判断生效范围，而不是只看连接图标
怎么确认VPN真的生效？先查出口 IP，再查 DNS，最后验证真正要使用的应用。客户端的“已连接”通常只能说明某个连接或网络接管环节已经建立，不能单独证明所有流量都经过目标线路。
还要先明确目标：是让指定国际网站走代理，还是希望设备的大部分联网请求都进入隧道？规则分流模式可以让国内网站直连、国际网站走代理；这种情况下，不同网站看到不同出口可能正是预期结果。判断依据应当是实际规则，而不是要求所有检测页面都显示同一个地区。
| 检查项目 | 主要观察 | 不能直接推出的结论 |
|---|---|---|
| 出口 IP | 当前请求对外使用的地址与网络归属 | 其他应用也走相同路径 |
| DNS 检测 | 测试域名由哪些解析服务处理 | 仅凭解析器地区就断定是否泄漏 |
| 客户端连接日志 | 目标请求命中的规则、出口与错误信息 | 日志中没出现的应用一定没有联网 |
| 目标应用验证 | 实际功能是否可用，以及请求是否走预期出口 | 平台账号地区或权限限制也已解除 |
先建立连接前后的对照
不要一开始就修改全部设置。先保存当前配置，记录客户端使用的是规则模式、全局代理模式还是 TUN 模式。关闭其他代理扩展和同时运行的网络客户端，避免代理设置互相覆盖；受单位管理的设备应先确认管理要求，不要自行停用安全软件。
- 在允许直接联网的环境下断开当前线路，打开可信的公网 IP 检测页面，记录地址、网络归属和检测时间。
- 连接目标线路，用同一浏览器重新检测。确认页面产生了新请求，而不是显示上次缓存的结果。
- 查看检测域名命中的分流规则。如果它被设为直连，先针对该域名临时指定代理，再做对照。
- 记录结果后恢复原来的分流设置，继续检查 DNS 和目标应用。每次只改变一项配置，便于定位原因。
订阅导入成功和流量接管成功是不同的事。订阅链接提供节点及相关配置，客户端还需要兼容其中的协议并正确启用接管模式。节点名称可能只是服务端标签，不能代替出口验证；也不要把订阅链接粘贴到陌生检测网站，它通常含有访问凭据。
出口 IP：看地址变化，也看请求路径
连接后检测页面显示的公网地址变成目标出口，是该次浏览器请求经过线路的直接证据。地区名称只是辅助信息：不同 IP 数据库可能给出不同归属，城市定位尤其不适合当作精确证据。更稳妥的做法是结合地址变化、网络归属和客户端日志判断。
如果地址没变，先检查浏览器是否启用了单独的代理扩展，检测域名是否被直连规则命中，以及系统代理是否真正开启。也可能是新旧节点共享同一公网出口，因此“换节点后地址相同”本身不能证明切换失败。
还要分别留意 IPv4 与 IPv6。检测服务可能只检查其中一种，而浏览器访问其他网站时选择另一种地址。如果客户端只接管了部分地址族，就可能出现检测页面走代理、其他连接仍直连的情况。应使用能够区分两类地址的检测方式，并核对客户端的 IPv6 路由与 DNS 配置。
公网 IP 检测只证明到检测服务的这次连接。电脑的局域网地址没有变化很正常；路由器内部地址也不是国际线路出口。
DNS：辨认解析路径，不只看国旗
DNS 把域名转换成地址，解析过程与网页连接可以走不同路径。网页出口已经改变，并不自动说明域名查询也经过隧道。在预期所有相关查询都进入隧道的配置下，查询仍发给本地网络的解析服务，才是需要进一步调查的情况。
可信的 DNS 泄漏检测通常会触发对新生成测试域名的查询，再展示处理查询的递归解析器。记录连接前后的解析器名称、归属及变化，结合客户端 DNS 设置核对。解析器位于本地地区不一定代表泄漏，位于海外也不一定证明查询受到隧道保护；公共 DNS、任播网络及数据库误差都会影响展示。
浏览器的安全 DNS、系统加密 DNS和客户端自带 DNS 可能并存。浏览器启用 DoH 时，解析请求可能走独立的 HTTPS 连接，其路径仍取决于代理和路由规则。加密 DNS 保护查询的传输过程，但“加密”与“经过指定线路”不是同一个判断。
