VPN 已連線，如何確認確實生效？別只看客戶端的連線圖示。先比對連線前後的出口 IP，再檢查 DNS 解析路徑，最後逐一驗證需要使用的應用。判斷標準不是「所有流量都改變」，而是「應經過線路的請求，確實依預期經過線路」。
這套方法適用於系統內建的 VPN 連線，也適用於透過訂閱連結匯入節點的代理客戶端。兩者接管的範圍可能不同：客戶端能連上節點，只表示連線流程有所進展，不能取代對瀏覽器、桌面軟體與背景服務的實際驗證。
先分清「連線成功」與「流量接管」
一次連線通常包含網域解析、路由選擇、連接目標服務等環節。客戶端顯示已連線，可能表示通道已建立，也可能只是代理核心已啟動。應用是否使用這個入口，還取決於系統代理、虛擬網卡、分流規則與應用本身的網路設定。
「系統代理」通常會指示願意遵循此設定的軟體，將相應請求交給代理處理。這不等於接管裝置的全部網路。TUN 模式則透過虛擬網卡與路由處理 IP 流量，接管範圍通常較廣，但仍會受到排除項目、權限、協定支援與實際設定影響。「全域代理」也可能只是將已進入客戶端的請求統一交給節點處理，不會自動讓所有應用都經過客戶端。
| 檢查項目 | 主要觀察內容 | 無法單獨證明的事項 |
|---|---|---|
| 客戶端連線狀態 | 核心、通道或節點是否已建立連線 | 目標應用的請求是否經過節點 |
| 瀏覽器出口 IP | 該瀏覽器造訪檢測網站時的公網出口 | 其他應用及其他位址族也使用相同路徑 |
| DNS 檢測 | 檢測網域所用的遞迴解析器及相關線索 | 所有業務流量的出口與隱私界線 |
| 客戶端連線記錄 | 目標請求命中的規則、策略與出口 | 遠端服務一定允許存取或操作成功 |
| 目標應用的實際操作 | 所需功能能否透過目前路徑完成 | 裝置上的所有應用都已接管 |
出口 IP：在相同條件下比對連線前後
先在未連線時，用瀏覽器開啟可信的公網 IP 檢測頁面，記錄公網位址、位址族與網路歸屬。接著連線至選定的線路，再用同一個瀏覽器重新載入同一頁面。盡量選擇能回傳目前請求資訊的頁面，而非只顯示快取內容的頁面。
如果檢測請求符合代理規則，出口通常會變成線路的遠端出口。位址歸屬地與所選地區相符，可作為輔助佐證，但地理資料庫可能更新延遲或標註不一。別只因城市名稱不同就認定線路異常，也別把區域網路位址誤認為公網出口。
- 記錄連線前的公網出口，並確認瀏覽器沒有同時啟用其他代理擴充功能。
- 連線後檢查目前模式，確認檢測網域沒有被規則設為直連。
- 重新送出檢測請求，比對位址是否變化；必要時關閉舊分頁，避免沿用既有連線。
- 查看客戶端連線記錄，將檢測網域對應的出口與頁面結果交叉核對。
- 中斷連線後再檢測一次，確認變化與這次連線有關，而非來自其他代理或網路切換。
支援 IPv4 和 IPv6 的裝置需要分別檢查。有些設定只處理其中一種位址族，瀏覽器可能改走另一條路徑。若要讓相關公網請求都經過線路，應確認兩類流量都已接管，或依客戶端文件採用合適的阻擋策略，別看到一個位址改變就結束檢查。
DNS：確認解析路徑，不只看國家名稱
DNS 負責將網域轉換成位址。DNS 洩漏通常是指原本應依預期受到保護的解析請求，卻走了意料之外的路徑，例如仍由本地網路的解析器處理。這和業務連線的出口是兩回事：網頁請求可以經過節點，網域查詢卻仍在本地完成。
常見的 DNS 檢測頁面會產生測試網域，再觀察哪些遞迴解析器前來查詢。結果中的位址通常屬於解析服務，而非你的業務出口。公共解析服務可能採用任播、快取與轉送機制，標示的地區不一定等於實際處理位置，因此「解析器和節點不在同一個國家」本身不足以判定有 DNS 洩漏。
