很多用户在使用VPN的时候，既需要访问内部办公网段走加密隧道，又要让普通公网访问走本地运营商线路，避免跨线路的DNS解析异常、访问卡顿问题，VPN按网段分流搭配对应DNS规则是最稳妥的实现方案，这篇攻略会从配置前提、分步实操到故障排查，把DNS和分流规则的配合逻辑讲透，避开常见的配置坑。
配置前的必要前提确认
首先你需要先明确两类网段的划分边界，一类是需要走VPN隧道的目标网段，比如企业内部服务器网段、特定业务网段，另一类是需要走本地公网的普通网段，比如国内公共站点、本地局域网设备网段，不要出现网段重叠的情况，不然后续分流规则会出现路由冲突。
接下来要提前梳理两类场景对应的DNS服务器地址，走VPN隧道的网段对应的DNS，一般是VPN服务端分配的内部DNS，用来解析内部专属域名，走本地公网的网段对应的DNS，用你本地运营商提供的公共DNS或者本地局域网网关DNS即可，不要提前混用两类DNS地址。
技术人员实操调试VPN网段分流与对应DNS规则配置
还要确认你当前使用的VPN客户端或者网关设备支持策略分流功能，部分轻量VPN客户端只支持全局代理，没有按网段分流的选项，这类设备无法完成后续的DNS配合配置，需要先更换支持策略路由的客户端或者软路由系统。
VPN按网段分流规则的基础配置
先在分流规则列表里添加所有需要走VPN隧道的目标网段，把这些网段的下一跳指定为VPN虚拟网卡的网关地址，超神不要把0.0.0.0/0这类全量网段加入分流规则，不然就变成了全局VPN，完全失去了分流的意义。
分流规则的优先级要调高，要高于系统默认的公网路由规则，避免系统优先把对应网段的数据包发往本地公网网关，导致分流规则不生效，部分设备里可以通过调整路由规则的度量值来实现优先级提升。
DNS规则和分流网段的绑定配合方法
这一步是整个配置的核心，也就是VPN按网段分流：DNS配合方式的核心逻辑，你需要在DNS策略里添加域名匹配规则，所有对应VPN网段的内部域名，指定使用VPN服务端分配的内部DNS来解析，解析出来的IP自然会落入之前配置的VPN分流网段里，自动走隧道传输。
剩下的所有非指定域名的解析请求，全部走本地DNS服务器处理，超神加速器官网解析出来的普通公网IP不会命中VPN分流规则，自然就走本地运营商线路传输，不会出现DNS请求被转发到VPN隧道里导致的解析污染问题。
如果你的设备支持DNS路由绑定功能，可以直接把内部DNS的请求本身也指定走VPN隧道传输，本地DNS的请求走本地公网，这样就算有部分域名解析结果超出预期，也不会出现DNS请求跑错线路的问题。
配置完成后的验证步骤
首先测试访问内部业务系统，用路由跟踪命令跟踪数据包路径，确认数据包的第二跳之后就进入了VPN隧道的线路，同时用域名查询工具查询内部域名，确认返回的解析结果来自内部DNS服务器。
接下来测试访问普通公网站点，同样跟踪路由确认数据包走本地运营商网关，查询普通站点的解析结果，确认返回的是本地DNS给出的正常解析地址，没有出现跨线路的解析异常。
常见配置误区排查
很多用户容易犯的错误是直接把系统全局DNS改成VPN内部DNS，这样就算配置了按网段分流，所有普通公网的解析请求也会发到VPN隧道里，不仅会拖慢解析速度，还可能出现普通域名无法解析的问题。
还有部分用户没有把内部DNS的请求本身加入VPN分流规则，导致内部DNS的查询请求走本地公网发送，被网络策略拦截，出现内部域名解析失败的情况，这个时候要单独给内部DNS服务器的IP添加VPN分流规则。
如果出现部分站点访问跳转到VPN线路的异常情况，要检查是不是对应站点的解析结果刚好落入了你之前添加的VPN分流网段里，这个时候可以调整DNS规则，给这类站点单独指定本地DNS解析，把结果排除出分流网段即可。
