选择 VPN 接口 |
| 仅公司网段走工作隧道 | 匹配目标子网，再选择工作接口 |
| 其他程序维持系统默认行为 | 不添加规则，交由 Windows 路由 |
先画出流量意图，再写规则
假设机器上有 Ethernet、Mullvad 与 Tailscale 三个接口：Ethernet 和 Mullvad 有默认路由，Tailscale 只负责 10.0.0.0/20。规则可以表达为：Firefox 的全部流量走 Mullvad；Chrome 访问该子网时走 Tailscale；Steam 不设规则，由 Windows 自行路由。Chrome 未命中子网的流量仍按系统路由处理。
这类配置适合把「应用身份」和「目的地范围」分开思考：先决定哪些应用需要专用出口，再判断是否只对特定内网或服务生效。尤其是开发环境中，浏览器、命令行工具、IDE 插件与容器服务可能有不同网络需求，不宜用一条宽泛的默认规则覆盖全部流量。
Rouler 官方还提供连接活动视图，显示连接命中的规则，以及流量是被转发、交由 Windows 路由还是被阻止。它也允许从活动连接创建规则。出现连接异常时，先检查具体连接命中的规则和目标接口，比盲目修改全局路由更容易定位问题。
理解边界，避免把分流当成安全保证
官方说明 Rouler 只处理被规则命中的流量；不匹配的流量照常由 Windows 路由。若规则指定的接口无法承载目标流量，产品描述的行为是阻止该流量，而不是静默泄漏到另一个出口。与此同时，官方也将「DNS 尚不能按应用规则分流」列为当前设计限制：大多数 DNS 查询经由 Windows 服务发出，系统无法指出请求来自哪个应用。因此，应用级网络规则并不等于应用级 DNS 隔离。
还有一个重要的部署边界：Rouler 安装自己的 Windows 网络驱动。官方下载页要求 Windows 10/11、64 位 Intel 或 AMD 设备，目前没有 ARM 版本；测试版安装包需 beta key。官网提醒 SmartScreen 可能提示尚未建立信誉，并建议不放心时先用虚拟机或 Windows Sandbox 测试。涉及网络驱动的软件应先确认来源和签名，再在可回滚环境中验证，不要把「能运行」误当作适合直接部署到生产设备。
适合怎样的使用者
如果你需要在 Windows 上并行使用个人 VPN、公司隧道和专用子网，按应用及目标网段组合分流，Rouler 提供了比手工维护多条全局规则更直观的实验入口。它目前仍是早期测试版，官网明确面向熟悉 IP 地址、路由表和 VPN 配置的技术测试者；正式版将收费，公开 beta 才是免费阶段。对普通用户来说，等待成熟发布可能更稳妥；对网络配置有经验的测试者，则可以先用隔离环境验证规则、DNS 行为和目标网段可达性。
实操时记住三条：先核对接口本身的路由能力；规则尽量限定应用和目标网段；最后用活动视图检查实际连接结果。这样，分流规则才是可解释、可验证的配置，而不是另一份难以排查的网络黑盒。