现在很多家庭用户、小型工作室为了扩展无线覆盖范围、做不同设备的网络隔离，会搭建双路由器级联的网络环境，这种场景下部署VPN的时候很容易出现DNS泄露、域名解析失败、访问目标站点跳转到公网普通页面的问题，很多用户排查的时候只盯着VPN客户端设置，忽略了双层路由的DNS转发逻辑差异，本文就梳理双路由器环境VPN的DNS配置检查的实操方法和常见故障的排查思路，帮用户定位解析异常的根因。
双路由器环境下VPN DNS异常的底层逻辑前提
首先要先明确双路由器的常见组网形态，大部分用户用的是主路由拨号联网，副路由通过WAN口接主路由LAN口做二级NAT，少数是副路由开AP模式当无线扩展用，两种模式下DNS的转发链路完全不一样，VPN的流量如果没有被完全隧道封装，就会走外层路由的DNS解析路径，直接出现泄露。
很多用户的误区是以为只要终端开了VPN，所有DNS请求都会走VPN隧道，但是双路由环境下，终端的默认DNS可能先被副路由劫持，副路由再把请求转发给主路由的预设DNS，最后才到VPN分配的DNS服务器，中间任何一层的配置冲突都会导致解析结果不符合预期。
分层递进的DNS配置检查实操步骤
第一步先做基础链路确认，先断开VPN，分别在终端、副路由管理页、主路由管理页三个位置查看当前的默认DNS设置，记录下三层各自的DNS地址，避免后续排查的时候混淆原本的公网DNS配置。
用户在双路由器级联的网络环境下调试排查VPN DNS配置故障。
第二步开启VPN连接之后，先在终端本地执行nslookup或者dig命令，随便查询一个公网域名，看返回的DNS响应源地址是不是VPN服务端分配给你的DNS地址，翻墙加速器如果响应源直接显示的是主路由或者运营商的DNS地址，说明终端侧的VPN DNS推送规则没有生效。
第三步登录副路由的管理后台，查看当前的WAN口DNS配置，确认副路由有没有开启强制DNS重写、DNS过滤这类功能，如果这类功能处于开启状态，哪怕终端指定了VPN的DNS，所有DNS请求也会被副路由拦截转发给预设的DNS服务器，直接绕过VPN隧道的规则。
第四步登录主路由的管理页，查看VPN隧道对应的端口或者协议的流量规则，确认主路由有没有开启针对DNS请求的透明代理，部分主路由的广告过滤、家长控制功能会默认劫持53端口的DNS请求，哪怕VPN的封装流量已经发到公网，部分未被封装的DNS溢出包还是会被主路由直接处理。
常见异常场景的定位与排查方案
最常见的故障是VPN连接成功之后，部分内网域名无法解析，这种情况大多出现在副路由作为二级NAT的场景，你需要确认VPN服务端的推送DNS列表里，有没有把副路由的LAN口IP地址加入进去，让内网专属域名的解析请求可以转发到副路由的内置DNS服务器处理。
第二种常见异常是DNS测试工具检测到多个DNS地址混杂，既有VPN的DNS也有本地运营商的DNS，这种情况大概率是双路由环境下的IPv6 DNS配置没有同步修改，很多用户配置VPN的时候只调整了IPv4的DNS规则，双层路由的IPv6默认DNS还是运营商分配的，IPv6的DNS请求会直接绕过VPN隧道走原生链路。
第三种异常是切换VPN节点之后，域名解析结果还是旧的，梯子软件这种情况不要只清终端的DNS缓存，还要分别进入副路由和主路由的管理后台清空DNS缓存，双路由的缓存机制会把之前的解析结果留存，导致新的VPN DNS规则生效延迟。
验证配置生效的标准参考方式
所有配置调整完成之后，不要只依赖第三方IP查询网站的结果，要直接用nslookup分别查询普通公网域名、VPN内网专属域名、本地局域网共享设备域名三类不同的地址，确认三类请求的响应源都符合你预设的VPN DNS规则。
最后还要注意，双路由环境下不要同时在终端、副路由、主路由三个位置都开启VPN服务，多层VPN嵌套的情况下DNS的转发链路会出现循环转发的冲突，反而会导致所有域名都无法正常解析。如果排查之后还是存在部分解析异常，可以逐台断开路由的附加过滤功能，逐一排除不同层级的规则冲突点。
