Windows下Go net/http通过IPSec Tunnel请求失败：为何无法自动选对网卡？

在Windows系统中，使用Go语言net/http包通过IPSec隧道（VPN）发送远程GET请求时，返回502 Bad Gateway错误，但使用curl发送相同请求头、URI、请求方法的请求却能正常执行。

原出错代码 #

var req *http.Request
req, err = http.NewRequest("GET", *uri, reader)
if nil != err {
    level.Warn(log).Log("msg", "Unable to create request", "err", err, "uri", uri)
    return nil, err
}
if nil != req.Body {
    defer req.Body.Close()
}
for h, v := range opts.Headers {
    req.Header.Add(h, *v)
}

client := http.Client{}
if nil != err {
    return nil, err
}
res, err := client.Do(req)
if nil != err {
    level.Warn(log).Log("msg", "Unable to send request", "err", err, "uri", uri)
    return nil, err
}
defer res.Body.Close()

buf, err := io.ReadAll(res.Body)
if nil != err {
    level.Warn(log).Log("msg", "Unable to read response", "err", err, "uri", uri, "status", res.Status, "status_code", res.StatusCode)
    return nil, err
}

排查与修复过程 #

抓包分析发现：curl发送的请求能在VPN接口正常捕获，但Go的net/http请求丢失，推测是框架选择了错误的网络接口发送数据包。

通过指定本地网络接口的LocalAddr强制请求从VPN接口发出，修复后的客户端创建代码如下：

func Client(u string) (*http.Client, error) {
    uri, err := url.Parse(u)
    if nil != err {
        return nil, err
    }
    host := uri.Host
    port := uri.Port()
    if port == "" {
        if uri.Scheme == "http" {
            host = host + ":80"
        } else if uri.Scheme == "https" {
            host = host + ":443"
        }
    }
    conn, err := net.Dial("tcp", host)
    if nil != err {
        return nil, err
    }
    addr := conn.LocalAddr().(*net.TCPAddr)
    // 确保使用随机本地端口
    addr.Port = 0

    dialer := &net.Dialer{LocalAddr: addr}
    dialContext := func(ctx context.Context, network, addr string) (net.Conn, error) {
        conn, err := dialer.Dial(network, addr)
        return conn, err
    }

    transport := &http.Transport{DialContext: dialContext}
    client := &http.Client{
        Transport: transport,
    }
    return client, nil
}

将原代码中的client := http.Client{}替换为client, err := Client(uri)后，GET请求恢复正常。

核心疑问 #

为什么Golang无法自动选择合适的本地网络接口来发送请求？

• Windows路由表优先级与Go拨号逻辑的差异：Windows系统中，VPN接口的路由条目优先级可能低于物理网卡，但curl会严格遵循系统路由表的策略（包括VPN针对特定目标IP的路由规则）；而Go标准库的net.Dial在Windows下的默认拨号逻辑，可能未正确识别VPN路由的优先级，解析目标IP时优先匹配了物理网卡的路由，导致数据包从错误接口发出。
• 默认Dialer未绑定特定接口：Go默认http.Client使用的http.Transport，其底层net.Dialer未指定LocalAddr，此时系统会根据路由表选择出口，但Windows路由表存在多条匹配路由时，Go的接口选择逻辑和curl不一致——curl会优先匹配VPN的目标IP路由，而Go默认逻辑可能选择了metric值更低的物理网卡接口。
• 缺少预绑定的接口选择过程：修复代码中先通过net.Dial建立临时连接获取VPN接口的本地IP，本质是让系统先根据目标IP选择正确的VPN接口，再复用该IP作为后续请求的LocalAddr，强制请求从该接口发出；而Go默认拨号没有这个预绑定步骤，导致接口选择出错。

内容的提问来源于stack exchange，提问作者Horsing