很多有差异化网络访问需求的用户，既希望部分指定应用通过VPN通道访问，又不想日常使用的普通应用流量全部绕经VPN，避免不必要的访问异常，而纯靠IP段匹配的应用分流规则很容易因为服务IP动态变动失效，VPN按应用分流：DNS配合方式就是目前稳定性最高的落地方案，通过DNS解析结果和分流规则的联动，能大幅降低分流规则的维护成本，同时避免常见的DNS泄露问题。
配置前的核心前提确认
首先你所使用的VPN客户端，或者刷入第三方固件的路由器，小熊VPN官网必须支持自定义的策略路由功能，不能是全局强制接管所有系统流量的封闭VPN客户端，这类客户端没有开放分流规则的自定义权限，无法实现DNS和分流规则的联动配置。
支持策略路由的路由器是实现DNS联动VPN分流的核心硬件前提
其次你需要提前梳理清楚需要走VPN通道的应用对应的域名特征，不要完全依赖网上流传的通用IP段分流表，这类通用表更新滞后性很强，而基于域名的DNS匹配规则，只要覆盖应用的核心关联域名，就能长期保持分流规则的有效性。
最后你需要提前清空本地操作系统或者路由器上手动绑定的第三方公共DNS设置，小熊避免分流规则生效前，系统已经提前把目标域名解析到公网地址，导致后续的分流绑定规则无法匹配到对应的流量，出现规则失效的问题。
VPN按应用分流：DNS配合方式的分步配置流程
第一步先调整DNS请求的转发优先级，在策略路由规则里添加最高优先级的DNS分流规则：所有标记为需要走VPN的应用发出的DNS查询请求，全部转发到VPN节点对应的内置DNS服务器，其余普通应用的DNS查询请求，直接转发到本地运营商的DNS服务器，全程不经过VPN通道。
第二步录入自定义的域名匹配白名单，把所有需要走VPN的应用对应的核心二级域名、相关子域名全部录入名单，标记这类域名的解析请求全部走VPN侧DNS，不在白名单内的所有域名，默认走本地运营商DNS完成解析。
第三步开启DNS解析结果的自动绑定功能，当系统从VPN侧DNS拿到白名单域名的解析IP之后，自动把这个IP对应的所有进出流量，全部绑定到VPN虚拟网卡接口路由，非白名单域名解析得到的IP，小熊所有流量直接走本地物理网卡的默认路由，不经过VPN通道。
配置完成后的有效性校验步骤
首先你可以打开日常使用的普通浏览器，访问公网IP查询站点，确认当前显示的公网出口地址是本地运营商分配的地址，没有被VPN接管，普通网页的访问状态符合日常使用习惯。
之后你再打开指定要走VPN的目标应用，确认应用的访问状态符合预期，同时可以分别在普通应用和分流应用的环境下运行DNS泄露检测，确认两类场景下返回的DNS服务器地址分别对应本地运营商DNS和VPN侧DNS，没有出现跨场景的DNS混流问题。
常见配置误区与故障定位方法
很多新手配置时最容易犯的错误，是直接把全局系统DNS修改为VPN侧的DNS，哪怕后续做了应用分流，所有域名的解析请求都先发到VPN服务器，不仅会导致国内普通站点的解析延迟大幅升高，还可能出现国内站点访问异常的问题，完全违背了分流配置的初衷。
第二个常见误区是只配置IP段分流规则，完全不搭配DNS联动机制，一旦对应应用的服务IP段更新，之前手动录入的静态IP分流规则就会大面积失效，要么本该走VPN的应用流量漏到公网，要么普通应用的流量错误进入VPN通道，后续排查问题的成本极高。
如果配置完成后出现部分分流应用域名解析失败的问题，可以先检查域名白名单是否漏加了该应用的关联子域名，再确认DNS分流规则的优先级是否高于全局路由规则，调整规则排序后大部分解析异常问题都能得到解决。
这套VPN按应用分流：DNS配合方式的配置方案，不需要频繁更新静态IP段规则，就能长期保持分流逻辑的稳定性，兼顾不同应用的差异化访问需求，适合大部分有自定义分流需求的普通用户使用。
