VPN 连上了怎么确认生效:出口 IP 与 DNS 检测新手指南

连接状态与实际出口的区别

不少客户端中的「连接」表示本地代理或系统隧道已启动。有些客户端会在请求发生时才建立远端连接，因此界面正常，并不等于目标网站已经访问成功。订阅已导入、节点已选中、线路能连通、应用愿意使用代理，是不同环节。

系统代理主要为遵循系统代理设置的应用提供入口；浏览器扩展通常只影响对应浏览器。TUN 或系统 VPN 模式能接管更多网络流量，但仍可能受分流规则、排除应用和路由配置影响。不要仅凭桌面或状态栏里的图标判断覆盖范围。

建议保留简短记录：连接前的出口、所选线路、代理模式、连接后的出口以及目标应用结果。每次只改变一个设置，才能区分是线路问题，还是本地接管问题。

出口 IP 检测：先建立对照

1. 记录直连结果。暂时断开客户端，打开可信的公网 IP 查询页面，记下地址、网络归属和地区。不要把路由器管理页里的局域网地址当作公网出口。
2. 连接目标线路。确认客户端没有停留在「直连」模式，并检查 IP 查询网站是否被分流为直连。测试页面自身也必须经过预期规则。
3. 重新发起请求。刷新查询页面，必要时使用新的浏览器窗口。对比地址本身，不只看国家标签；地区数据库可能更新滞后。
4. 核对目标访问。打开真正需要使用的网站，并查看客户端连接记录中的域名、规则和出口。若支持按进程查看，也记录对应应用。

如果出口变了，能得出的结论是：这次查询请求经过了不同出口。这已经是有效证据，但不能扩大成「整台设备全部生效」。反过来，出口没有变化，也可能是查询网站被正常分流到直连，而非线路失效。

IPv4 与 IPv6 要分别看

设备可能同时具备 IPv4 和 IPv6 连接能力。如果客户端只接管其中一种地址族，浏览器可能通过另一种路径访问。支持双栈检测的页面能帮助发现差异；不支持 IPv6 的网络，则没有对应测试结果。

发现不符合预期的 IPv6 出口时，优先核对客户端的 IPv6 路由、隧道支持和防泄漏设置。临时关闭 IPv6 可以用于定位问题，但不应当作所有设备通用的长期方案。

DNS 泄漏：看解析路径，不只看国家

DNS 负责把域名转换成可连接的地址。代理请求经过远端，并不代表域名查询也一定经过远端；客户端可能采用本地解析、远端解析、加密 DNS，或按域名选择解析策略。

常见 DNS 泄漏测试会让浏览器访问临时生成的域名，再显示参与查询的递归解析器。它提供的是测试请求的线索，不是设备全部 DNS 活动的完整记录。解析器的地理标签也不等于流量的实际传输位置。

怎样读懂检测结果

• 出现本地运营商解析器：如果预期是所有解析均经过隧道，这值得排查；如果当前规则明确让本地网站直连并本地解析，则不能仅凭名称判定泄漏。
• 出现公共 DNS 服务：可能来自客户端配置，也可能来自浏览器的安全 DNS。应核对设置，不能因为它位于其他国家就直接认定安全或异常。
• 出现不同解析器：可能与浏览器、系统和客户端各自的解析策略有关，也可能是解析服务的转发架构。重点是是否出现不符合预期的本地路径。

先记下浏览器安全 DNS 与客户端 DNS 设置，再做连接前后对照。若需要暂时改动其中一项，应重新测试并记录差异，之后恢复适合日常使用的配置。不要在不了解来源的情况下直接导入网上的整套 DNS 配置。

缓存也会影响观察。已经解析过的域名可能不产生新查询；使用测试页面生成的新域名更有帮助。清理缓存或重启应用只能辅助复测，不能代替检查解析策略本身。

按应用验证：浏览器正常不等于全局正常

浏览器能访问，桌面应用却失败，常见原因是接管范围不同。浏览器可能使用扩展代理，桌面应用可能忽略系统代理；游戏或语音应用还可能使用与网页不同的传输方式。具体支持范围应查看客户端说明。

• ✅ 浏览器：确认扩展是否单独设置代理，比较普通窗口与无痕窗口的扩展启用情况，并检查安全 DNS 设置。
• ✅ 桌面应用：查看是否有内置代理、是否遵循系统代理，以及客户端日志中是否出现该应用的新连接。
• ✅ 移动设备：检查系统 VPN 权限、按应用排除列表，以及切换网络后隧道是否仍正常工作。
• ✅ 目标网站：对照连接日志中的匹配规则和出口，区分「请求没有走线路」与「请求已走线路但被平台拒绝」。

Windows 的不同应用不一定读取同一套代理设置；macOS 的系统代理也不保证接管所有程序。Android 客户端可能提供按应用分流；iOS 的接管范围则取决于客户端使用的网络扩展和配置。平台名称本身不能说明已经全局接管。

WebRTC 检测也应谨慎解读。浏览器可能显示局域网候选地址，或经过隐私处理的本地主机名，这不等于公网出口泄漏。如果检测暴露了与预期不符的真实公网地址，才需要继续核对浏览器策略和隧道路由。

「已连接但没走线路」的排查顺序

先检查规则，再检查线路

在客户端连接记录中找到刚刚发起的目标请求。如果规则命中「直连」，先核对域名规则、应用排除和规则顺序。临时切换到客户端定义的全局代理模式可以辅助对照，但「全局」是否包含全部应用，仍取决于接管方式。

如果日志显示请求已交给代理出口，但访问失败，再检查节点是否可用、订阅是否更新、账户流量状态以及本地网络限制。不要把所有错误都归因于 DNS，更不要同时更换节点、DNS 和规则，导致无法复盘。

排除代理叠加与连接复用

浏览器扩展、其他网络工具和系统代理可能互相覆盖。先保存现有配置，再暂时停用不必要的工具，保留明确的一条接管路径。切换模式后，旧的长连接可能继续沿用原路径，可退出目标应用后重新打开复测。

若是手动导入配置，要确认客户端支持订阅中的协议与传输设置。订阅链接是配置入口，不是 VPN 服务器地址；成功导入也不代表每条节点配置都兼容当前客户端。订阅链接包含访问凭据，不应贴到公开检测页面或讨论区。

把平台地区判断单独处理

出口已经改变，平台却仍显示原地区，可能与账户地区、登录会话、定位权限、内容授权或 IP 分类有关。这与网络请求是否经过线路不是同一个问题。先完成出口和日志验证，再处理平台侧提示，避免在客户端里反复改动无关设置。

判断生效的证据与使用边界

检测结果只是当时网络与配置的快照。更新客户端、修改规则或切换接入网络之后，若出现异常，应按相同顺序重新核对。加密传输也不能代替网站身份核验和账户安全管理；IP 改变不等于访问行为无法被关联。

使用 VPNMake 时，可从客户端使用教程确认导入与权限设置，再对照本篇完成验证。线路信息见线路页面；遇到无法解释的日志结果，可通过客服入口提交脱敏记录。