很多用户在日常使用VPN访问外部资源的时候，经常会遇到开启VPN后无法正常访问本地局域网内的NAS、内网打印机、公司OA系统、内部文件服务器的问题，反复手动开关VPN切换内外网使用场景非常影响工作效率。本文介绍的VPN排除局域网规则DNS配合方式，不需要手动拆分全量外网路由，只通过两层配置联动就能实现内外网同时正常访问，不需要在不同网络场景之间反复切换。
配置前的核心前提校验
首先你需要明确自己所处环境的全部内网网段范围，不要直接照搬网上通用的局域网段就直接填写，部分企业的IT管理员会自定义非标准的内网网段，如果漏加对应网段，就算后续配置全部正确，对应网段的内网设备依然无法正常访问。你可以直接查看本地物理网卡的IP地址和子网掩码，推算出当前所属的内网网段范围。
直观展示VPN配置后内外网设备同时连通的工作状态
其次要确认你当前使用的VPN客户端开放了自定义路由排除的权限，很多轻量化的精简版客户端默认锁死了全流量强制转发的规则，不允许用户自行调整路由优先级，这类客户端就算你手动在系统层面加静态路由，也会被客户端的全局规则覆盖，无法实现预期的分流效果。
最后你需要提前获取当前内网环境的专属DNS服务器地址，通常这个地址就是你家里的路由器管理地址，或者企业内网的域控服务器地址，不要用公共DNS作为内网场景的主DNS，公共DNS没有内网域名的解析能力，就算路由规则配置正确，也无法通过域名访问内网服务。
VPN排除局域网规则的基础配置步骤
打开VPN客户端的路由设置面板，找到标注为“排除指定流量不通过VPN隧道转发”“自定义分流路由”的功能入口，把你之前确认的所有内网网段以CIDR格式添加到排除列表里，除了你自己确认的自定义网段，也可以把互联网标准保留的三个局域网段全部加入，覆盖绝大多数家用和小型办公的内网场景。
配置的时候注意不要误选“仅允许指定流量走VPN隧道”的反向分流模式，这类模式需要你手动添加所有需要通过VPN访问的外网网段，维护成本极高，后续新增外网服务的时候很容易出现访问异常，远不如排除局域网的正向规则适配性强，普通用户几乎不需要用到反向分流模式。
所有路由规则添加完成后先不要连接VPN，在未启动VPN的状态下尝试访问几个常用的内网服务，确认当前内网本身的连通性没有问题，避免后续配置完成后出现故障，无法快速定位到底是VPN配置出错还是本身内网的物理连接存在问题。
DNS配合的联动配置方法
这一步是VPN排除局域网规则DNS配合方式的核心落地环节，你需要进入当前设备的系统网络设置界面，找到正在使用的物理网卡的DNS配置项，把之前记录的内网专属DNS地址调整到优先级最高的位置，后面再补充一个可靠的公共DNS作为备用解析地址。
不要把VPN生成的虚拟网卡的DNS优先级调整到物理网卡之上，不然就算你已经添加了正确的局域网排除路由规则，系统处理内网域名解析请求的时候，还是会把请求发送到VPN对端的DNS服务器上，这类公网侧的DNS服务器根本没有内网域名的解析记录，最终会导致内网域名解析失败，这也是很多用户配置完路由依然打不开内网服务的核心原因。
如果使用的是Windows操作系统，你还可以通过系统自带的命令行工具，配置专属的DNS查询策略，指定只有后缀匹配内网专属域的解析请求才会发送到内网DNS服务器处理，其余所有域名的解析请求都走VPN分配的DNS服务器，进一步提升分流的精准度，避免出现解析串流的问题。
效果校验与常见误区排查
全部配置完成后正常连接VPN，先尝试直接用内网IP地址访问之前无法打开的内网设备，比如NAS的管理后台、内网打印机的配置页面，如果可以正常加载，蜜蜂说明你配置的VPN排除局域网规则已经生效，内网IP的流量没有被转发到VPN隧道里。
接下来尝试用内网域名访问对应的业务系统，比如公司的OA地址、内部共享文件服务器的主机名，如果可以正常跳转加载内容，说明VPN排除局域网规则DNS配合方式的全链路配置已经全部生效，蜜蜂内外网资源可以同时正常访问，不需要再做额外调整。
配置过程中需要避开两个常见误区，一是不需要额外把内网DNS的IP地址单独加到排除路由列表里，只要物理网卡的DNS优先级高于VPN虚拟网卡，系统就会默认把内网DNS的请求从物理网卡发出，额外添加规则反而容易出现路由冲突；二是不要为了省事强制把所有DNS请求都设置为本地处理，这样会导致你使用VPN访问外部资源的时候出现解析泄漏，VPN下载不符合你使用VPN的初始预期。
