一、支持的架构不同
·隧道资源同时支持 B/S（浏览器/服务器）和 C/S（客户端/服务器）架构应用。
·Web 资源仅支持 B/S（浏览器/服务器）架构应用。
二、访问的方式不同
·隧道资源必须安装 iOA 客户端，且仅能通过业务后端地址访问。
·Web 资源无需安装客户端，可使用浏览器等方式访问业务，支持通过前端地址或自定义域名访问。
三、访问的地址类型不同
·隧道资源仅允许通过业务后端地址进行访问，且客户端访问时通常由本地虚拟网卡引流至安全代理网关，用户无感知。
·无端代理 Web 资源：支持通过前端地址或自定义域名进行访问，同时禁止通过后端地址直接访问。这种方式提供了友好的访问入口，同时屏蔽了后端细节以提升安全性。
四、关键差异总结
·架构兼容性：隧道资源可适配更复杂的 C/S 架构应用（如传统桌面客户端），而 Web 资源仅适用于网页类应用。
·访问门槛：隧道资源需依赖客户端，适合强管控场景；Web 资源零客户端依赖，适合快速访问。
五、是否所有的流量都需要引流到 iOA 网关？
仅接入 iOA 的业务流量且登录账号有对应业务的访问权限才会引流到 iOA 网关。
六、如何理解隧道资源优先级？优先级的作用是什么？
当多个隧道资源存在冲突时（例如：访问资源时，可能同时命中泛域名与精准域名，IP 段或 IP 的场景），此时需要通过资源的优先级来判断，优先命中哪个资源。
1. 隧道资源可以配置泛域名，这个场景下可能存在部分需要直连的域名，可以再单独配置想直连的域名资源调高优先级。
2. 同个隧道资源需要走不同的网关。
七、配置好资源后，为什么无法立即访问？
资源配置到 iOA 控制台后需经过 iOA 网关下发，一般需等待1-2分钟才可进行访问。
八、客户端支持的代理模式有几种？和我现有的 VPN 冲突了，在测试/灰度阶段应该如何处理？
客户端有3种代理模式：
·全局代理：所有访问请求都通过虚拟网卡进行拦截，根据 IP 查询 iOA 自己的 DNS 进行规则判断是否进行代理，在运行了多个 VPN 的终端上可能存在兼容性问题。
·PAC 模式/浏览器代理：浏览器拦截访问请求，转发给 NGN 模块，判断是否拦截，不会启动虚拟网卡。即只有配置到 iOA 后台的隧道资源才会进行引流，其他走直连，通常用于和其他 VPN 的共存过渡阶段使用。
·WFP 模式：微软防火墙驱动拦截访问请求，对于请求包进行拦截，然后将请求包转发给 NGN 模块进行规则判断，是否进行代理；因为是微软的驱动，兼容性较好，是全局代理的替代方案，但是只能在 Windows 端使用。
如上所述，若与现有 VPN 冲突，在测试/灰度阶段可使用 PAC 模式/浏览器代理、WFP 模式。