VPN 如何確認是否生效？出口 IP 與 DNS 檢測新手完整指南

連線狀態與實際流量的差異

先釐清「連上了什麼」。有些用戶端會啟用系統代理，主要接管遵循系統代理設定的程式；有些則使用虛擬網卡或系統 VPN 介面，透過路由規則接管流量。用戶端介面看似相同，實際涵蓋範圍卻可能不同。瀏覽器能走線路，不代表遊戲、終端機或其他應用程式也使用相同出口。

分流模式會進一步影響結果。有些網域設定為直連，其他網域則走代理；採用應用程式分流時，只有指定程式會進入通道。若檢測頁面符合直連規則，看到原本的 IP 可能是預期結果，不代表連線失敗。檢查前先記下目前模式，以及檢測網域所套用的規則。

判斷標準應與設定一致：全域接管時檢查接管範圍；使用分流時檢查目標應用程式是否符合預期規則。不能要求所有分流請求都顯示相同出口。

出口 IP：如何比對連線前後的差異

出口 IP 是檢測網站收到請求時看到的來源位址。家用路由器分配給裝置的區域網路位址，並非此處要檢查的公網出口。瀏覽器網址列旁的連線安全標記，也只表示網站連線使用 HTTPS，無法證明請求經過 VPN。

1. 中斷用戶端連線，開啟本站的IP 檢測頁面，記錄公網 IP、所屬網路和顯示地區。若頁面分別顯示 IPv4 與 IPv6，也請分別記錄。
2. 連線至所選線路，確認接管模式後重新載入檢測頁面。不要只看仍停留在畫面上的舊結果。
3. 比對位址是否變更，並確認所屬網路資訊。地區資料庫可能更新較慢，城市名稱不一致不能直接判定線路無效。
4. 改用另一個獨立檢測來源再次確認。若結果不同，檢查是否分別符合不同的分流規則，或使用了不同的位址家族。
5. 中斷連線後再次檢測，觀察是否恢復為原本的出口。保留前後記錄，方便重現問題。

若位址沒有變更，先確認檢測請求是否應該走代理。若記錄顯示直連，就應檢查規則；若顯示走代理但結果仍不符合預期，再檢查瀏覽器內建代理、擴充功能、舊連線及用戶端錯誤訊息。不要只因為「地區沒變」就一再更換線路。

若 IPv4 出口已變更，但 IPv6 仍顯示本地網路，需另外確認 IPv6 路由。用戶端可能只接管部分位址家族，也可能依規則讓 IPv6 直連。建議先查看用戶端對 IPv6 的支援與接管說明，再決定是否調整設定，不要一概把停用 IPv6 當成解決方案。

DNS 檢測：解析器不同不代表發生洩漏

DNS 用來將網域名稱解析為網路位址。DNS 檢測通常會讓瀏覽器向測試網域發出請求，再根據伺服器觀察到的資訊推測參與解析的遞迴解析器。這些資訊只能作為解析路徑的線索，並非裝置上所有程式的完整 DNS 紀錄。

所謂 DNS 洩漏，是原本預期經由指定路徑傳送的解析請求，實際上透過其他路徑送出。是否構成問題，取決於預期設定。瀏覽器使用獨立的加密 DNS 時，顯示另一家解析服務可能符合設定；而該加密 DNS 連線本身也可能經過代理。只看解析器品牌或國別，無法判斷傳輸路徑。

• 先檢查用戶端的 DNS 設定，確認是否要求遠端解析，以及直連網域是否使用了不同的解析器。
• 查看瀏覽器的安全 DNS 設定；該設定可能會覆蓋系統解析行為。請一併核對瀏覽器與用戶端的策略，而非只修改系統 DNS 位址。
• 維持網路環境不變，比較中斷連線與連線時的檢測結果。連線後仍出現本地網路提供的解析器，是值得排查的線索，但仍需以記錄和設定佐證。
• 使用新的測試網域或重新執行檢測。既有快取可能使請求不再觸發解析，導致結果缺漏或看起來沒有變化。

加密 DNS 保護的是裝置與解析服務之間的查詢傳輸，不會自動改變網頁存取的出口。反過來說，網頁流量走代理，也不代表所有 DNS 請求都會走代理。必須分開驗證「由誰解析網域」和「連線從哪裡出去」。

