不少家庭用户和小型工作室出于覆盖范围、设备隔离的需求，飞鲨会搭建双路由器层级组网环境，这类场景下部署VPN客户端时，经常出现DNS解析异常、站点访问失败、DNS规则不生效等隐性故障，很多用户排查时找不到核心问题，反而越改配置越混乱。本文围绕双路由器环境VPN：DNS配置检查的全流程梳理实操方法，覆盖拓扑梳理、分层校验、结果验证和误区排查的全环节，帮用户定位绝大多数常见的配置疏漏。
双路由器环境VPN部署的配置前提梳理
目前主流的双路由器拓扑分为两类，一类是主路由直接对接运营商宽带拨号，副路由WAN口接主路由LAN口，形成二级NAT结构，两类路由各自分配独立的内网网段；另一类是副路由开启AP模式，LAN口接主路由LAN口，关闭自身DHCP服务，所有终端的网段统一由主路由分配。很多用户没先理清自己的组网拓扑就直接修改VPN配置，很容易出现DNS规则下发错位的问题，后续排查会走很多弯路。
技术人员在双路由器组网环境中调试设备，排查VPN DNS配置相关异常故障
排查前还要先明确VPN客户端的实际部署位置，是安装在主路由上，还是安装在副路由上，还是终端设备单独拨号VPN，不同部署位置对应的DNS配置生效范围完全不同。很多故障的根源就是用户把VPN装在了副路由上，却想让主路由下直连的设备也走VPN的DNS规则，本身拓扑层面就不支持，反复修改配置也达不到预期效果。
分层级的DNS配置检查步骤
第一步先检查运营商主路由也就是光猫路由一体机的默认DNS设置，很多用户会忽略运营商自带设备的配置，哪怕后面接的二级路由改了VPN对应的DNS，光猫本身的DHCP服务如果下发了运营商默认DNS，部分终端会优先抓取光猫的DNS地址，绕过二级路由的VPN规则，出现隐性的DNS泄漏。
第二步检查VPN承载路由的DNS重定向规则，如果你把VPN客户端装在主路由上，要确认VPN配置页里的“允许VPN修改DNS”选项已经勾选，同时不要手动指定运营商的DNS作为全局DNS，否则VPN隧道建立后，DNS请求还是会走本地运营商链路，哪怕VPN连接状态显示正常，解析请求也没有走加密隧道。
第三步检查二级路由器的DNS透传规则，如果你的副路由是二级NAT模式，要确认副路由的WAN口自动获取的DNS地址，是主路由下发的VPN对应的DNS，而不是副路由自己手动设置的公共DNS。很多用户之前为了优化国内网页访问速度，给副路由手动设置过公共DNS，开启VPN之后忘记修改这一项，就会出现副路由下的所有设备DNS都不走VPN隧道的问题。
如果副路由是AP模式，本身不做NAT也不分配DHCP服务，这时候不需要在副路由上做任何额外的DNS配置，所有DNS规则都由主路由的VPN服务统一下发。要是你之前在AP模式的副路由上误开了DHCP服务，就会出现整个局域网里有两套DNS地址，部分终端随机获取到非VPN的DNS，出现解析结果时好时坏的随机故障。
DNS配置有效性的验证方式
不要只靠VPN服务商自带的泄漏检测页面判断结果，要先在终端上打开命令提示符，输入nslookup任意目标域名，看返回的DNS服务器地址是不是你VPN配置里指定的DNS地址，如果返回的地址里出现了本地运营商的DNS公网地址，就说明配置还有未覆盖到的泄漏点。
还要做分场景验证，分别连接主路由的有线网络、主路由的WiFi、副路由的WiFi，三个场景下分别做nslookup测试，飞鲨确认所有接入点的DNS请求都走VPN隧道。很多用户只测试自己常用的WiFi接入点，没发现其他接入点的DNS配置有问题，导致部分闲置设备的访问不符合预期，后续使用时才发现异常。
常见配置误区排查
很多用户误以为只要VPN连接成功，DNS就一定会自动走隧道，实际上部分双路由器的第三方固件默认开启了DNS代理功能，会把终端发来的DNS请求先缓存转发，哪怕VPN已经指定了远端DNS，代理功能还是会把部分请求转发到本地运营商的DNS服务器，这时候只需要在VPN配置页关闭DNS代理选项就可以解决这类问题。
还有的用户为了实现国内国外站点分流，飞鲨VPN设备切换指南给部分国内域名指定了国内公共DNS，却在双路由环境里把分流规则同时写在了主路由和副路由上，两套分流规则冲突之后，会导致部分域名的DNS请求匹配不到规则，直接走默认链路，出现解析失败的问题，这种情况只需要保留VPN承载设备上的一套分流规则，删掉另一台路由上的冗余配置即可。
双路由器环境下的VPN：DNS配置检查没有通用的最优方案，所有调整都要匹配自己的实际组网拓扑和使用需求，调整完配置之后要多次验证不同终端的解析结果，避免出现隐性的DNS泄漏问题，飞鲨排查过程中如果遇到规则冲突的情况，可以先把所有自定义DNS配置恢复默认，再逐步叠加需要的规则，更容易定位到具体的故障点。
