不少小型工作室、多设备用户会采用双路由器搭建VPN环境，主路由负责接入家庭或办公宽带，副路由运行VPN客户端为下联设备提供专属隧道，这类场景下DNS配置点分散在三个不同层级，很容易出现解析失败、DNS泄露等问题，本文梳理双路由器环境VPN：DNS配置检查的完整流程，结合实际拓扑给出可落地的故障排查方案。
双路由器VPN场景下可逐层校验三个层级的DNS配置，快速定位解析故障与DNS泄露问题。
双路由器VPN场景的DNS配置前提
这类场景的常规拓扑为，主路由通过PPPoE或动态IP接入运营商宽带，自身LAN网段通常设置为192.168.1.0/24，副路由的WAN口直接接入主路由的LAN口，副路由单独划分独立LAN网段比如192.168.2.0/24，VPN客户端运行在副路由的系统层面，所有接入副路由有线、无线信号的设备，默认流量全部走VPN隧道转发。
很多用户默认只要开启副路由的VPN功能，所有DNS请求就会自动走隧道处理，实际上DNS配置的生效逻辑涉及主路由DHCP规则、副路由WAN口继承参数、VPN客户端推送规则、终端本地设置多个环节，任意一个环节的配置遗漏，都可能导致解析请求绕过VPN隧道，出现解析异常或者泄露。
分层级的DNS配置检查步骤
第一步先检查主路由侧的DNS相关配置，登录主路由的管理后台，找到WAN口设置页面查看当前WAN口绑定的DNS地址，同时进入主路由的DHCP服务设置页，确认主路由没有强制向下联设备推送自定义的公共DNS或者运营商DNS。如果副路由的WAN口设置为自动获取IP模式，会直接继承主路由WAN口的DNS参数，这部分参数如果没有被VPN规则覆盖，就会成为解析泄露的隐藏源头。
第二步检查副路由的基础网络配置，登录副路由的管理后台，先查看WAN口的DNS获取状态，建议不要直接沿用主路由下发的运营商DNS，可手动修改为不常用的公共DNS作为隧道中断时的备用，再进入副路由自身的DHCP服务设置页，确认给下联设备分配IP时推送的DNS地址，优先填写VPN服务商提供的专属DNS，不要留空也不要随意填写第三方公共DNS。
第三步检查副路由VPN客户端的DNS绑定规则，进入副路由内置的VPN客户端配置页面，找到DNS相关的功能选项，确认“通过VPN隧道接管所有DNS请求”的选项已经勾选，搭载第三方开源固件的路由器通常还会提供“禁止DNS回退”的开关，同步开启该选项，避免VPN隧道意外中断时，系统自动切回原有公网DNS，造成解析请求泄露。
第四步检查终端侧的DNS生效状态，分别用有线连接、无线WiFi连接的方式接入副路由的网络，在不同操作系统的网络设置页面查看当前设备获取到的DNS地址，确认没有出现主路由侧推送的运营商DNS，也没有终端本地手动设置的第三方DNS，所有返回的DNS地址都和VPN服务商提供的专属DNS地址匹配。
常见DNS故障的定位与排查方法
如果遇到访问任意域名都提示无法解析的问题，先在终端上调用系统自带的nslookup命令，分别测试国内公共域名和VPN节点对应区域的常用域名，观察解析返回结果是否正常，如果所有域名的解析请求都无响应，大概率是副路由VPN配置页填写的VPN专属DNS地址有误，猎豹加速器需要核对VPN服务商给出的官方DNS参数做修正。
如果使用公开的DNS泄露检测工具测试时，检测结果里出现了本地运营商的公网DNS地址，先断开VPN连接，在副路由后台重新保存一次DNS接管规则，手动重启VPN客户端之后再做二次测试，部分路由器的内置VPN固件存在规则优先级bug，修改配置后必须重启VPN服务，网络加速器新的DNS覆盖规则才能完全生效。
如果出现接入主路由的设备解析完全正常，接入副路由VPN网段的设备解析时好时坏，需要排查两个路由器的LAN网段是否存在冲突，不要把主路由和副路由的LAN网段设置为完全相同的地址段，网段冲突会导致DNS请求的路由转发路径混乱，部分解析请求会绕过VPN隧道直接返回主路由的公网DNS，出现解析不稳定的问题。
不少用户做双路由器环境VPN：DNS配置检查时存在常见误区，误以为终端网络设置里显示的DNS是VPN提供的专属DNS就完全符合要求，实际上当前主流的桌面端、移动端浏览器大多默认开启内置的加密DNS功能，会直接绕过操作系统的本地DNS设置发起解析请求，排查时需要临时关闭浏览器的安全DNS选项，再做最终验证，猎豹加速器避免漏过浏览器层面的解析泄露点。