逐一驗證應用程式：別只檢查瀏覽器

瀏覽器檢測只代表瀏覽器當次的請求。若要確認日常使用的工具是否生效，應透過實際目標應用程式發起新的網路操作，同時查看用戶端的連線清單或記錄。若用戶端提供規則名稱和出站標籤，請確認該請求顯示的是直連，還是所選的代理線路。

在桌面系統上，Windows 和 macOS 的系統代理不會讓所有軟體自動遵循設定。終端機程式可能會讀取代理環境變數，也可能完全忽略；Linux 的桌面代理設定同樣不是所有處理程序共用的入口。虛擬網卡模式通常可接管更多 IP 流量，但仍受路由、排除項目和用戶端功能影響。

iOS 和 Android 用戶端可能透過系統 VPN 介面接管流量，實際範圍仍需查看設定。Android 用戶端可能提供按應用程式納入或排除的選項；不要把某個平台的操作步驟直接套用到另一個平台。若應用程式已有持續連線，切換線路後應讓它重新建立連線再測試。

• ✅ 開啟需要使用的應用程式，執行實際網路操作，而非只查看快取頁面。
• ✅ 在用戶端記錄中找到對應請求，確認網域、規則和出站線路。
• ✅ 檢查應用程式專屬代理、瀏覽器擴充功能與系統代理是否互相覆蓋。
• ✅ 切換模式後重新建立應用程式連線，並在相同網路環境下重複驗證。
• ❌ 不要把某個網站能開啟，當成所有裝置和應用程式都已接管的證據。

有些應用程式不會公開顯示自己的出口 IP。此時應綜合連線記錄、規則符合情況和功能表現來判斷，並清楚界定結論適用範圍。目標網站拒絕存取，也可能是帳號狀態、地區政策或出口信譽所致，不一定代表本地連線沒有生效。

「已連線卻沒走線路」的排查順序

排查時先確認流量是否進入用戶端，再追查流量被送往何處。依照這個順序處理，比不斷重新整理訂閱或更換節點更容易找出問題。每次只調整一項，重新發出請求後記錄變化；要還原設定時也有明確依據。

1. 確認已選用設定。匯入訂閱連結只代表取得設定，不表示已選取節點並啟用流量接管。請檢查目前使用的設定、所選線路與連線錯誤。訂閱連結含有存取憑證，請勿貼到公開截圖或討論區。
2. 確認系統接管入口。使用系統代理模式時，檢查代理是否已啟用；使用虛擬網卡模式時，確認權限與路由狀態。其他網路工具可能改寫這些設定，測試時避免多個工具同時爭用接管入口。
3. 確認符合預期規則。若目標網域走直連，請檢查規則順序、應用程式排除項目和預設出站。暫時調整模式有助於找出問題，但不代表所有服務都應長期走相同路徑。
4. 確認解析成功。若記錄顯示解析失敗，先檢查 DNS 路徑。出口 IP 檢測正常，不代表目標網域一定能正常解析。
5. 確認出站可用。若請求已進入代理卻發生連線錯誤，請再檢查節點、網路和用戶端相容性。單憑錯誤訊息無法判定線路拓撲或伺服器端故障。
6. 重新檢查完整證據。調整後重新檢測出口、DNS 和目標應用程式。不要因為其中一項恢復正常，就忽略其他項目仍有異常。

協定名稱本身不能作為驗證結果。Shadowsocks、VMess、Trojan、VLESS 等設定能否接管流量並正常使用，還取決於用戶端支援、傳輸設定和伺服器端設定。線路標示為直連、中轉或專線，也不能取代終端出口檢測，更不能只憑 IP 地區標籤推斷實際線路拓撲。

瀏覽器 IP 暴露與檢測結果的判讀界線

有些檢測工具也會顯示 WebRTC 位址。WebRTC 用於即時通訊，其連線路徑可能與一般網頁請求不同。區域網路位址、經隱私處理的本機位址和公網位址應加以區分；看到本機位址資訊，不代表已證明公網出口繞過線路。

若檢測結果出現不符合預期的公網位址，請核對瀏覽器策略、用戶端對相關流量的支援情況和路由設定。不要靠安裝大量擴充功能來層層補救；擴充功能可能只影響瀏覽器，也可能與現有代理設定衝突。修改後仍應使用實際應用程式重新驗證。

這些檢測只能反映測試當下的路徑，不能證明狀態永久不變。更換網路、更新用戶端、調整規則或重新匯入設定後，都值得再次檢查。位址變更也不等於隱私獲得保障：登入帳號、網站 Cookie 和應用程式權限仍可能提供身分線索。