如何在 Tun 模式下让公司域名走公司 VPN？

[Docker7530]

如何在 Tun 模式下让公司域名走公司 VPN？

各位社区的大佬好，最近遇到了一个关于 Tun 模式与公司 VPN 共存 的问题，希望能得到大家的帮助。

🎯 目标

我希望在 登录公司 VPN 的同时，使用 Tun 模式，并且能够正常访问公司的内部域名。

📌 现状

• 使用系统代理模式时，公司域名可以正常解析和访问，因为配置了规则 DIRECT 转向 system 后，系统代理模式会识别到公司 VPN 的 DNS 解析。
• 但是 启用 Tun 模式后，公司域名解析失败，无法访问。

🛠️ 配置

当前 Clash 配置中的 dns 相关部分如下：

dns:
  enable: true
  ipv6: true
  prefer-h3: true
  listen: 0.0.0.0:1053
  respect-rules: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-filter-mode: blacklist
  fake-ip-filter:
    - "+.stun.*.*"
    - "+.stun.*.*.*"
    - "+.stuns.*.*"
    - "+.stuns.*.*.*"
    - "+.wns.windows.com"
    - "+.msftncsi.com"
    - "+.msftconnecttest.com"
    - "rule-set:private_domain,cn_domain"
  default-nameserver:
    - 223.5.5.5
    - 119.29.29.29
  proxy-server-nameserver:
    - https://dns.alidns.com/dns-query
  nameserver-policy:
    rule-set:private_domain,cn_domain:
      - 223.5.5.5
    rule-set:geolocation-!cn:
      - https://cloudflare-dns.com/dns-query
      - https://dns.google/dns-query
  nameserver:
    - 119.29.29.29
  fallback:
    - tls://1.1.1.1:853
    - tls://9.9.9.9:853
  direct-nameserver:
    - system

rules 相关如下：

rules:
  # >>>>>>>>>>>>>>>> Custom Rules >>>>>>>>>>>>>>>>
  - DOMAIN-SUFFIX,公司域名.net,DIRECT
  # <<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<<
  - RULE-SET,private_ip,DIRECT,no-resolve
  - RULE-SET,private_domain,DIRECT
  - RULE-SET,cn_ip,DIRECT,no-resolve
  - RULE-SET,cn_domain,DIRECT
  - RULE-SET,steamcn_domain,DIRECT
  - RULE-SET,apple_domain,DIRECT
  - RULE-SET,youtube_domain,YouTube
  - RULE-SET,telegram_domain,Telegram
  - RULE-SET,telegram_ip,Telegram
  - RULE-SET,x_domain,X
  - RULE-SET,facebook_domain,Facebook
  - RULE-SET,facebook_ip,Facebook
  - RULE-SET,instagram_domain,Instagram
  - RULE-SET,openai_domain,OpenAi
  - RULE-SET,github_domain,GitHub
  - RULE-SET,onedrive_domain,OneDrive
  - RULE-SET,netflix_ip,Netflix,no-resolve
  - RULE-SET,netflix_domain,Netflix
  - RULE-SET,paypal_domain,PayPal
  - RULE-SET,steam_domain,Steam
  - RULE-SET,google_ip,Google,no-resolve
  - RULE-SET,google_domain,Google
  - RULE-SET,microsoft_domain,Microsoft
  - MATCH,Final

🔍 观察

• VPN 启动后会创建一个新的网卡，但在 Tun 模式下，公司内部域名似乎不会走公司 VPN 提供的 DNS 解析，从而导致解析失败。
• 猜测原因：
  1. Tun 模式可能会导致 DNS 请求不走公司 VPN 解析。

❓ 求助

• 在 Tun 模式下，如何让 公司域名走公司 VPN 进行解析和访问？

如果有大佬遇到过类似问题，或者有任何建议，万分感谢！🙏

[mengdegege]

