VPN连上了怎么确认生效？先看目标请求的出口 IP，再查 DNS 解析路径，最后回到实际使用的应用验证。连接图标只代表客户端报告连接已建立，不能证明浏览器、桌面软件和后台进程都采用了同样的路由。
检查前先明确目的：是让全部网络请求经过线路，还是只让指定国际网站经过线路？规则模式下，本地网站直连可能正是预期结果。把所有网站的地区都要求成线路所在地，反而会误判正常分流。
先区分连接状态、出口与分流
完整访问路径可以理解为：应用发起请求，系统或客户端决定路由，经直连或代理出口访问目标服务器。域名还需要被解析成地址；这段解析可能由系统、浏览器或代理客户端处理，不一定与网页内容走相同路径。
系统代理主要为遵循系统代理设置的应用提供入口，并不自动接管所有流量。TUN 或系统 VPN 接口能接管更广的网络请求，但仍受路由、排除应用、局域网规则与地址族处理影响。看到虚拟网卡存在，也不能直接推导出全部应用已被覆盖。
| 检查项目 | 能确认什么 | 不能据此确认什么 |
|---|---|---|
| 客户端连接状态 | 客户端报告隧道或会话已建立 | 目标请求一定走了线路 |
| 网页出口 IP | 该网页请求被服务器看到的来源地址 | 其他应用、其他域名也使用同一出口 |
| DNS 检查 | 测试域名的递归解析来源线索 | 全部网络内容均经过加密隧道 |
| 目标应用日志 | 应用请求命中的规则与选定出口 | 目标服务一定允许该地区或账户访问 |
Shadowsocks、VMess、Trojan、VLESS、Hysteria2 与 TUIC 等协议名称，描述的是不同的代理传输方案，不等于设备上的接管范围。IEPL 专线、中转与直连则涉及线路路径，也不能替代本机路由验证。检查顺序应从请求出发，而不是从协议名称猜结果。
出口 IP：用连接前后对照确认路径
先选用可信、能够显示当前请求公网 IP 的查询页面。只查看结果，不必授予定位权限，也不必安装扩展。查询结果属于当前请求的观察值；地理数据库可能滞后，显示的城市不能当作线路物理位置的证明。
- 断开客户端，在浏览器中记录查询页面显示的公网地址与运营商信息，作为直连基线。
- 连接目标线路，记录当前使用的模式、线路名称与是否启用应用排除规则。
- 重新打开查询页面，避免只看旧标签页留下的结果。对比公网地址，而不只是国家名称。
- 在客户端连接日志中查找查询域名，确认它命中的规则和出口。若该域名被设为直连，查询结果不变并不能证明目标国际网站也直连。
- 回到真正要使用的网站，刷新或重新建立连接，再核对它的请求记录。
如果浏览器出口已改变，而某个命令行程序仍显示本地出口，常见原因是命令行程序没有采用系统代理。反过来，终端使用了代理环境变量，也不代表浏览器继承了这些变量。应分别测试，不把不同进程的结果混为一谈。
还要注意 IPv4 与 IPv6。某条路径可能接管了前者，却让后者直连。若查询服务提供对应检测入口，应分别核对，并查看客户端对两类地址的处理说明。不要为了得到看似一致的结果，长期盲目关闭系统网络功能。
DNS：检查解析来源，不只看国家标签
DNS 泄漏通常指本应受隧道或代理策略保护的解析请求，却经非预期路径发送。判断重点是“是否符合设定”，不是“检测页有没有显示本地国家”。规则模式下，本地域名使用本地解析器可能是有意设计。
浏览器 DNS 检测页面通常通过生成测试域名，观察接收解析请求的递归解析器。它看到的未必是设备配置中的服务器，也可能是转发链路后面的解析器。公共 DNS 的任播网络和地理数据库还可能让所在地标签产生偏差。
把浏览器与系统分开检查
浏览器的安全 DNS，也就是通过 HTTPS 等方式传输的 DNS，可能绕过系统解析设置。它加密了解析连接，但不自动保证该连接经过 VPN。先记录浏览器是否启用了独立解析服务，再观察这项请求实际命中的规则。
在 Windows 的 PowerShell 或命令提示符中，可以使用下面的只读命令查看线索。示例域名仅用于发起解析，不代表 VPN19 的线路检测接口：
