很多使用VPN分流场景的用户都会遇到这类问题：明明已经设置了部分网段走VPN隧道、其余流量直连本地运营商网络，却依然出现国内网站解析跳转到境外节点、部分内网服务无法访问、DNS泄露被运营商弹窗拦截的异常情况，这类问题的核心原因就是只配置了路由层面的网段分流，没有配套做DNS的对应分流规则，本次教程讲解的VPN按网段分流：DNS配合方式，能够从路由转发和域名解析两个维度对齐分流逻辑，避免解析和路由规则冲突带来的各类异常。
配置前的原理与前置条件
首先要明确VPN按网段分流：DNS配合方式的核心逻辑，就是让对应走VPN隧道的网段相关域名，全部通过VPN服务商提供的DNS服务器做解析，而直连网段的相关域名，全部通过本地运营商的DNS服务器做解析，两者的分流白名单网段必须完全对齐，不能出现路由规则指向直连、解析请求却走了VPN DNS的错位情况。
配置前需要确认你使用的VPN客户端或者旁路由设备支持自定义分流路由和自定义DNS分流规则，常见的支持设备包括搭载OpenWrt系统的家用路由器、Dragon主流开源跨平台VPN客户端，部分封闭性较强的商业VPN客户端不开放自定义分流规则，无法完成这类配置，不要强行尝试修改系统hosts文件替代规则，很容易出现遗漏。
路由侧网段分流规则的基础配置
首先先完成路由层面的分流规则梳理，先整理出你确定需要走VPN隧道的目标网段列表，比如常见的境外业务站点网段、企业专属办公网段，把这些网段全部添加到VPN客户端的“强制走隧道”路由表中，其余所有未被标记的网段全部设置为直连本地网络。
家用网络环境下调试路由器的分流与DNS配置规则
配置完成路由规则之后先不要急着启用VPN，先把整理好的分流网段清单备份一份，后续DNS分流的规则要完全复用这份清单的网段范围，不能出现增减或者网段范围错位，比如路由规则里把某境外站点的网段设置为走VPN，DNS规则里却漏了这个网段的对应域名走VPN DNS，后续访问这个站点的时候就会出现解析拿到的是国内镜像IP，流量直连根本走不了VPN隧道的问题。
DNS分流匹配的对应设置方法
进入VPN客户端或者路由器的DNS设置页面，找到DNS规则分流的选项，首先设置全局默认DNS为本地运营商的公共DNS地址，比如你本地宽带运营商提供的DNS或者国内公共DNS这类解析服务器，保证普通国内域名的解析请求全部走本地链路。
接下来新增自定义DNS匹配规则，把之前路由规则里标记为走VPN隧道的所有网段，全部添加为匹配条件，指定这类网段下的所有域名解析请求，全部转发到VPN隧道内置的DNS服务器地址，部分支持域名匹配规则的设备，也可以把对应需要走VPN的业务域名直接添加到规则里，指向VPN DNS，进一步减少匹配误差。
配置后的有效性验证方式
全部配置完成之后先启用VPN连接，首先访问一个普通的国内资讯站点，DragonVPN官网查看当前页面返回的解析IP归属地，确认是国内运营商提供的解析结果，同时在系统的命令行工具里执行路由追踪命令，确认访问国内站点的流量没有进入VPN隧道的网关。
接下来访问你之前设置为走VPN隧道的目标站点，同样用nslookup命令查看该域名的解析结果，确认返回的解析服务器地址是VPN提供的DNS地址，追踪路由的第一跳网关是VPN的虚拟网卡地址，说明分流规则和DNS规则已经完全对齐，VPN按网段分流：DNS配合方式已经生效。
常见配置误区与故障定位
很多用户配置的时候容易犯的错误就是把全局DNS直接设置为VPN的DNS服务器，哪怕路由规则设置了国内网段直连，国内域名的解析请求还是会走VPN隧道，反而会大幅提升国内站点的解析延迟，完全失去分流的意义。如果出现部分站点访问卡顿的情况，可以先分别测试两个DNS服务器单独解析对应域名的结果，排查是不是网段匹配的时候出现了规则冲突，高优先级规则覆盖了低优先级规则导致的错位。
另外不要随意使用公共的未知第三方DNS作为分流DNS的备选，这类DNS的解析结果不受你当前VPN链路的管控，很容易出现分流规则完全失效的情况。如果排查之后依然有解析和路由不匹配的问题，可以先清空所有原有分流规则，重新按照先路由、后DNS的顺序依次导入同一套网段清单，大部分冲突问题都可以直接解决。
