很多搭建双路由器网络的用户，会选择把VPN客户端部署在二级副路由上，实现部分设备的流量走隧道、旋风vpn其余设备正常走公网的分流需求，但这类场景下的DNS配置很容易出现层级冲突，导致DNS泄露、解析异常等问题，本文的所有操作步骤都基于实际家用和小型办公的双路由拓扑验证，覆盖从配置前提到故障排查的全流程，不需要特殊的专业设备就能完成。
符合标准拓扑的双路由器组网环境，可直接开展VPN场景下的DNS配置校验与排查工作。
双路由环境VPN DNS配置的前置场景确认
我们首先要明确标准的待排查拓扑，一级主路由直接对接运营商入户宽带，负责PPPoE拨号、整个网络的公网地址获取，二级副路由的WAN口接主路由的任意LAN口，VPN客户端部署在副路由上，目标是让所有连接副路由LAN口、副路由WiFi的设备走VPN隧道，连接主路由的设备保持原有公网连接。如果你的拓扑是副路由仅做AP使用、没有独立WAN口，那不属于本次讨论的双路由VPN场景，不需要做分层DNS配置。
确认拓扑之后，第一步要先清空所有待测试终端的手动DNS设置，把电脑、手机、平板的DNS选项全部切回自动获取状态，避免终端层面的自定义DNS干扰后续路由层面的检查结果，不少用户排查数小时才发现是半年前改的公共DNS没有还原，完全是无意义的时间消耗。
分层级的DNS配置检查实操步骤
第一层先检查副路由WAN口的基础DNS配置，登录副路由的管理后台，找到WAN口参数设置页，查看当前WAN口的DNS地址，旋风加速器官网默认情况下副路由会从主路由自动获取运营商分配的DNS，这个设置本身没有问题，但要确认没有开启主路由的DNS强制推送规则，避免后续非隧道流量的DNS请求被篡改。
第二层进入副路由的VPN客户端配置页，找到隧道DNS相关的设置项，填入VPN服务商提供的专属DNS地址，或者合规的公共加密DNS地址，绝对不要勾选“继承WAN口DNS”的选项，同时开启路由内置的DNS劫持、强制隧道DNS功能，不同品牌路由器的功能命名略有区别，核心作用是拦截所有内网设备发出的、目标地址不属于VPN指定DNS的解析请求，全部转发到隧道内的DNS服务器处理。
第三层检查副路由的DHCP服务配置，很多用户完成了VPN端的DNS设置就以为配置完成，却忘了修改DHCP服务下发给内网设备的DNS地址，这里必须把DHCP的主备DNS全部填写为VPN指定的DNS地址，不能留空也不能填写主路由的网关地址，否则终端自动获取到的DNS还是运营商的地址，解析请求会直接绕开VPN隧道发送，必然出现DNS泄露问题。
多节点验证配置有效性的方法
配置完成后不要直接用终端的IP查询页面判断结果，要分层做验证，首先登录副路由后台，找到内置的网络诊断工具，用自带的nslookup功能测试任意普通域名的解析结果，旋风加速器官网确认路由层面的解析返回结果来自VPN指定的DNS节点，而不是主路由的运营商DNS返回的结果。
接下来用有线连接副路由LAN口的台式机做测试，先临时断开VPN连接，确认当前设备获取到的DNS是主路由对应的运营商DNS，再重新连接VPN，使用公开的DNS泄露检测工具多次测试，确认所有返回的DNS节点都属于VPN服务商公示的地址池范围内。
最后还要测试连接主路由WiFi的设备，确认这部分没有接入副路由的设备，解析结果还是正常的运营商DNS，不会被副路由的VPN配置影响，不少新手配置完成后发现整个家庭网络的解析速度变慢，就是没有做这一步验证，误把主路由的DHCP DNS也改成了VPN的地址，导致所有设备的解析都走了VPN隧道。
常见误区与故障定位思路
最常见的认知误区是把VPN的全局代理模式等同于DNS自动处理，很多用户以为开了VPN全局模式就不会出现DNS泄露，实际上双路由环境下存在WAN口、VPN隧道、LAN口DHCP三个不同的DNS转发层级，任何一个层级的配置出现疏漏，都可能导致解析请求跳出隧道，出现泄露问题。
如果多次调整配置后依然检测到DNS泄露，不要直接刷写第三方固件，先做最小环境测试：拔掉副路由连接主路由的WAN口，用一根网线把电脑直接连副路由的LAN口，手动在电脑上指定VPN的DNS地址做解析测试，如果这时候解析结果完全正常，说明问题出在两个路由器之间的转发规则，大概率是主路由开启了DNS强制重定向功能，把所有发往外部DNS的请求都拦截替换成运营商DNS，只要去主路由后台关闭对应的强制DNS转发开关，就能解决这类冲突问题。