ipconfig /all
nslookup example.comipconfig /all 可以帮助识别活动网卡和配置的 DNS；nslookup 会显示它所查询的服务器及应答。后者有自己的查询行为，不能代表浏览器、所有应用或客户端的远端解析路径。即使服务器显示为本地地址，也可能只是本地转发入口。
macOS 可用 scutil --dns 查看解析配置；采用 systemd-resolved 的 Linux 系统可用 resolvectl status 查看接口对应的解析器。它们同样是配置线索，不是“所有解析都已进入隧道”的证明，仍需结合客户端 DNS 设置与请求日志判断。
分应用验证：浏览器成功不代表软件成功
网页能打开，桌面应用仍报错，优先检查接管范围。某些应用遵循系统代理，某些使用独立网络配置，还有些同时调用登录网页、后台接口与更新服务。只测首页无法覆盖完整工作流。
- ✅ 浏览器：访问目标网站，检查登录页、内容页和实际操作对应的连接记录。
- ✅ 桌面应用：退出并重新打开应用，触发原本失败的操作，核对进程或目标域名命中的规则。
- ✅ 命令行工具：查看是否存在独立代理配置或代理环境变量，不默认它会读取系统代理。
- ✅ 移动端应用：核对 VPN 配置是否启用，以及客户端是否排除了该应用或目标地址。
- ❌ 不把客户端节点测试成功，当成实际应用所有请求成功的证据。
Windows 与 macOS 上，系统代理和虚拟网卡模式的覆盖范围不同，应以客户端实现为准。Android 客户端可能支持应用包含或排除列表；iOS 上则要核对当前生效的 VPN 配置及客户端提供的规则能力，不能直接照搬桌面端菜单。
Linux 桌面设置、终端环境变量和后台服务的网络环境也可能分开。服务进程通常不会因为桌面浏览器设置了代理，就自动获得相同配置。如果只有后台任务失败，应检查该服务的启动环境，而不是持续更换浏览器线路。
日志验证时，先清楚地触发目标操作，再找对应时间的域名、进程、规则和出口。若请求根本没出现，应先查应用是否进入接管范围；若命中直连，查规则顺序；若已选中线路却握手失败，再查连接错误与服务可达性。
看似连上但没生效，按症状缩小范围
出口没有变化
检查查询网站是否被直连规则命中，浏览器是否有自己的代理扩展，以及客户端是否只连接了节点却未启用系统接管。临时切换模式时先记下原设置，只改相关选项，验证后恢复，避免留下相互覆盖的配置。
只有特定应用失败
查看应用排除列表和独立代理设置。登录、文件上传、媒体播放可能采用不同域名或传输方式；不要只添加主站域名就认为规则齐全。应根据实际日志和服务公开文档补充规则，避免无依据地扩大匹配范围。
切换线路后仍显示旧地区
应用可能保留长连接，网站也可能保留会话状态。先重新建立目标连接，再检查新请求出口；隐私窗口可帮助区分部分会话影响，但不会改变账户地区，也不会自动清除服务端判断依据。
导入订阅后，线路存在但请求失败
订阅导入只说明客户端读取到了配置，不代表协议、传输选项和当前客户端版本都兼容。应查看明确的错误信息，并从面板重新获取有效订阅。不要随意转换订阅格式，也不要把订阅链接贴进公开检测网站。
订阅地址可能包含账户识别信息。向支持人员提供截图时，应遮盖完整订阅地址、认证字段和私人访问域名，只保留定位问题所需的模式、错误提示与规则结果。
留下可复查的结论
一次有效检查应能回答：哪个应用、哪个目标、什么模式、命中什么规则、用了哪个出口，以及 DNS 是否符合预期。把这些信息写在同一份记录里，比单独保存“已连接”的截图更有用。以后系统更新、切换网络或修改规则后，也能按同样流程复核。
出口 IP 对照用于确认请求来源，DNS 检查用于发现解析路径偏差，分应用验证用于排除接管范围差异。它们相互补充；任何单项通过，都不代表整台设备的全部流量已经按预期处理。
如果检查后仍无法定位，可在面板工单中说明目标操作、系统平台、客户端模式和已核对的日志结果。需要重新确认客户端配置，可查看使用教程；遇到规则与访问异常，可参考AI 加速手册中的排查说明。