在现代企业网络架构中,虚拟私人网络（VPN）已成为远程办公、分支机构互联和安全数据传输的核心技术，在实际部署过程中，许多网络工程师或运维人员会遇到一个看似合理但实则危险的配置建议：“不要网关”——即在设置站点到站点（Site-to-Site）或远程访问（Remote Access）VPN时，刻意避免配置默认网关或路由表中的网关项，这种做法表面上简化了配置流程，实则可能引发严重的网络中断、流量绕行甚至安全漏洞。
我们必须明确什么是“网关”在VPN中的作用，在TCP/IP模型中，网关是不同网络之间的逻辑出口点，负责将数据包从一个子网转发到另一个子网，对于VPN而言，网关通常是本地路由器或防火墙上的接口地址，用于指示哪些流量应通过加密隧道传输，当总部服务器需要访问分支机构的数据库时，如果未正确配置网关路由，流量可能直接走公网，而非经过加密的IPSec或SSL/TLS隧道，这不仅导致性能下降，还暴露敏感数据于明文传输风险。
常见的错误场景包括：
- 误删默认路由：某些用户认为只要配置了VPN隧道，就不需要额外的网关设置，于是删除了本地网络的默认网关，结果是，所有出站流量无法到达互联网，即使目标地址在远程网络中。
- 静态路由缺失：在多子网环境中，若未为远程子网添加精确的静态路由（如
ip route 192.168.10.0 255.255.255.0 [tunnel-ip]），流量无法识别应走哪条路径，造成“死路”现象。 - 策略路由冲突：有些设备支持策略路由（PBR），若未与网关规则协同，可能导致部分流量被错误地引导至非加密通道。
举个真实案例：某公司使用Cisco ASA防火墙搭建站点到站点VPN连接两个办公室，初期测试阶段，技术人员发现两端设备能ping通，便认为配置成功，但后续业务系统运行异常，发现文件传输速度极慢，且部分应用出现超时，深入排查后发现，由于未在本地ASA上配置指向远程网络的静态路由（即“网关”），所有跨网段流量都被丢弃或回退到公网，导致大量冗余流量绕过加密隧道，既影响性能又违反合规要求（如GDPR或等保2.0）。
“不要网关”的说法从何而来？这通常源于对“最小权限原则”的误解，一些人认为“只允许特定流量通过VPN”，因此尝试屏蔽所有默认网关，试图限制访问范围，但这是一种粗暴的做法，正确的做法应该是：
- 使用精确的静态路由或动态路由协议（如OSPF、BGP）控制流量路径；
- 启用访问控制列表（ACL）过滤非法源/目的地址；
- 利用VRF（虚拟路由转发）隔离不同业务域。
VPN不是孤立的加密通道,而是一个完整的网络互联方案。“不要网关”是一种典型的“伪优化”，它忽视了路由决策在网络通信中的核心作用，作为网络工程师，我们应坚持“以需求为导向、以安全为底线”的原则，科学配置网关和路由，确保流量可控、可审计、可防护，才能真正发挥VPN的价值——既保障安全，又提升效率。
