在按应用分流的VPN场景下，DNS的作用是决定流量归属的“路由依据”。客户端将特定应用的域名解析结果导向VPN接口，其余流量保持直连；若DNS结果错误，分流策略会基于错误地址执行，导致意图内网或外网的目标误入或误出隧道。配合方式取决于VPN协议与操作系统路由策略，核心在于确保DNS解析结果与流量选择器规则一致。
DNS解析与路由决策的绑定关系
分流机制依赖目的IP地址匹配路由规则。当应用发起连接时，客户端先查询DNS获取IP，再查询本地路由表决定出口。若VPN客户端仅对特定子网注入路由，且DNS返回的IP不在该子网内，小火箭流量将绕过VPN。反之，若DNS被全局接管，所有解析结果均可能触发VPN路由，需结合策略过滤异常域名。
分隧道模式下的直连与入隧边界
分隧道允许部分流量直连，但这并非“所有敏感流量必入隧道”的保证。是否入隧由路由表条目、流量选择器规则及客户端策略共同决定。例如，仅办公网段入隧时，公共网站流量直连；若策略未覆盖某应用域名，小火箭即使该应用属敏感类别，其流量也可能未经加密传输。此边界依赖网络架构设计，非单一开关控制。
加速服务的出口IP不确定性
部分加速服务通过中继或NAT出口转发流量，目的站点看到的源IP可能为加速节点IP而非用户真实IP。因此，不能假设使用VPN加速即保持原始出口IP不变。若业务依赖源IP识别，需确认加速服务是否支持透传或绑定固定出口。此行为取决于服务商实现，无通用规则可保证不变。
通过DNS解析结果决定流量走向，是应用分流机制中实现精准路由的关键依据。
只读检查方法与适用条件
在Windows或macOS上，可通过查看路由表确认VPN条目是否存在及覆盖网段；shadowrocket在应用层抓包可观察DNS查询与后续TCP/UDP连接的实际出口。检查时保持默认网络设置，避免修改路由或驱动。结果仅反映当前策略状态，单次测试无法排除间歇性DNS污染或路由抖动影响。需结合多时段采样与官方配置文档交叉验证。
