配置VPN路由优先级时，DNS解析结果直接影响流量最终走向。若DNS服务器地址仍指向公网，解析出的IP可能不在VPN路由表中，导致流量绕过隧道直连互联网。合理配合的关键在于：确保DNS查询本身进入隧道，或验证解析出的IP是否被路由策略正确接管。在修改前，请备份当前网络配置（如Windows的`route print`输出或路由表文件），并确认拥有管理员权限操作网络接口。
确认DNS查询是否经过隧道
首先需要验证DNS流量（目标端口53）是否被路由策略捕获。在Windows系统中，可使用`route print`查看0.0.0.0/0默认路由是否指向VPN虚拟网卡；在Linux中，检查`ip route`中默认网关是否为`tun`或`eth`等隧道接口。若DNS查询未进入隧道，解析结果将基于公网DNS记录，可能获得非预期IP地址，导致后续流量无法匹配VPN内部路由规则。
分隧道模式（Split Tunneling）允许部分流量直连，它并非保证所有流量入隧道的开关。若业务要求敏感数据必须全程加密，梯子需确认路由策略是否将目标IP段完全纳入隧道，而非依赖默认的公网出口。
在配置路由时，确保DNS流量正确进入隧道至关重要。
验证解析IP与路由表的匹配
在DNS返回IP后，观察该IP是否落在VPN路由覆盖范围内。例如，使用`nslookup`获取目标域名的解析IP，再对照路由表（`route print`或`ip route`）检查是否存在指向隧道接口的更具体路由条目。若解析IP属于公网地址段且无对应VPN路由，流量将按默认路由直连，此时即使VPN连接正常，数据也未加密传输。
注意，路由优先级由最长前缀匹配决定，若同时存在0.0.0.0/0和10.0.0.0/8等路由，后者优先匹配目标IP。因此，需明确业务所需的精确路由条目，避免依赖模糊的默认网关覆盖。
调整DNS服务器地址至隧道侧
若DNS查询未入隧道，可将网卡或系统DNS服务器指向VPN提供的内部DNS（如客户端配置文件中的DNS参数）。在Windows中，修改后需在“网络连接”属性中检查DNS设置，或运行`ipconfig /flushdns`清除缓存。在Linux中，可编辑`/etc/resolv.conf`或调整NetworkManager配置。此举确保解析过程在加密通道内完成，获得的IP更符合内网路由规划。
修改DNS配置属于低影响操作，但需确认新DNS服务器可达。若隧道断开，DNS查询将失败，导致无法解析域名。建议保留旧DNS配置作为备份，或在客户端策略中启用故障回退机制。
验证与恢复方法
配置调整后，通过`ping`解析后的IP或访问目标服务测试连通性。若流量未走隧道，可通过Wireshark捕获DNS响应包，确认其源地址是否为公网DNS服务器；同时检查路由跟踪（`tracert`或`traceroute`）首跳是否为VPN网关。若测试未通过，坚果可能原因包括路由条目缺失、DNS缓存未刷新或客户端策略未生效，需逐一排查，而非仅凭单次测试下结论。
恢复原设置时，还原DNS服务器地址至公网值，删除临时添加的特定路由条目，并重启网络服务或重新加载配置文件。确认路由表恢复至初始状态后，断开并重新连接VPN以清除可能存在的会话级路由残留。所有修改建议记录在案，以便后续审计与回滚。
