很多用户配置VPN分流规则后，调整了分流对应的独立DNS服务器，却经常分不清是全局DNS生效还是分流规则绑定的DNS生效，既没法确认分流规则有没有正常运行，还可能遇到域名解析泄露、部分业务访问异常的问题，这份指南就围绕VPN分流DNS调整后的验证方法，从配置前提到分步校验，帮用户精准确认调整后的DNS规则是否按预期生效。
调整前的配置前提确认
首先要先确认你使用的VPN客户端的分流规则是按域名/IP段分流，还是按应用进程分流，闪连不同的分流模式对应的DNS绑定逻辑完全不同，比如按域名分流的规则，只有命中分流列表的域名才会走指定的VPN通道和对应DNS，未命中的域名走本地运营商DNS。
调整DNS的时候要先把分流规则和对应DNS的映射关系记清楚，比如你配置的是国内网站走本地运营商DNS，境外站点走VPN通道绑定的境外公共DNS，不要把两个DNS的对应通道搞混，不然后续验证的时候很容易出现误判。
基础连通性校验第一步：本地默认DNS排查
首先要断开VPN连接，在本地设备的命令行工具里查询当前系统默认的DNS服务器地址，Windows系统可以用ipconfig /all，macOS和Linux系统可以用scutil --dns或者查看resolv.conf配置文件，把当前本地运营商分配的DNS地址记录下来，作为后续对照的基准。
调试VPN分流规则前可先完成本地默认DNS的基础连通性排查
完成这一步之后再重新连接开启分流规则的VPN，不要开启全局模式，保持分流规则处于激活状态，这个时候不要急着跑测试，先确认VPN客户端的分流状态标识显示正常，没有出现规则加载失败的提示。
分场景验证分流DNS生效状态
第一个验证场景是测试未命中分流规则的域名，比如你配置的分流规则是只有指定境外域名走VPN通道，那你先访问一个国内普通域名，用nslookup或者dig命令查询这个域名的解析返回来源，看返回的DNS服务器地址是不是你之前记录的本地运营商DNS，如果匹配就说明非分流流量的DNS没有被VPN篡改，符合预期。
第二个验证场景是测试命中分流规则的域名，你可以选一个明确被你加入分流走VPN通道的域名，同样用nslookup工具发起解析请求，这个时候返回的DNS服务器地址应该是你之前调整绑定在VPN分流通道里的DNS地址，而不是本地运营商的DNS，这一步就是VPN分流DNS调整后的验证方法的核心环节，能直接确认分流规则和DNS的绑定关系有没有正常触发。
如果你的分流规则是按应用进程划分的，比如指定浏览器走VPN通道用自定义DNS，闪连其他应用走本地DNS，那你可以分别在指定浏览器里打开在线DNS查询网页，和系统命令行里分别查询同一个域名的解析结果，如果两个结果返回的DNS来源完全不同，就说明进程绑定的分流DNS已经正常生效。
常见验证误区与故障定位
很多用户验证的时候直接用搜索引擎搜“我的IP”来判断DNS是否生效，这是不对的，因为IP地址是路由出口的属性，闪连DNS是解析环节的属性，就算路由走了VPN通道，如果DNS没有跟着分流走，还是会出现解析泄露的问题，不能用出口IP结果代替DNS验证结果。
如果验证的时候发现命中分流规则的域名解析还是走了本地DNS，首先要检查VPN客户端的分流规则有没有把对应域名加入白名单，部分客户端的分流规则需要重启加载才能生效，闪连VPN调整DNS之后没有重启规则的话，新的DNS配置不会被加载。
还要注意部分系统自带的DNS缓存会干扰验证结果，每次调整配置之后可以先清空系统的DNS缓存，再发起新的解析请求，避免拿到之前缓存的旧解析结果，导致误判分流DNS没有生效。如果多次测试结果都不符合预期，可以先核对分流规则的匹配优先级，部分客户端的高优先级规则会覆盖低优先级的DNS绑定配置，调整对应规则的排序后再重新测试即可。
