很多用户在使用VPN实现部分应用特殊联网需求时，不希望所有设备流量都走加密隧道，比如仅海外办公类APP走VPN通道，本地影音、购物类应用走运营商直连，直接开启常规应用分流规则时，经常会遇到域名解析错位的问题，比如国内站点被解析到海外节点导致加载异常，走隧道的应用反而打不开境外服务。这篇教程就从现象排查、配置校验的完整链路，讲解VPN按应用分流DNS配合方式的落地方法，帮用户实现精准的分流效果。
现象排查：未做DNS配合的应用分流常见异常
很多用户刚开启VPN按应用分流功能时，明明已经把指定APP加到分流走隧道的名单里，其余APP设置为走直连，结果打开本地购物APP的时候，加载出来的是海外镜像站点，甚至部分国内网页自动跳转到境外版本，这就是典型的分流规则没有和DNS策略绑定的问题。
还有一类常见现象是走VPN隧道的应用反而打不开境外服务，页面提示域名解析失败，查看流量统计又能看到该APP的流量确实走了隧道网卡，本质是该应用的DNS请求没有跟着流量走隧道，还是使用了本地运营商的DNS，被常规网络策略拦截了解析请求。
配置前提：确认现有环境的兼容条件
首先你使用的VPN客户端或者路由器固件，必须同时支持应用级分流规则自定义，以及DNS请求的路由绑定功能，部分仅支持全局DNS设置的轻量客户端，没办法实现不同应用对应不同DNS出口的需求，不要强行尝试避免出现网络冲突。
接下来要先梳理自己的分流需求清单，明确哪些应用的全量流量包括DNS请求要走VPN隧道，哪些应用的全量流量包括DNS请求走本地直连，不要留模糊的规则，比如不要设置浏览器一半站点走隧道一半走直连，很容易出现域名解析交叉错乱。
分步配置：DNS配合实现VPN按应用分流的操作流程
第一步先配置分流走VPN隧道的应用专属DNS，在客户端的DNS设置页面，添加仅对分流名单内应用生效的DNS地址，优先选择VPN服务商提供的隧道内专属DNS，不要用来源不明的第三方DNS避免解析结果和隧道IP归属不匹配。
第二步配置直连应用的专属DNS，把不在分流名单里的所有应用的DNS请求，绑定为本地运营商的公共DNS或者常用的国内公共DNS，不要和隧道内的DNS地址混用，从源头避免解析出口错位。
第三步开启DNS请求的路由跟随开关，这个选项大部分专业分流客户端会放在分流规则的高级设置里，开启后所有应用的DNS请求出口，会和该应用本身的流量出口完全绑定，不会出现应用流量走隧道、DNS请求走直连的错位情况。
逐项校验：配置后的结果验证方法
先测试走VPN隧道的应用，打开该应用访问需要境外解析的站点，同时在系统的网络连接日志里查看该应用的DNS请求目标地址，确认和之前设置的隧道专属DNS地址一致，没有出现请求本地DNS的记录，就说明这部分规则已经生效。
再测试走直连的普通应用，打开本地影音、购物类APP，查看页面加载的内容是否为国内常规版本，同时用第三方域名查询工具确认该应用的解析结果归属地为国内运营商节点，没有出现境外解析记录。
最后做交叉场景验证，同时打开走隧道的应用和走直连的应用，两边同时访问网络资源，观察有没有其中一侧出现解析失败、加载卡顿的情况，如果没有异常就说明整套DNS配合的分流规则已经稳定运行。
常见误区规避
不要为了图省事直接把全局DNS设置为隧道内的境外DNS，哪怕已经做了应用分流规则，这种情况下所有直连应用的DNS请求都会走到境外DNS，不仅会导致国内站点解析结果异常，还会产生不必要的额外解析延迟。
也不要随便在分流规则里添加全量DNS端口的转发规则，部分老旧设备的内核没办法处理这么复杂的端口映射，反而会导致所有应用都没办法正常解析域名，按照应用维度绑定DNS路由的方案，比全局端口转发的兼容性好很多。
如果配置后还是出现个别应用解析错位的情况，可以先检查该应用有没有内置硬编码的DNS地址，这类应用会绕过系统DNS设置，需要单独把该应用加入全流量走隧道或者全流量走直连的固定规则，不需要调整整体的DNS配合分流框架，就能解决大部分异常问题。
