VPN 檢測指南：如何確認 VPN 是否生效｜出口 IP、DNS 洩漏與應用程式測試

「已連線」不等於確實生效

不同用戶端對「已連線」的定義各不相同：有些表示代理核心已啟動，有些表示系統通道已建立，也有些會確認節點是否能回應。這些狀態都無法單獨證明瀏覽器、桌面應用程式和背景程序的請求都經過同一個出口。

先釐清預期的連線範圍。若使用規則分流，台灣本地網站直連、指定國際網站走代理，可能正是預期結果；若希望所有由代理接管的流量都經過所選出口，則需檢查接管方式與例外規則。用戶端中的「全域」通常是指已進入代理核心的流量統一使用某個出口，不一定代表所有應用程式都已由代理核心接管。

出口 IP 檢測：先記錄直連基準

出口 IP 是目標網站看到的網路來源位址，不是電腦在區域網路中的位址。相較於系統設定中的本機位址，透過瀏覽器查詢出口 IP 更適合用來判斷連線路徑。檢測前先記錄目前的網路環境，避免將切換 Wi-Fi、啟用其他代理或瀏覽器擴充功能所造成的變化，誤認為是這次連線的結果。

1. 建立基準。在可以短暫直連且沒有敏感作業執行時，暫停用戶端，開啟可信任的 IP 查詢頁面，記下公開 IP 位址、網路業者，以及頁面是否分別顯示 IPv4 和 IPv6。
2. 啟用預期設定。連線至所選線路，確認已依需求啟用系統代理或虛擬網卡接管，並記錄目前使用的是規則模式還是全域模式。
3. 重新送出請求。重新整理查詢頁面；若結果看起來是舊快取，可重新開啟頁面。比對連線前後的位址，並確認用戶端是否出現對應網域的連線紀錄。
4. 交叉驗證。使用另一個獨立查詢頁面核對結果。地區資料庫可能更新不同步，應優先確認 IP 位址是否改變、請求是否使用預期出口，不要只依單一城市標籤下結論。

啟用規則分流後若 IP 沒有改變，先確認查詢網站是否符合直連規則。換另一個測試網站，只是更換受測請求；更可靠的方式是查看用戶端中該網域符合的規則。若需暫時切換模式進行排查，先記下原本設定，驗證後再還原。

IPv4 和 IPv6 也要分別檢查。只有 IPv4 出口改變，不能證明 IPv6 請求也受到接管；但若用戶端不支援 IPv6 轉送，且系統沒有可用的 IPv6 路徑，頁面未顯示 IPv6 也不一定是異常。若發現 IPv6 仍使用本機出口，應檢查用戶端支援範圍、路由與防洩漏設定，而不是直接關閉整個系統的安全功能。

DNS 洩漏檢測：確認解析路徑，不只看國旗

DNS 會將網域名稱解析為網路位址。DNS 洩漏通常是指解析請求未依預期進入受保護的連線路徑，而是交由本機網路或其他非預期的解析服務處理。即使網頁內容經過代理，DNS 解析仍可能走另一條路徑，因此「網站能開啟」不能取代 DNS 檢查。

開啟可信任的 DNS 洩漏測試頁面並執行完整測試，查看結果中的解析服務業者，再與用戶端的 DNS 設定、系統解析設定及瀏覽器的安全 DNS 設定比對。這類頁面通常會透過存取特製網域，觀察參與解析的遞迴 DNS 伺服器；測試結果並非本機所有 DNS 流量的完整封包紀錄。

連線後仍顯示本地網路業者的解析器，是值得進一步檢查的訊號，但不能只憑解析器所在國家判斷是否發生洩漏。公共 DNS 可能採用就近接入、異地出口，或使用不同的登記資訊。反過來說，顯示海外解析器也不能單獨證明解析請求經過所選通道。

• ✅ 比對設定：確認用戶端預期使用遠端解析、系統解析，還是依網域分流解析。
• ✅ 檢查瀏覽器：安全 DNS 可能會自行選擇解析服務，需確認是否符合個人的隱私需求。
• ✅ 重新測試：設定變更後，依系統或用戶端說明清除相關快取並重新送出請求，避免舊解析結果造成干擾。
• ❌ 不要把解析器的國旗當成最終結論，也不要將單次測試通過視為所有應用程式都通過。

加密 DNS 可保護裝置與解析服務之間的查詢傳輸，但解析服務仍可能看到查詢內容；它也不會自動確保查詢經過 VPN。部分代理模式會將網域交由遠端處理，有些應用程式則會自行解析，排查時應一併查看實際連線紀錄。若介面顯示 Fake-IP，通常是用戶端用來對應網域的內部機制，不應將其視為真實的公開出口 IP。

