路由策略与流量选择器的核心区别
在决定网络数据包是否进入VPN隧道时，路由表与流量选择器是两个独立但协同工作的机制。路由策略通常由操作系统内核或网络接口层执行，它检查数据包的目的地IP地址，决定是将其发送至本地网关还是标记为需经由VPN接口转发。相比之下，流量选择器（Traffic Selector）是IPsec等协议中的策略参数，蓝快VPN线路延迟对比它由VPN客户端或网关在IKE协商阶段下发，明确规定哪些源目IP段、协议类型或端口范围必须受加密保护。
两者的关键差异在于生效层级与控制粒度。路由表决定了数据包的初始转发路径，若路由未指向VPN接口，数据包可能根本不会进入加密流程。而流量选择器则是在加密层面设置准入标准，即使数据包进入了VPN接口，若其匹配规则不在选择器列表中，也可能被拒绝或透传。理解这一区别有助于判断为何有时配置了VPN后，部分流量仍走明文通道，或为何特定应用无法通过隧道访问。
分隧道模式下DNS请求的处理
分隧道VPN并非所有流量都进入加密通道，因此DNS解析行为需根据流量归属单独配置。当业务流量被判定为直连时，其DNS查询通常使用系统默认DNS，不经过VPN服务端。仅当流量被路由至VPN且客户端配置了远程DNS服务器时，相关域名的解析才会通过隧道发送。这意味着“分隧道”并不自动包含“全局DNS覆盖”功能，用户需明确区分哪些域名查询会因路由策略而改变路径。
通过路由表验证流量归属
在Linux或Windows系统中，可通过只读命令检查当前路由表，确认特定目标IP对应的出接口。例如，蓝快VPN线路延迟对比查询访问某业务IP时应走的下一跳。若路由条目指向物理网卡（如eth0或WLAN），则流量直连；若指向VPN接口（如tun0或VPN适配器），则流量入隧。此操作不影响现有连接，适合在排查前进行快速诊断。观察对象是匹配特定目的网段的最优路由条目，而非全局默认路由，以免产生误判。
深入解析路由策略与流量选择器，精准诊断VPN分流下的DNS处理机制。
流量选择器的配置范围
检查流量选择器需查看VPN客户端日志或网关策略配置。在IPsec实现中，选择器通常以三元组（源IP、目的IP、协议）定义。若配置仅覆盖特定内网段或业务端口，则其他流量即使路由指向VPN接口，也可能因不匹配选择器而被非加密处理或丢弃。具体字段名因实现而异，应参考所用软件或网关的官方策略文档，确认当前生效的选择器列表是否包含目标流量。
避免单一测试结论误导
某次DNS查询成功或路由表显示某接口，并不能单独证明所有敏感流量均已入隧。需结合流量选择器匹配结果与路由策略共同判断。若仅观察到默认DNS被替换，但业务流量路由仍指向本地网关，则敏感数据可能仍以明文传输。建议同时检查路由表与策略日志，蓝快形成闭环验证，避免依据孤立指标做出错误配置调整。
