用戶端顯示「已連線」,只代表本機的通道程序已經啟動,不代表流量真的從線路出口出去。確認 VPN 是否生效,順序是固定的:先看出口 IP 與歸屬地,再看 DNS 解析落在哪裡,最後依應用程式逐一驗證。三步都通過,才算這條線路在目前裝置上真的可用。
順序不能顛倒,原因是排查要能定位。先測應用程式,一旦打不開,你無法區分是線路沒生效、解析走錯了,還是應用程式本身對出口地區有要求。把出口與解析這兩層先釘死,剩下的問題一定在應用程式端。
三步自查的順序與判定標準
下表是完整的三步。每一步都有可觀測的判定標準,遇到第一個不通過的列就停下來,先解決它,再往下走。
| 順序 | 檢查項目 | 通過標準 | 不通過時的典型表現 |
|---|---|---|---|
| 1 | 出口 IP 與歸屬地 | 顯示的國家與所選線路一致 | 仍顯示本地歸屬地,或與所選線路的國家不符 |
| 2 | DNS 解析路徑 | 解析請求由線路端完成,不再落到本地電信業者 | 解析伺服器仍是本地電信業者位址 |
| 3 | 應用層連通 | 目標應用程式能連續使用,不顯示地區限制 | 頁面能開啟但功能受限,或反覆要求驗證 |
第 2 步最容易被跳過。查完 IP 歸屬地就直接開始用,連線是通的,但頁面載入慢、部分資源載入失敗、登入時被要求額外驗證——這類現象多半出在解析路徑上,而不是線路本身。
自查期間只動一個變數:不要同時切換線路、修改分流規則、更換用戶端。一次改一處,通過或失敗才能對應到具體設定。
第一步:查出口 IP 與歸屬地
出口 IP 是目標網站看到的那個位址,也是判斷流量有沒有走線路最直接的證據。兩種查法,用途不同。
圖形介面查法:開啟瀏覽器的無痕視窗,存取任何會顯示來訪 IP 的頁面,頁面上會同時給出 IP 與歸屬地。用無痕視窗是為了避開快取與擴充功能——瀏覽器擴充功能裡的代理設定會覆蓋用戶端寫入的系統代理,一般視窗查出來的結果可能不是你以為的那條線路。
命令列查法:不受瀏覽器代理設定影響,適合排查「瀏覽器走了、其他程式沒走」這類問題。
# 只取 IP,適合腳本核對
curl -s https://api.ipify.org
# 需要同時看歸屬地與電信業者時,取 JSON
curl -s https://ipinfo.io/json判定標準只有一條:歸屬地的國家與所選線路一致。城市一級不必強求,IP 歸屬地資料庫本身有偏差,機房位址被標註到相鄰城市甚至相鄰國家都很常見。香港、東京、新加坡這類節點密集的地區,城市欄位的參考價值有限,以國家欄位為準。
IPv6 是常見的漏口
多數線路預設只接管 IPv4。如果本機同時持有一個可用的 IPv6 位址,而目標網站又支援 IPv6,瀏覽器會優先走 IPv6 直連。結果是 IPv4 出口在境外,實際請求卻從本地發出。自查時看一下 IPv6 那一欄:顯示的是本地位址段,代表 IPv6 沒有走線路,需要在用戶端裡關閉 IPv6,或改用能接管雙棧的模式。
注意:改完設定要重新連線一次再查。部分系統在網卡狀態變化後會重建預設路由,舊通道不一定還掛在預設路由上。
第二步:查 DNS 是否洩漏
DNS 洩漏指的是:流量走了線路,網域名稱解析請求卻仍然送給本地電信業者的 DNS 伺服器。通道接管的是 IP 層流量,而解析請求可能在通道建立之前就送出,也可能被系統依網卡優先順序送去本地解析器。
後果有兩層。一層是解析結果與出口地區不匹配:CDN 依解析來源調度,回傳的節點離本地近、離出口遠,表現是能開啟但很慢,或者部分資源載入失敗。另一層是判定異常:目標服務同時看到境外出口 IP 與本地解析來源,風控上更容易要求二次驗證。
| 平台 | 查看方式 | 看什麼 |
|---|---|---|
| Windows | 命令提示字元執行 ipconfig /all |
「DNS 伺服器」一行是否為本地電信業者位址 |
| macOS | 終端機執行 scutil --dns |
nameserver[0] 指向的位址 |
| Linux | 終端機執行 resolvectl status |
目前連線的 DNS 與加密解析狀態 |
| 瀏覽器 | 設定裡搜尋「安全 DNS」 | 是否開啟;開啟後會繞過系統 DNS |
