当开启 VPN 时，操作系统的 DNS 查询顺序通常由系统网络配置决定，而非 VPN 软件直接控制。理解“DNS 优先级”需区分网络接口的路由权重与 DNS 服务器列表顺序。核心问题在于：在双网卡（物理网 + VPN 虚拟网卡）共存时，哪些域名查询会被发送至 VPN 提供的 DNS，飞鱼哪些保留给本地 ISP 的 DNS。这直接影响访问内部资源或海外服务时的解析速度与准确性。
网络接口的路由权重
操作系统通过“接口跃点数”（Interface Metric）判断数据包的路径。在 Windows 系统中，物理网卡默认跃点数通常为 10 或 15，而 VPN 接口建立后，系统会自动计算或设置一个新的跃点数。跃点数数值越小，优先级越高。若 VPN 接口的跃点数小于物理网卡，大部分非默认路由的流量（包括部分 DNS 查询）可能会优先通过 VPN 发送。需要注意的是，现代操作系统如 Windows 10/11 和 macOS 会根据网络状态动态调整路由表。当 VPN 连接断开或信号不佳时，系统可能会暂时降低 VPN 接口的优先级，将 DNS 查询重新导向物理网络，以避免解析延迟。这一动态机制使得固定的优先级设定变得复杂，不能简单认为“VPN 连上就永远优先”。
DNS 服务器列表的顺序
在 TCP/IP 配置中，每个网络接口都有一个 DNS 服务器列表。操作系统按照列表中的顺序逐个尝试解析。如果第一个服务器无响应，则会尝试列表中后续的服务器。对于 VPN 用户，如果 VPN 协议（如 WireGuard 或 OpenVPN）配置了 Push DNS 指令，飞鱼VPN系统会将 VPN 提供的 DNS 服务器插入到系统 DNS 列表的前端。这意味着，当发起解析请求时，系统首先联系 VPN 的 DNS。只有当该 DNS 无法响应或返回 NXDOMAIN 等特定错误时，部分应用或系统回退机制才可能触发对下一 DNS 的查询。然而，大多数现代 DNS 客户端实现（如 Windows 的 DNS Client Service）是顺序处理的，一旦首个服务器成功响应，后续服务器通常不会被查询，除非首个服务器报错。
只读验证方法
在不修改任何配置的前提下，可通过系统自带工具观察当前 DNS 查询路径。在 Windows 的“命令提示符”中，使用 `ipconfig /all` 可查看各网络接口的 DNS 服务器列表及接口跃点数。观察“自动配置 DNS 寻获的 DNS 服务器”字段，判断系统是否启用了自动 DNS 获取。进一步地，使用 `nslookup` 手动查询一个既存在于内网也存在于公网的域名（如公司内网域名）。观察解析耗时和返回的 IP 地址，可初步判断请求是经过了 VPN 隧道还是直接出站。若返回内网 IP 且耗时较长（需遍历路由表），则很可能经过了 VPN 路径；若瞬间返回公网 IP，则可能由本地 DNS 直接处理。此操作不改变网络状态，安全且直观。
双网卡环境下，系统如何权衡物理网络与虚拟网络的 DNS 解析路径。
特定域名策略的影响
许多企业 VPN 解决方案支持“按域名路由”策略。例如，仅当查询内部域名后缀（如 .corp.example.com）时，流量才强制通过 VPN 的 DNS 解析；其他公网域名则继续由本地 ISP 的 DNS 处理。这种混合模式避免了所有流量都进隧道导致的带宽浪费和延迟增加。在这种模式下，用户感觉到的“优先级”其实是“匹配策略”的结果。如果 VPN 客户端设置了 Split Tunneling（分裂隧道）并指定了 DNS 代理，只有命中规则的域名才会被劫持解析。因此，解读测试结果时需先确认 VPN 配置是否开启了全流量隧道还是分裂隧道，这直接决定了 DNS 优先级的实际作用范围。
