怎么确认VPN生效了:查出口IP、DNS与分应用验证新手指南

怎么确认VPN生效了？不要只看连接按钮。更可靠的方法是：先对照出口 IP，再检查 DNS 解析路径，最后验证实际使用的应用。每项检查回答的问题不同，浏览器测试通过，也不能直接代表整台设备的流量都已进入线路。

先明确：你希望哪些流量经过线路

“生效”应当对应具体目标。如果使用规则分流，本地网站直连、指定国际网站走代理，可能正是预期结果；如果希望所有受支持的流量都经过线路，就要检查接管范围，而不只是选择了哪个地区。测试前先写清目标，才能区分正常分流与遗漏接管。

常见客户端可以设置系统代理，也可能提供虚拟网卡或 TUN 模式。系统代理主要向遵循系统代理设置的应用提供代理入口，并不强制所有程序使用它。TUN 模式通过虚拟网络接口接管流量，但最终范围仍受路由、进程排除、协议支持及客户端配置影响。“全局”也可能只是代理规则的全局，并不等于全设备接管。

连接标记说明客户端进入了某种连接状态；节点延迟测试说明特定探测请求有响应。它们都不能单独证明目标应用的业务请求已走预期出口。

对照出口 IP：先建立连接前的基线

出口 IP 是网站看到这次请求来自哪个公网地址。可以打开我的 IP页面进行检查，但结果只代表该页面查询请求的路径。若查询域名命中了直连规则，即使其他网站正在走代理，查询页仍可能显示本地出口。

1. 断开客户端，记录基线。在准备使用的浏览器中查询公网 IP，记下地址、显示的网络归属和地区。测试期间保持同一接入网络，避免切换网络造成干扰。
2. 连接目标线路，重新发起查询。刷新查询结果；如果页面有缓存，可关闭页面后重新打开。不要只看旧标签页里已经加载好的文字。
3. 核对规则命中。查看客户端连接列表或日志，确认查询域名使用的是代理还是直连，以及实际选择的节点。
4. 用目标应用继续验证。即使浏览器 IP 已改变，也要检查准备使用的应用。浏览器扩展代理可能只影响浏览器，不能代表其他程序。

IP 地址改变通常能说明请求路径发生变化，但不能单凭变化证明它经过了你选中的节点。接入网络切换、上游出口轮换或其他代理也可能改变地址。反过来，地区名称未改变也不一定意味着失败：数据库可能更新滞后，不同节点也可能共享出口。地址、网络归属和客户端记录应当一起看。

检查 DNS：解析去了哪里，而非只看地区

DNS 负责把域名解析为可连接的地址。DNS 泄漏通常指解析请求没有按预期进入受保护路径，而是交给了本地网络或其他非预期解析服务。判断关键是实际解析路径是否符合配置，而不是检测结果中有没有出现某个国家的名称。

浏览器里的 DNS 检测页通常会触发临时域名查询，并展示检测方观察到的递归解析服务出口。它显示的地址未必就是设备直接配置的 DNS 地址；公共解析服务可能采用任播或转发机制，因此解析服务的归属地也不必与代理节点完全一致。

• ✅ 先在断开状态运行 DNS 检测，记录结果，再连接线路并重复测试，保留对照。
• ✅ 检查客户端的 DNS 接管、远程解析和分流设置；不同客户端的名称可能不同，以实际说明为准。
• ✅ 检查浏览器是否启用了独立的安全 DNS。浏览器内置解析与系统解析可能走不同路径。
• ✅ 对照客户端日志，确认解析请求及其上游连接是否进入预期线路，而不只看检测页的地区标签。
• ❌ 不要因为检测页出现多个解析服务就直接判定泄漏，也不要把“使用加密 DNS”等同于“DNS 一定经过代理”。

加密 DNS 保护的是设备到解析服务之间的查询传输；如果连接解析服务的请求走直连，解析服务仍可能看到本地公网来源。反之，解析服务位于其他地区，也可能完全符合当前配置。判断应围绕路径，而非地理名称。

在 Windows 中，nslookup example.com 可辅助查看常规 DNS 查询使用的服务器和返回结果，但它不能证明浏览器使用了相同解析机制，也不能单独证明流量没有泄漏。浏览器安全 DNS、客户端内部解析和系统解析可能彼此独立。

分应用验证：浏览器通过之后还要查什么

实际应用可能不遵循系统代理，也可能使用不同的传输方式。先启动客户端，再完全退出并重新打开目标应用，发起新的搜索、刷新或播放请求。仅查看已经缓存的页面、下载好的内容或后台保持的旧连接，没有足够判断价值。

然后在客户端连接列表中查找目标进程或相关域名。重点看匹配规则、直连或代理策略、所选节点，以及发起操作时是否有新连接和流量变化。应用可能访问多个域名，登录、图片、接口和媒体内容不一定命中相同规则，不能只验证首页。

在移动设备上，系统显示 VPN 标记通常说明某个网络扩展或隧道正在运行，不代表每个应用都经过相同出口。Android 的按应用配置、Apple 平台上的路由排除，以及其他网络工具的设置，都可能影响范围。应以当前客户端实际提供的功能为准。

容易误判的情况：缓存、地址族与地区限制

旧连接和缓存让变化暂时不可见

切换节点后，已建立的连接可能继续使用原路径；页面内容也可能直接来自缓存。重新打开目标应用并发起新请求，比反复点击连接按钮更有诊断价值。若需要清理 DNS 缓存，应使用对应系统的操作方式，同时考虑浏览器自身的缓存。

不同地址族可能走不同路径

设备可能同时具备不同地址族的公网连接能力。查询页面测试其中一种地址，不能证明另一种也被接管。如果客户端或规则只覆盖部分流量，应用可能优先使用另一条路径。应检查客户端的地址族支持和路由设置，再用能分别展示结果的工具核对，不要先盲目关闭系统功能。

WebRTC 结果需要区分地址性质

浏览器实时通信可能使用与普通网页不同的网络路径。WebRTC 检测中出现本地接口地址或经过隐藏处理的主机名，并不自动意味着公网出口泄漏；如果出现非预期的本地公网地址，才应进一步检查浏览器策略、UDP 路径与客户端接管范围。一个网页测试结果不能概括所有应用。

平台地区提示不是通用线路检测器

服务平台可能综合账户地区、付款信息、定位权限、历史会话和 IP 风险判断访问资格。因此，出口已改变但页面仍提示地区受限，不一定是代理没有生效。反过来，能打开某个平台，也不能证明其他应用或 DNS 已按预期接管。线路有效与平台授权是不同问题。

按顺序排查，保留可复现的证据

遇到异常时，不要同时更换节点、修改 DNS、切换模式和重装应用。每次只改变一项设置，再重复同一请求，才知道是哪项操作起了作用。先确认订阅已成功导入、线路仍存在、客户端能建立连接，再查接管范围与分流规则。

订阅链接只是客户端获取配置的入口，导入成功不代表所有流量已经使用配置。遇到节点缺失或配置更新问题，可以参考快速上手核对流程；遇到特定网站访问异常，可以查看解锁攻略中的排查方向。

提交问题时可以提供系统与客户端名称、当前模式、目标域名、发生时间、规则命中和脱敏截图。不要公开订阅链接、访问令牌或完整账户凭据；这些内容可能使他人获得配置访问权限。