再確認解析請求實際送往哪裡:用 nslookup 或 dig 查一個固定網域,輸出裡的 Server 就是目前使用的解析器。它仍然指向本地電信業者,就代表解析沒有走線路。
nslookup example.com
dig +short example.com瀏覽器的安全 DNS 會繞過通道
Chrome、Edge、Firefox 都內建「安全 DNS」,也就是 DNS over HTTPS。開啟後瀏覽器自己做加密解析,不讀系統 DNS 設定。這時即使用戶端接管了系統解析,瀏覽器的解析請求仍可能直接送到瀏覽器指定的解析服務,與出口地區不一致。自查階段先關掉它,確認線路本身沒問題,再決定要不要開。
通過標準:系統解析器顯示為線路端位址(或與出口地區一致),且 nslookup 的輸出不再是本地電信業者位址。兩條都滿足,再進第 3 步。
第三步:依應用程式逐一驗證
出口與解析都正常,不代表每個應用程式都能用。不同程式讀取代理設定的方式不一樣,這一步依你實際使用的程式逐一檢查。
- 瀏覽器:用無痕視窗開啟目標網站,確認頁面完整載入、登入狀態正常。有安裝擴充功能的,先在無痕模式下排除擴充功能的影響。
- 桌面用戶端:一部分程式只讀系統代理,一部分只認 SOCKS,還有一部分完全不讀系統代理,必須靠 TUN 模式接管。判斷方法很簡單:結束用戶端之後程式還能照常連網,代表它本來就沒走代理。
- 命令列工具:多數命令列程式只認環境變數。
curl需要http_proxy與https_proxy,或者乾脆用 TUN 模式讓它無感接管。 - 行動裝置:iOS 與 Android 都會在背景回收連線。從背景切回來先看一下用戶端狀態,再開啟應用程式;長時間掛在背景之後直接使用,經常是斷線的。
- 地區判定嚴格的服務:這類服務同時看出口 IP、解析來源與帳號歷史地區。三處對不上,網路通了也會被攔。
通過的標誌是能連續使用一段時間,不出現資源載入失敗,不反覆要求驗證。只開啟首頁看一眼,不算通過。
「看著連上了其實沒走」的幾種常見情況
下面這些情況,用戶端介面都顯示已連線,流量卻沒有照預期走線路。依出現頻率排列。
- ❌ 系統代理沒有寫入成功。用戶端顯示連線,但系統代理開關是關的,瀏覽器仍走本地網路。檢查系統代理設定裡是否指向本機回送位址加連接埠。
- ❌ 只接管了 TCP,瀏覽器走 QUIC。HTTP/3 走 UDP 443,線路只轉發 TCP 時,瀏覽器會繞過代理直連。可以在瀏覽器裡關閉 QUIC,或改用能接管 UDP 的模式。
- ❌ IPv6 直連。見第一步,IPv6 未接管時系統會優先走本地位址。
- ❌ 分流規則把目標網域判定成直連。規則集過期、網域歸屬庫不完整,都會讓目標網站走直連。
- ❌ 多網卡優先順序錯誤。裝了虛擬機或插了第二張網卡之後,預設路由可能從另一張網卡出去。
- ❌ 通道已中斷但介面沒重新整理。心跳失敗後用戶端有時仍顯示已連線,重新連線一次再看。
- ✅ 反過來也成立:三步都通過而應用程式仍不可用,問題在應用程式自身的地區策略,不在線路。
分流模式:為什麼有些網站走了、有些沒走
用戶端一般提供三種模式:全域、規則(分流)、直連。全域模式下所有流量都走線路,自查最容易通過;規則模式依網域或 IP 歸屬決定走向,彈性高,但也最容易出現「部分走、部分不走」。
- 全域:所有流量走線路。適合自查與臨時使用,長期用會浪費流量,本地服務也可能變慢。
- 規則:依規則集判斷,命中直連的走本地,其餘走線路。規則集需要定期更新,過期後會誤判。
- 直連:等同於關閉。用來確認問題是不是線路本身造成的。
排查時把模式臨時切到全域,再查一次出口 IP。全域下通過、規則下不通過,問題就在規則集,不在線路。
自查通過之後
三步都過,代表這條線路在目前裝置、目前網路下可用。接下來要看的是長期表現:晚間尖峰是否穩定、長時間連線會不會斷線、從 Wi-Fi 切到手機熱點之後能不能自動恢復。這些沒有一次性判定方法,只能實際用一段時間觀察。
如果自查反覆不通過,先換一條線路再測。出口被目標服務限制、路由繞遠,這類問題不是改用戶端設定能解決的。VPNEH 目前覆蓋 90+ 國家、190+ 線路,月訂閱 ¥9.9 起含 60GB;首次付費後 14 天內可申請無理由全額退款,自查階段可以換著線路試。