排除规则与DNS解析的分工差异
VPN中的局域网排除规则主要作用于网络层，它通过路由表或流量选择器判定数据包是否进入隧道。当目标IP属于预设的局域网网段（如192.168.x.x或10.x.x.x）时，加速器流量会绕过VPN直接经由本地网络发送，避免本地资源访问被重定向到远程服务器。这一过程主要依据IP地址匹配，而非域名。
DNS配合方式则侧重于应用层解析。当客户端将DNS查询流量强制推入VPN隧道时，域名解析发生在远程服务器侧。这意味着即使排除规则保留了局域网IP的直连路径，若应用通过域名访问内部服务，且DNS解析结果不在排除的IP列表中，流量仍可能进入隧道。两者的核心区别在于：排除规则决定“去不去隧道”，DNS策略决定“去哪查地址”。
场景一：保留内部办公网络直连
假设某企业用户在家连接VPN，但需要频繁访问内网的文件服务器或打印机。此时，应在VPN客户端配置中明确添加内网网段（例如172.16.0.0/12）作为排除项。这样，发往这些网段的TCP/UDP流量会直接走本地宽带出口，减少延迟和带宽消耗。若未配置此排除项，所有流量默认进隧，内部资源访问需经远程网关绕行，可能导致超时或性能下降。
直观理解流量分流：排除规则让局域网数据绕过隧道，而DNS查询则通过隧道解析远程地址。
在此场景下，DNS通常无需特别干预。只要内部主机名能正常解析为对应的内网IP，且该IP已被排除规则覆盖，访问路径即为直连。若使用域名访问内部服务，需确保DNS解析返回的确实是内网IP，而非公网IP，否则排除规则可能失效。
场景二：统一出口与严格访问控制
在某些安全策略中，要求所有出站流量，包括DNS查询，都必须通过VPN出口，以确保审计日志完整且无数据泄露。此时，排除局域网规则仅保留必要的最小直连范围，或者完全不设置排除项，强制所有流量进隧。DNS服务器地址被指定为远程端提供的内网DNS，或者通过隧道内嵌的DNS服务进行解析。
这种配置下，即便用户本地局域网设备可达，流量也倾向于绕过本地网关。选择这种方式通常是为了合规性而非性能。需要注意的是，蚂蚁加速器如果本地局域网依赖特定的内网DNS服务，而该服务的IP未被正确排除或路由未更新，可能导致本地资源无法解析。此时应检查VPN客户端的路由优先级，确保本地网关在默认路由上仍保留必要的局域网可达性，或明确将本地DNS服务器IP加入排除列表。
如何选择配置策略
选择依据主要取决于网络拓扑和安全需求。若目标是提升本地办公效率且允许部分流量直连，优先使用IP排除规则，并验证内网DNS解析结果是否在排除范围内。若目标是实现全面流量管控和日志审计，则应限制排除范围，并确认DNS解析流量也走隧道。在操作前，建议先通过路由表查看默认网关指向，确认排除规则生效后的实际路径，避免误删必要的本地路由项。
无论哪种方式，都需明确界定“局域网”的定义。不同厂商对局域网范围的理解可能不同，通常指RFC 1918地址空间。若网络中存在非私有IP的本地资源，需额外配置特定IP排除。最终效果应结合抓包工具观察DNS报文和实际数据包的出接口，以验证配置是否符合预期。
