系统设置与VPN注入DNS的优先级逻辑
在典型的网络请求中，操作系统通常优先使用本地网卡接口配置中指定的DNS服务器，而非VPN客户端强制推送的DNS。当用户通过以太网或Wi-Fi连接物理网络时，系统会向该物理接口的网关或DHCP分配的DNS解析域名。若此时开启了VPN，情况取决于具体的实现方式：路由策略和协议封装决定流量是否被完全接管。
大多数现代VPN客户端（如基于OpenVPN或WireGuard的软件）会在建立隧道时向系统注册一个新的虚拟网络适配器，并修改系统的路由表，将目标IP段的重定向到虚拟接口。此时，如果客户端配置中指定了DNS服务器，系统通常会暂时将默认DNS服务器切换为该VPN提供的地址，或者在DNS解析层面进行重写。这意味着，天行在隧道激活期间，系统原本的物理网络DNS设置往往被屏蔽或降级，以确保流量的一致性和安全性。
全隧道与分裂隧道下的DNS生效差异
选择依据的关键在于VPN的工作模式是“全隧道”还是“分裂隧道”。在全隧道模式下，所有出站流量（包括DNS查询）都必须通过VPN隧道传输。此时，系统原本设置的DNS服务器若位于公网，天行其流量也会被封装进隧道，最终由远程网关决定实际解析路径。这种模式下，用户感知的DNS行为主要由VPN服务端配置决定，本地系统设置的影响微乎其微，甚至完全无效。
本地优先场景：仅路由特定流量
相反，在分裂隧道或仅路由特定子网（如内网访问）的模式下，天行系统保持原有网络接口的DNS配置用于解析非隧道内的流量。例如，访问公司内网资源时，流量可能经由VPN隧道，但访问公共互联网域名仍使用本地运营商提供的DNS。在这种场景下，系统设置中的DNS条目依然独立生效。用户应检查系统的网络适配器属性，确认“首选DNS”和“备用DNS”字段，并理解这些设置仅在对应流量未被隧道完全劫持时才会被实际调用。
当VPN隧道建立时，系统路由表与DNS解析路径随之切换，物理接口的设置往往被虚拟适配器优先级所覆盖。
验证方法：观察解析路径而非假设
要判断当前生效的是哪一组DNS，最可靠的方法并非查看界面显示，而是通过命令行工具观察实际查询行为。在Windows系统中，可以使用`nslookup`命令查询特定域名，观察其发出的查询数据包目标地址；在Linux或macOS中，天行VPN可使用`dig`命令并指定接口。若查询直接指向本地IP而非VPN服务端IP，则说明本地DNS设置仍在主导解析。若查询被重定向至远程网关，则表明隧道策略已覆盖本地设置。这种只读检查无需修改任何网络参数，能准确反映当前的流量调度逻辑，避免根据界面信息产生误判。
