Windows Server 2003 搭建 VPN 中轉閘關實現分流路由共享上網

在已配置好 VPN + NAT 共享上網的 Windows Server 2003 基礎上，通過接入境外 OpenVPN 服務器，利用靜態路由表實現「默認走本地，被封鎖流量走 VPN」的智能分流，節省頻寬並提升訪問速度。本文詳細記錄配置邏輯與關鍵步驟。

架構邏輯圖解

客戶端 → Win2003 (本地網關) → { 國內流量 → 直連
                                  被封鎖流量 → OpenVPN 隧道 → 境外服務器 → 目標站點 }

核心配置步驟

1. OpenVPN 客戶端配置：禁止默認路由重定向

編輯 OpenVPN 客戶端配置文件（.ovpn），刪除或註釋 以下行：

push "redirect-gateway def1"

此舉防止 VPN 連接建立後劫持默認網關，保持本地出口為主路由。

2. 建立 OpenVPN 連接，確認虛擬網卡 IP 與網關

連接成功後，系統新增一張 TAP 虛擬網卡。記錄分配的 IP 與網關：

• 假設虛擬網卡獲取 IP：10.8.253.6
• 對應 VPN 網關 IP：10.8.253.5（通常為客戶端 IP 所在網段的 .1 或 .5）

關鍵： 後續添加靜態路由時，網關參數必須填寫此 VPN 網關 IP，填錯將導致路由不生效。

3. 在「路由和遠程訪問」中添加靜態路由

1. 打開「管理工具」→ 「路由和遠程訪問」。
2. 展開服務器名稱 → 「IP 路由」→ 「靜態路由」。
3. 右鍵「靜態路由」→ 「新增靜態路由」。
4. 對每個需走 VPN 的目標網段，添加路由條目：

示例：將 Twitter (104.244.42.0/24) 與 YouTube/Google (172.217.0.0/16) 強制導向 VPN 網關。

4. 確定目標 IP 範圍的實用技巧

• 對目標域名執行 nslookup 或 ping 獲取 IP。
• 使用 whois 或在線 ASN 查詢工具獲取該 IP 所在的 CIDR 塊（C 段/B 段）。
• 優先添加較大網段（如 /16、/20），減少路由條目數量；若誤傷正常流量，再細化排除。

驗證與故障排查

• 客戶端 tracert twitter.com 應顯示首跳為 VPN 網關 IP (10.8.253.5)。
• 國內網站 tracert baidu.com 首跳應為本地物理網關。
• 若 VPN 斷開，靜態路由因介面失效自動失效，流量自動回落本地（需確保本地有默認路由）。

適用範圍： Windows XP/7/10 同樣支持通過 route add 命令行實現相同邏輯，僅介面操作差異。