逐一檢測應用程式：瀏覽器正常不代表全部正常

系統代理通常會為遵循該設定的應用程式提供 HTTP 或 SOCKS 代理入口，並不是通用的網路接管開關。部分桌面軟體、命令列工具、遊戲或背景服務會忽略系統代理；另一些軟體則有自己的獨立代理設定。瀏覽器擴充功能也可能只影響瀏覽器，無法證明桌面應用程式的連線路徑。

虛擬網卡模式通常會透過系統路由接管更多流量，但仍可能受到應用程式排除清單、路由例外、DNS 策略、權限與協定支援影響。Windows 和 macOS 使用者應留意其他網路工具是否與系統代理或路由設定衝突；Android 使用者應檢查應用程式的包含或排除清單；iOS 使用者則應確認目前啟用的網路設定與用戶端規則。不同用戶端的功能不盡相同，不要直接套用其他平台的開關名稱。

在目標應用程式中重現實際操作

1. 開啟用戶端的連線面板或記錄，先觀察現有請求，避免將背景更新誤認為目標應用程式的業務流量。
2. 在目標應用程式中重新整理內容或執行實際作業，查看新增的網域、目標位址與符合的策略；若用戶端支援程序識別，也可核對程序名稱。
3. 確認請求選用的是預期的代理群組與線路，而不是直連、拒絕，或非預期的自動選擇結果。
4. 若已修改規則或代理設定，請儲存後重新建立連線；必要時關閉並重新開啟目標應用程式，以免舊的持續連線繼續沿用原本路徑。

沒有看到紀錄，不一定代表應用程式沒有連上網路，也可能是記錄層級、篩選條件或用戶端可觀測範圍有限。先確認記錄中是否包含其他已知請求，再檢查應用程式的獨立代理設定與接管範圍。命令列工具也可能讀取代理環境變數，不能因為瀏覽器連線成功，就推斷終端機也正常。

網頁、語音與影片可能採用不同的傳輸方式。瀏覽器的 QUIC 通常以 UDP 為基礎，是否接管 UDP，以及代理鏈是否支援相應轉送，都需要另外確認。如果文字頁面正常但語音功能失敗，應優先檢查協定與分流支援，不要只憑頁面載入成功就排除網路路徑問題。

常見的表面連線狀況：依症狀找出故障環節

顯示已連線，但出口始終沒有改變

檢查是否只啟動代理核心、卻未啟用系統代理，或測試網域剛好符合直連規則。接著確認瀏覽器是否使用其他代理擴充功能，以及應用程式是否保留舊設定。不要同時啟用多套接管工具，否則代理入口、路由與 DNS 可能互相覆蓋，難以判斷問題原因。

出口已改變，但目標服務仍無法使用

此時不能立刻判定 VPN 未生效。平台也可能依據帳號地區、既有工作階段、IP 風險判斷或服務開放範圍限制存取。先記錄具體錯誤訊息，分辨連線逾時、解析失敗、憑證錯誤，以及平台明確顯示的權限提示；後者不一定是傳輸故障。

訂閱匯入成功，但所有請求都失敗

匯入成功只代表用戶端已接收並解析設定，不代表節點可以連線。請檢查目前選用的節點、訂閱更新結果與用戶端相容性。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 是不同協定或協定家族，用戶端必須支援設定中使用的協定及相關傳輸參數；這些名稱與 IEPL、中轉或直連等線路路徑描述並不相同。

IEPL 專線、中轉和直連會影響流量經過的網路路徑，不能取代應用程式接管與 DNS 檢測。同名稱的線路在不同本地網路環境下也可能有不同表現，不應只憑線路標籤推測未經測試的延遲或穩定性。

檢測結論：保留紀錄，再調整設定

完整的檢測紀錄應包含本機網路環境、用戶端模式、所選線路、出口變化、DNS 測試結果、目標應用程式的具體錯誤訊息，以及規則符合情況。每次只調整一個因素，再重現相同操作，才能確認改善是來自更換線路、修正规則，還是應用程式重新建立連線。

不要為了「讓檢測通過」而隨意關閉防火牆、忽略憑證警告，或安裝來源不明的根憑證。「軍工級加密」是對連線保護的描述，不能取代正確的接管設定，也不能取代目標網站的 HTTPS 憑證驗證、帳號保護與裝置安全。

若要繼續設定用戶端，請參閱使用指南；若要了解各方案的流量規則，請查看方案價格。先確認連線路徑正確，再討論線路選擇與使用體驗，排查會更有效率。