很多用户开启全局VPN之后，经常遇到访问家里的NAS、梯子公司内网共享文件夹、办公区网络打印机直接失联的问题，本质就是VPN默认把所有流量都导入了远程隧道，没有把本地局域网网段加入排除规则，同时配套的DNS设置没对齐，反而会出现内网域名解析失败的问题，这份指南就从普通家用路由器、Windows/macOS终端的实际操作出发，把VPN排除局域网规则和DNS配合方式的落地步骤讲清楚，避免用户踩常见的配置坑。
配置前的前提确认：理清本地局域网的真实网段
很多用户上来就随便搜网上的192.168.0.0/16全段加进排除规则，其实很容易和VPN远端的服务器网段冲突，反而引发新的连通问题。你首先要先查自己当前接入的本地局域网实际网段，Windows用户可以打开命令提示符输入ipconfig，看当前在用的物理网卡的IPv4地址对应的子网段，比如你家路由器分配的是192.168.31.x，那你的本地网段就是192.168.31.0/24，公司内网如果分了办公区、服务器区两个网段，就把这两个单独的网段都记下来。
这里要注意不要把VPN虚拟网卡生成的网段也当成本地网段加进去，很多新手配置完VPN之后看网卡列表多了个虚拟网卡，就把对应的网段也加进排除规则，最后导致VPN隧道本身的流量被本地网卡转发，直接断连。你只需要记录物理网卡、WiFi网卡对应的真实局域网网段就可以，虚拟网卡的地址属于VPN服务侧的分配地址，不属于本地局域网范畴。
VPN客户端侧排除规则的基础配置方法
现在主流的开源VPN客户端比如OpenVPN、Clash的图形化版本，都自带了“绕过局域网”的预设开关，但默认的预设规则很多时候适配不全，比如部分企业内网用10.x开头的私网段，预设规则没有覆盖到，就需要手动添加。你打开VPN客户端的规则配置页，选择“路由排除”或者“直连列表”选项，把之前记录的本地局域网网段逐个添加进去，勾选所有发往这些网段的流量都不经过VPN隧道，直接走本地物理网卡转发。
配置VPN排除规则前先准确查询本地真实局域网网段，避免和远端VPN网段冲突引发连通故障
这里要区分全局模式和分流模式的差异，如果你开的是全局VPN，排除规则的优先级必须设置成高于默认的全局隧道规则，不然系统还是会把局域网流量往VPN隧道里送，很多用户配置完规则不生效，大多是规则排序错了，樱花猫把排除规则放到了所有隧道规则的后面，系统匹配规则的时候先命中了走隧道的全局规则，自然不会触发排除逻辑。
VPN排除局域网规则对应的DNS配合方式实操
很多用户做完路由排除之后，发现直接输内网IP可以访问NAS，但输内网自定义的域名比如nas.local、printer.lan就打不开，这就是DNS配置没有和排除规则对齐的典型问题。因为全局VPN默认会把所有DNS请求都转发到VPN远端的公共DNS服务器，远端DNS根本解析不了你本地局域网的私有域名，自然返回无效地址。
正确的VPN排除局域网规则：DNS配合方式，是给本地网段单独指定DNS分流规则，你可以在VPN客户端的DNS设置页，添加一条规则，所有后缀为.lan、.local的私有域名，或者所有匹配本地网段反向解析的DNS请求，都直接使用你本地路由器的DNS地址来解析，不要走VPN分配的远程DNS。部分支持自定义DNS路由的客户端，还可以直接指定发往本地局域网DNS服务器的请求全部走直连，不需要经过隧道转发。
如果你用的是系统级别的VPN连接，比如Windows自带的VPN拨号，没有客户端的分流DNS功能，就可以手动在网络设置里，给VPN虚拟网卡的DNS列表只保留远程需要的公共DNS，然后给本地物理网卡的DNS地址保留你家路由器的默认地址，系统会自动根据路由匹配的结果，选择对应的网卡发送DNS请求，也能实现同样的配合效果。
配置完成后的验证步骤与常见误区排查
配置完所有规则之后，你首先要做两层验证，第一层先验证内网连通性，尝试访问之前打不开的内网共享文件夹、网络打印机、本地NAS的管理页面，确认用IP地址可以正常加载，之后再测试内网自定义域名的访问，看解析出来的IP是不是属于你本地局域网的私网地址范畴。
第二层要验证VPN的远程服务没有受影响，打开浏览器访问可以查询当前公网IP的服务，确认你的出口IP还是VPN分配的远程公网地址，没有因为加了排除规则导致全局VPN的流量泄露到本地公网。如果出现公网IP变回你家运营商的地址，说明你的排除规则范围写得太大，把公网常用服务的网段也误加进了直连列表，需要重新核对网段范围。
这里要提醒大家一个常见误区，不要为了图省事直接把所有私网段都加入排除规则，部分VPN服务的远端内网资源本身就部署在10.x的私网段，你把整个10.0.0.0/8都加进排除列表，就会导致你访问VPN远端的内网办公服务器的时候流量走本地，完全无法连通，最好的方式就是只把你当前实际在用的几个本地局域网精确网段加进去，不需要覆盖所有私网地址，既可以满足本地设备的访问需求，也不会和VPN远端的私网资源产生冲突。
