当按应用分流策略导致特定连接中断时，核心思路是先在不改变现有配置的前提下，通过观测路由表、坚果加速器接口状态和流量走向来缩小故障范围，而非立即重置网络或重装客户端。分流故障通常源于路由优先级冲突、策略匹配错误或对等端不可达，盲目修改配置可能掩盖真实原因。
检查当前路由表与策略匹配情况
在Windows或Linux系统中，使用系统自带的路由查看工具（如`route print`或`ip route`）确认目标应用流量实际匹配到了哪条路由。重点观察是否存在更具体的子网路由覆盖了默认网关，导致本应进入VPN隧道的流量被直连出去。此时需核对VPN客户端的策略配置文件，确认流量选择器（Selector）是否正确指定了应用对应的IP段或端口。如果策略中使用了精确IP段，需确认该段是否因DNS解析变化而不再匹配。
验证隧道接口状态与对等端可达性
确认VPN隧道接口处于UP状态，并检查对等端（Peer）地址是否可达。使用ping或traceroute测试对等端IP，若无法连通，说明底层传输路径存在问题，而非分流策略错误。同时观察系统日志或VPN客户端日志，查找是否有IKE协商失败、SAD删除或重认证超时的记录。若对等端可达但流量仍未进入隧道，需进一步检查是否有本地防火墙或安全软件拦截了隧道封装包，这会阻止流量在本地完成分流逻辑。
通过观察路由表与接口状态，精准定位分流故障根源。
区分流量选择器与全局路由的作用域
需明确分隧道模式允许部分流量直连，它并非保证所有敏感流量强制入隧道的开关。流量选择器仅决定哪些源地址或目的地址的包进入隧道，坚果VPN官网其余包走默认网关。若你期望某应用所有流量（包括可能的中继或NAT出口流量）都严格受控，需确认当前架构是否支持该级别策略。加速服务可能使用中继，不能断言其技术上绝不可能改变目的站点所见的出口IP。因此，若故障表现为IP泄露或连接不稳定，应检查是否存在未被选择器覆盖的DNS查询或辅助流量走了直连路径，导致业务逻辑异常。