没有看太明白,描述的问题是启用了tun后没有获得正确的 system dns来解析公司的域名, 还是解析出来了,不能访问.
如果是解析的问题, 大概原因是,使用代理模式时, VPN的路由优先级是比较高的,一般会成为默认路由的接口. 所以没有问题.
但是tun模式时, 使用system 类型的DNS, 默认获取到的可能不一定是你的VPN接口上的DNS，假设你的公司域名是一个内网的域名，只能用特定的DNS进行解析 ， 所以你设置的direct-nameserver 可能会解析不了私有网络的域名. 如果是这种情况的话：
system://接口名称、dhcp://接口名称 这两种配置方式 可以指定 使用哪个接口上的系统dns。
在direct-nameserver 或 nameserver-policy上配置。

如果是因为解析出来了，但没有正确的出站。且目标网络是不固定, 不能通过指定路由的方式进行操作.
可以做如下尝试:

• 不要使用默认的DIRECT出站, 自定义一个 带绑定接口的直连出站, 用于 公司域名.net 出站.

proxies:
- name: "VPN"
  type: direct
  udp: true
  interface-name: %VPN接口名称%

rule
- DOMAIN-SUFFIX,公司域名.net,VPN

接口名称 可以从 powershell 用Get-NetAdapter 命令获得.

[mengdegege]

那你启用tun后，12.0.0.11 这个IP是通的吗

[Docker7530]

是的。

[mengdegege]

那试试这样子，把dns 配置里的 “system”，改成 12.0.0.11#vpn
加一条 nameserver-policy
"rule-set:costomer_classical": "12.0.0.11#vpn"

如果还不行的话，试试在tun下面添加排除路由看看。

[Docker7530]

我现在通过您的答案结合后解决了，但是感觉好复杂，但是我尝试缺少其中一步都是不合适的。

首先需要配置 proxies：

proxies:
  - name: company-network
    type: direct
    udp: true
    interface-name: controller

然后指定规则：

rules:
  - RULE-SET,custom_classical,company-network

然后配置 dns 中 nameserver-policy：

  nameserver-policy:
    rule-set:custom_classical:
      - 12.0.0.11#company-network

然后 tun 中 增加 route-exclude-address：

  route-exclude-address:
  - 12.0.0.0/16

不知道我的最终方案是否是正确的，但是他确实可以访问到了。您还有什么建议吗？

以此总结作为最终答案，但贡献为上下文中 mengdegege 大佬的指点。万分感谢。

[mengdegege]

如果按照你配置的这种方式可以的话，可能目前就是这样最简单有效了，如果要去配置tun的路由可能会更复杂和不可知的问题更多。如果要简化的话，可以把dns后面的#指定接口去掉的同时，启用respect-rule。direct-name-server，和policy 保留一个就行了。当然，如果你的direct-name-server还包括除了你内网以外的其他的访问，并且按照原来的配置能正常工作，也可以都保留。
这里有要求的部分应该在于，使用你VPN上dns的这项配置，不要用system项，以及如果后面不指定接口的话就开启dns跟随RULE的选项。 这个问题的根本原因，我猜测是因为默认从tun发起的往VPN网络的路由有问题。 以及system类型的dns，即使开启了respect-rule也不会跟随策略。所以需要手动指定具体的IP之后或开启跟随，或指定出口，以确保它是从那个自定义的绑定了接口的出站出的。

大致就是这样，我也不是太专业，只是凭着自己的使用经验分享一下。

[mengdegege]

哦，看漏了，你还加了排除路由，如果是这样的话。你可以试试只添加排除路由，然后把严格路由设置为false，然后指定一个解析策略。rule和出站不配，看能不能行。但感觉好像也差不多。也不少配置😂

[Docker7530]

非常感谢您的耐心解答！这两种方案我会在有空时进一步研究，也打算深入查看mihomo的源代码以更好地理解其工作原理。这个问题困扰我许久，您的帮助令我豁然开朗。再次感谢您的专业指导和宝贵时间！

[mengdegege]

不客气，很高兴我的分享对你有用，我不懂源代码，期待您对此问题有更深刻直接的定位。