若结果不符预期，先核对客户端推荐的 DNS 模式，再检查浏览器是否覆盖了系统设置。清理 DNS 缓存或重启相关应用后重新测试，避免旧记录干扰。不要为了让检测页面的国旗一致而随意填写解析地址，也不要长期停用解析保护来掩盖问题。
分应用检查：浏览器通过，不代表全设备通过
系统代理通常向支持它的应用提供代理配置，并不是强制重写设备上所有网络连接。部分命令行程序、游戏、更新器或应用自带网络组件可能不读取系统代理，也可能需要独立设置。浏览器检测正常，只能先确认浏览器这条路径。
TUN 模式通过虚拟网卡和路由接管 IP 流量，覆盖面通常更广，但仍受排除路由、分应用规则、协议支持和权限影响。“全局代理”也可能只是把已经交给代理内核的请求统一选线，不能与全设备流量接管画等号。
在 Windows 和 macOS 上，应分别检查系统代理、网络扩展或虚拟网卡权限。在移动设备上，应核对应用的网络接管授权，以及客户端是否配置了应用绕过规则。不同客户端的选项名称不一样，不能只凭开关名称推断范围；安装与授权可参照本站使用指南。
- ✅ 浏览器：打开新页面，核对出口；同时排查代理扩展与安全 DNS 的独立设置。
- ✅ 目标应用：完全退出后重新打开，触发真实联网操作，并在客户端连接日志中查找对应域名或进程。
- ✅ 命令行程序：确认它是否读取系统代理，或是否需要自身支持的代理参数与环境变量。
- ✅ 规则命中：检查请求使用的是代理、直连还是拒绝规则，并确认选中的出口符合用途。
- ❌ 只凭网页能打开、账号能登录或客户端图标亮起，就判定全部设备流量已经接管。
读取日志时注意域名、进程和时间的对应关系。DNS 查询、后台心跳与真正的业务请求可能不是同一条连接；日志缺失也可能源于记录级别或已有长连接。向支持人员提供日志前，应去除订阅凭据、账号标识和不相关的访问记录。
看似连上但没走线路的常见原因
旧连接继续使用原来的路径
应用可能复用连接池、后台会话或已经建立的连接。切换出口后，先完全退出并重新打开目标应用，再触发新请求。浏览器新标签页也不一定代表全新连接；判断仍要结合最新检测和日志。
分流规则把目标请求送去直连
网页可能涉及主站、资源域名、登录接口和媒体域名。只修改主站规则，其他请求仍可能走不同出口。根据日志逐项核对相关请求；如果短暂使用统一代理后恢复正常，再回到规则模式修正相关规则，不必长期代理所有无关流量。
协议兼容或 UDP 接管不完整
节点协议与接管模式解决的是不同问题。Shadowsocks、VMess、Trojan、VLESS 等需要客户端支持对应配置；Hysteria2、TUIC 还依赖 UDP 传输。节点测试成功并不等于所有应用的 UDP 请求都已转发，应核对客户端、出口能力和本地网络限制。
平台限制被误认为线路未生效
出口符合预期但某个平台仍不可用，原因可能是账号地区、应用缓存、出口信誉或平台访问规则。IEPL 专线、中转和直连描述的是传输路径，不能替代最终出口检查，也不能自动保证应用支持。不要通过反复切换地区去推断账号一定可用。
怎样形成可以复查的结论
保留连接前后的出口记录、DNS 结果、接管模式和目标应用日志。结论尽量写具体，例如“浏览器访问检测域名经过目标出口，目标应用命中代理规则”，而不是笼统写“VPN正常”。这既能减少误判，也便于之后发现环境变化。
判断建议：出口符合预期、解析路径与配置一致、目标应用的新请求命中正确出口，才能说明本次检查覆盖的用途已经生效。任何一项不符，先定位对应层级，再修改设置；检测通过不等于匿名性或安全性的绝对保证。
如需进一步排障，可以查阅帮助中心，或通过用户面板提交问题。描述设备平台、客户端名称、接管模式、错误现象与已完成的检查，比单独提供“已连接”的截图更有帮助。