切断隧道时的流量去向
本地路由表的作用
DNS 泄露的预防机制
企业合规与高风险网络
VPN 断网保护核心在于防止因连接中断导致流量以明文形式直接泄露到公共网络。其基本逻辑是：当 VPN 客户端检测到隧道状态异常（如心跳超时、接口断开）时，立即修改本地路由策略，阻断除 VPN 网卡和特定管理网络外的所有互联网访问。这样，梯子即使隧道已断开，设备也无法向公网发送数据，从而避免了 IP 地址泄露或数据明文传输的风险。该功能通常由客户端软件在操作系统层面实现，依赖对路由表的实时控制能力。
断网保护机制如同数字盾牌，在隧道失效瞬间拦截数据外泄，防止明文流量直接暴露于公共网络。
在典型的 Windows 或 macOS 客户端场景中，Atom正常状态下，出站流量默认经由 VPN 虚拟网卡路由。若未启用断网保护，一旦 VPN 服务崩溃或服务器不可达，操作系统会自动回退至默认的物理网卡（如 Wi-Fi 或以太网），此时所有数据流立即以明文形式经过 ISP 网络。启用该功能后，客户端会在启动时写入持久化或高优先级的路由规则，将默认网关指向虚拟网卡。当检测到断连事件，软件会迅速删除指向物理网卡的默认路由，或增加一条黑洞路由指向回环地址。此时，若尝试访问外部网站，数据包会被丢弃，浏览器会显示无法连接而非静默泄露流量。这种机制确保了“要么全走隧道，要么全部阻断”的二元状态。
DNS 查询是断网保护场景中极易被忽视的泄露点。即便路由层面阻断了 HTTP 流量，操作系统或应用程序仍可能通过 IP 查询进行域名解析。如果没有专门的 DNS 保护机制，DNS 请求可能直接发往本地 ISP 的 DNS 服务器，暴露用户的浏览意图。因此，完整的断网保护通常包含 DNS 隧道化或本地 DNS 拦截功能。在连接正常时，DNS 查询经由加密的 VPN 通道发送；在连接中断瞬间，客户端应阻止本机发起任何 DNS 查询，或将其定向至失效地址，确保域名解析信息不随流量泄露而暴露。用户需确认所用客户端是否支持将 DNS 请求绑定至虚拟接口，而非依赖操作系统默认设置。
该功能在访问敏感网络资源或处于不可信公共 Wi-Fi 环境下尤为必要。例如，在酒店或机场等公共网络中，物理网卡通常直连开放网络，缺乏基本隔离。此时若 VPN 因网络波动暂时断开，若无保护机制，后台应用（如邮箱、即时通讯工具）仍可能通过明文通道传输数据。此外，对于需满足特定合规要求的业务场景，如金融、医疗或跨境数据传输，数据在传输路径上的完整性与保密性有强制要求。断网保护作为一种技术兜底手段，能防止因软件故障或网络抖动导致的合规违规。用户应优先选择支持 Kill Switch 或断网保护功能且能自定义触发条件的客户端，而非仅依赖路由自动切换的默认行为。
