默认路由与DNS解析的同步边界
决定流量是否进入VPN隧道的核心是路由表与流量选择器的匹配结果，而DNS解析则决定了目的地IP。这两者必须配合：若DNS走公网而流量走隧道，或DNS走隧道而流量走公网，都会导致连接失败或泄露。默认路由（0.0.0.0/0）的作用是将所有未特定路由的流量强制指向VPN网关，这是一种“全有或全无”的控制模式。
全隧道模式下的DNS重绑定
在启用默认路由的分应用或全隧道VPN中，操作系统通常会将DNS请求也劫持到隧道内。此时，VPN服务器会返回其内部解析的结果。这种配置确保了IP地址由受信任的网络分配，水母避免了“DNS泄露”，即本地ISP解析域名后，流量却意外流向ISP网络的情况。在Windows或macOS等系统中，这通常通过配置接口级DNS或全局DNS策略实现。
分流量模式的策略隔离风险
若未使用默认路由，而是通过策略路由（Policy Routing）仅指定特定IP段走VPN，则DNS处理变得复杂。如果策略包含域名而非IP，客户端需要先将域名解析为IP。此时，若DNS查询本身不走VPN，解析出的IP可能属于公网段，进而被路由规则排除在隧道之外，水母VPN导致部分业务无法连接。
验证流量路径的只读方法
在不修改网络配置的前提下，可通过追踪路由或查看连接状态来验证。在命令行使用tracert（Windows）或traceroute（macOS/Linux）指向一个特定IP，水母观察路径是否在进入特定IP段后切换至VPN网关。同时，检查系统路由表（route print或ip route）中0.0.0.0/0条目的下一跳是否指向VPN虚拟适配器，即可确认默认路由是否生效。
在远程办公环境中，理解DNS与默认路由的配合是保障网络私密性与连接稳定性的关键。
