如何確認 VPN 是否真的生效：檢查出口 IP、DNS 與個別應用程式驗證
透過出口 IP、DNS 與個別應用程式測試確認 VPN 連線狀態，並了解顯示已連線但流量未經代理的常見原因。
如何確認 VPN 是否真的正常運作？別只看用戶端顯示「已連線」。先比對出口 IP，再確認 DNS 請求的路徑，最後在實際使用的應用程式中測試。只有結果符合你的分流設定，才能確認需要代理的流量確實經由預期路徑傳送。
瀏覽器能開啟網頁，不代表辦公軟體也使用代理；出口地區改變，也不代表所有 DNS 查詢都經過通道。以下依照容易操作、方便複查的順序逐步排查，不必一開始就調整一堆進階設定。
連線狀態與實際生效的差異
「已連線」通常表示用戶端已建立通道、啟動本機代理，或完成某個連線階段，實際含義視用戶端而定。這項狀態本身無法證明每個應用程式都使用了該連線，也不保證目標網站會接受目前的出口 IP。
先確認目前使用的模式。系統代理通常只會影響遵循系統代理設定的應用程式；TUN 或系統 VPN 模式則透過虛擬網路介面接管流量，涵蓋範圍還會受到路由、排除清單及應用程式設定影響。瀏覽器擴充功能通常只作用於瀏覽器，不能用它的結果代表整台裝置。
出口 IP：先記錄基準，再進行比對
出口 IP 是目標網站所看到的公網位址。連線前後使用相同的瀏覽器、查詢頁面及本地網路，結果才方便比較。你可以使用本站的IP 查詢工具，也可以選擇信任的檢測頁面；先確認查詢網站沒有被自訂規則指定為直連。
- 連線前先記錄。在可以短暫中斷代理連線的情況下，關閉連線並記錄公網 IP、位址歸屬地及電信業者資訊。不要把系統設定中的區域網路位址當成公網出口。
- 連線後重新查詢。選擇目標線路並啟用所需的代理模式，再重新查詢；不要只看頁面上一次留下的結果。
- 查看用戶端記錄。如果用戶端支援連線清單，請確認查詢網站符合哪條規則、使用哪個出口群組，以及是否建立了新連線。
- 恢復日常分流設定後再查。暫時切換模式只是為了找出問題。恢復原設定後，請確認常用網站的路由仍符合預期。
如果 IP 沒有改變，先確認查詢請求是否被規則指定為直連，不要立刻判定線路失效。如果位址已改變，但歸屬地與線路名稱不一致，也別只憑地圖下結論：位址資料庫可能更新較慢，不同資料庫的標示也可能不同。線路名稱、出口位址與地理標籤不一定完全相符。
DNS 檢測：確認解析路徑，不只看地區
DNS 負責將網域名稱解析成位址。瀏覽器造訪網站時，網域可能交由系統解析器、用戶端內建解析器，或瀏覽器設定的安全 DNS 服務處理。網頁請求與 DNS 請求可能走不同路徑，因此出口 IP 已改變，仍不足以證明解析路徑符合預期。
常見的 DNS 檢測頁面會觸發新的網域查詢，並顯示觀察到的遞迴解析器。這裡顯示的通常不是你的網頁出口，也不一定是裝置設定的第一個 DNS 位址。公共解析服務還可能採用分散式架構，因此解析器所在地區與出口地區不同，本身不能證明發生 DNS 洩漏。
更值得確認的是：你希望透過代理處理的 DNS 請求中，是否出現了本地網路的解析路徑？如果使用分流規則，本地網站的 DNS 依設定直連可能完全正常；如果預期所有 DNS 查詢都經過通道，檢測卻持續顯示本地電信業者的解析器，就需要檢查設定。
- 檢查瀏覽器安全 DNS。瀏覽器可能略過系統解析器，改用 DoH。加密 DNS 能保護解析過程中的傳輸，但不會自動確保 DNS 請求經由代理。
- 檢查用戶端的 DNS 模式。確認是否啟用 DNS 接管、是否為代理網域設定相應的解析策略，以及連線至上游 DNS 的流量實際走哪條路由。
- 留意快取。切換設定後，舊的解析結果或既有連線可能仍會重複使用。重新啟動相關應用程式並再次檢測，通常比反覆重新整理舊頁面更有效。
如果網頁能開啟，但 DNS 檢測無法完成，也可能是檢測指令碼、擴充功能攔截或測試網域受到影響。先換用另一種可信的檢測方式交叉確認，不要把檢測頁面出錯直接當成網路洩漏。
個別應用程式驗證：瀏覽器結果不代表所有應用程式
維持使用同一條線路，分別測試瀏覽器、辦公用戶端及實際需要使用的應用程式。每次只變更一項條件，並查看用戶端的連線記錄，才能分辨是線路問題，還是某個應用程式沒有遵循系統代理設定。
| 觀察到的狀況 | 可能原因 | 優先檢查項目 |
|---|---|---|
