在按应用分流模式下，VPN客户端仅将指定应用的流量导入隧道，其余流量直连网络。此时，Nord加速器DNS查询的走向直接决定分流是否生效。若DNS流量未通过隧道，而解析返回的是IP地址，客户端可能根据本地路由表选择直连路径，导致原本计划通过VPN访问的服务实际未经过隧道。因此，配合的核心在于明确DNS查询是由系统全局处理，还是由特定应用发起，并据此决定其是否纳入VPN隧道。
DNS查询的发起主体与路径
不同操作系统和VPN客户端对DNS的处理机制不同。Windows系统通常由DNS客户端服务统一处理所有应用的DNS查询，查询请求会遵循系统默认路由或特殊DNS策略。而某些专用VPN客户端（如基于WireGuard或OpenVPN的实现）可能会为特定应用劫持DNS端口，强制其查询走VPN隧道。关键在于识别当前系统中，Nord加速器目标应用的DNS请求究竟由谁发出，以及该请求是否被标记为需要走VPN接口。
路由表与流量选择器的作用
VPN分流依赖路由表或流量选择器（TAP设备、Policy-based路由等）。当应用发起DNS查询时，系统查看路由表决定下一跳。若DNS服务器IP被路由至VPN接口，查询即入隧道；若路由至物理网卡，则直连。在分流模式下，国外加速器试用1小时常会配置一条针对私有DNS服务器IP的路由指向VPN接口，同时保持其他DNS流量直连。观察对象为系统路由表（如Windows下的`route print`或Linux下的`ip route`），确认目标DNS服务器IP的下一跳是否为VPN虚拟网卡。
按应用分流下，DNS解析路径决定流量走向，需根据系统机制选择直连或隧道。
验证DNS走向的只读方法
可通过捕获DNS流量来验证。在Wireshark中过滤`dns`协议，观察发往目标DNS服务器（如8.8.8.8或10.8.0.2）的UDP 53包，查看其出接口（IfIndex或Interface Name）。若该包从VPN虚拟网卡发出，说明DNS走隧道；若从物理网卡发出，则走直连。此方法无需修改网络配置，仅做观测。注意，部分加密隧道（如IPsec）下DNS流量可能被封装，需在隧道接口抓包才能看到原始DNS报文。
IPsec与分流的局限性
并非所有能走VPN的流量都适合走VPN。IPsec分隧道允许部分流量直连，但这不意味着所有敏感流量都必然入隧道。若应用绕过系统DNS直接硬编码IP访问，或DNS查询走了直连路径但返回的IP被路由至直连网关，数据仍会泄露。因此，DNS配合不仅是“让DNS走VPN”，更需确保后续数据流量也遵循相同的路由策略，避免DNS与数据通道分离导致的策略失效。