| 瀏覽器 IP 已改變，桌面應用程式仍無法正常使用 | 應用程式忽略系統代理，或被排除在代理之外 | 應用程式代理設定、TUN 接管範圍、處理程序規則 |
| 查詢頁面的 IP 沒變，但其他網站正常 | 查詢網域符合直連規則 | 該請求符合的規則及出口群組 |
| IP 已改變，部分網域仍無法開啟 | 解析異常、規則遺漏或網站限制 | DNS 結果及失敗網域的連線記錄 |
| 切換線路後仍顯示舊的出口 IP | 應用程式沿用舊連線，或頁面沒有重新查詢 | 關閉舊連線，重新啟動應用程式後再檢測 |
| 出口符合預期，但帳號存取受限 | 網站的地區、帳號或出口風險控管規則 | 確認網站提示及帳號條件，不要只切換代理模式 |
在 Windows 與 macOS 上，系統代理和虛擬網路介面模式是不同的流量接管方式。部分遊戲、命令列工具及辦公程式有自己的網路設定。在 Linux 上，桌面代理設定也不保證所有程式都會讀取，請依照應用程式文件檢查環境變數或獨立代理設定。
在 Android 與 iOS 上，系統顯示 VPN 狀態只代表流量接管已啟用。仍需確認用戶端的應用程式排除設定、分流規則，以及是否與其他網路工具衝突。如果應用程式沒有 IP 查詢功能，可以在它執行網路操作時查看用戶端連線記錄，再搭配實際功能判斷。
已連線但異常：依序排查
不要同時變更線路、DNS、規則和用戶端模式。一次改動多個項目，即使恢復正常，也很難找出原因。先儲存目前設定，再依照下方清單逐項檢查。
- ✅ 確認目前的訂閱已更新，節點不是過期設定；訂閱匯入成功只代表可以讀取設定，不代表線路已連通。
- ✅ 確認系統代理或 TUN 模式確實已啟用，並檢查目標應用程式是否遭到排除。
- ✅ 查看失敗請求符合的規則，分辨直連、代理、拒絕，以及實際使用的出口群組。
- ✅ 在權限與網路政策允許的情況下，暫時改用全域代理進行比對；如果此時恢復正常，請優先檢查分流規則。
- ✅ 確認 DNS 與位址類型的處理方式，接著關閉舊連線、重新啟動目標應用程式，再次測試。
- ✅ 如果所有目標都無法連線，再換另一條可用線路進行比對，並保留錯誤訊息以便提交客服工單。
用戶端中的「全域代理」也不一定代表整台裝置的流量都由代理接管。它可能只是讓已進入代理用戶端的流量統一使用某個出口；原本未進入用戶端的應用程式仍可能直接連線。若要擴大接管範圍，請查看該用戶端的系統代理或虛擬介面說明，不要只切換規則模式。
協定名稱也不能取代實際測試。Shadowsocks、VMess、Trojan、VLESS 等設定需要由相容的用戶端支援；Hysteria2、TUIC 的傳輸依賴 UDP，網路對 UDP 的限制可能影響連線。更換協定前，先確認用戶端相容性與網路條件，不要把任何協定當成必定正常運作的保證。
常見誤判：網頁能開啟，不代表連線路徑正確
能連上某個國際網站，就代表連線正常了嗎？
不代表。該網站可能原本就能直接連線，也可能只載入了快取內容。應搭配最新的出口查詢、連線記錄及實際網路操作判斷。相反地，某個網站拒絕連線，也不能直接證明 VPN 沒有正常運作：目標網站可能限制特定出口，或依據帳號地區作出判斷。
WebRTC 檢測顯示位址，就一定代表資訊外洩嗎？
要先分辨位址類型。區域網路位址或經過隱藏處理的本地主機識別資訊，不等同於公開本地公網出口。如果在預期流量應經過通道的情況下，測試仍顯示本地公網位址，就應進一步檢查瀏覽器的 WebRTC 行為、UDP 路徑及用戶端的流量接管能力。
使用專線或中轉線路，就不必檢測了嗎？
不是。IEPL 專線、中轉與直連描述的是線路的組織方式，不代表應用程式已正確使用代理，也無法自動排除 DNS 設定問題。選擇線路決定傳輸路徑，用戶端設定則決定流量是否進入該路徑，兩者都需要確認。
最後驗證：留下可供複查的結果
建議記錄目前的網路、用戶端模式、線路名稱、出口查詢結果、DNS 檢測結果及異常應用程式。不必製作複雜報告，只要能說明「在什麼條件下，哪個請求走了什麼路徑」，就能減少反覆猜測。切換本地網路或更新規則後，請重新比對重要項目。
如果不確定如何在用戶端匯入訂閱或啟用流量接管模式，可以先參閱使用指南；想了解協定與線路的差異，可查看協定參考。遇到問題時，保留具體錯誤資訊，比只說「顯示已連線但不能用」更容易找出原因。