更值得確認的是：目前設定預期由誰負責解析？客戶端是否接管系統 DNS？瀏覽器是否啟用了獨立的加密 DNS？如果預期使用遠端解析，卻反覆看到本地電信業者的解析器，就需要進一步確認。反過來說，沒看到電信業者名稱，也不能據此斷定所有應用的 DNS 都已受到保護。
- ✅ 確認客戶端的 DNS 模式、遠端解析設定，以及直連網域的解析策略。
- ✅ 檢查瀏覽器的安全 DNS 設定，確認它是否獨立於客戶端設定。
- ✅ 調整設定後重新測試，避免把既有快取或舊連線誤當成新結果。
- ✅ 對照客戶端記錄中的網域、目標位址與出口，確認解析及業務連線是否符合預期。
- ❌ 別把解析器名稱或地區相同、不同，直接當成安全或洩漏的判斷依據。
部分客戶端會使用 Fake-IP，將合成位址回傳給應用，再於內部關聯網域與實際出口。這類位址不同於一般公網解析結果，不代表 DNS 一定故障。若區域網路裝置、企業內網網域或特殊應用出現異常，應檢查對應的排除規則，而非任意更換整套 DNS 設定。
分應用驗證：瀏覽器正常，不代表其他軟體也正常
瀏覽器、命令列工具、遊戲與桌面辦公軟體可能使用不同的網路堆疊。瀏覽器通常能遵循系統代理；命令列程式則可能依賴環境變數或自行設定代理參數，有些軟體則會忽略系統代理。行動裝置上的客戶端也可能設有應用白名單或排除清單，因此必須用實際需要的應用進行驗證。
Windows 與 macOS
先關閉瀏覽器代理擴充功能，避免它覆蓋系統設定。測試桌面軟體時，查看客戶端是否出現對應程序或目標網域的連線記錄。如果瀏覽器有記錄，但目標軟體完全沒有，請優先檢查軟體本身的代理選項、客戶端接管模式與虛擬網卡權限。受管理的辦公裝置也可能套用組織提供的網路政策，不宜擅自覆蓋。
Android 與 iOS
先確認系統已允許客戶端建立 VPN 連線，再檢查客戶端是否提供並啟用分應用規則。Android 也要留意背景執行與省電限制：切換應用或鎖定螢幕後中斷，和首次連線失敗是不同問題。iOS 的接管範圍則取決於客戶端實作與系統設定，不能直接套用桌面端的設定步驟。
命令列與背景工作
終端機中的請求不會因為瀏覽器能連線，就自動走相同路徑。請確認工具是否讀取代理環境變數，以及它使用本機解析，還是將網域交由代理端解析。別因終端機輸出顯示請求成功，就推斷流量經過了節點；仍應搭配出口與客戶端記錄核對。排程工作的執行環境也可能與互動式終端機不同。
驗證時請執行真實且低風險的操作，例如重新整理應用內容或請求公開資源。單純開啟應用首頁可能命中本機快取，無法證明新請求的路徑。也不要反覆送出付款、發布或其他不可逆操作來測試連線。
看似已連線卻未生效，依現象逐步排查
節點延遲測試通過，只能證明測試請求有收到回應；能否存取目標服務，還受到 DNS、規則、傳輸方式與遠端限制影響。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 等名稱代表不同的協定方案，並不是流量已成功接管的證明。客戶端必須支援訂閱實際提供的協定與設定。
| 現象 | 可能原因 | 下一步 |
|---|---|---|
| 顯示已連線，出口沒有變化 | 檢測網域直連、系統代理未生效，或應用未被接管 | 查看該請求命中的規則與出口 |
| 瀏覽器正常，其他應用失敗 | 應用忽略系統代理、被列入排除項目，或使用不同的傳輸方式 | 檢查應用設定、接管範圍與相關協定支援 |
| 出口已變化，目標網站仍拒絕存取 | 服務的地區政策、帳號限制或出口信譽判斷 | 查看服務提示，別把拒絕存取直接當成代理失效 |
| 切換線路後，看起來仍是舊出口 | 既有長連線尚未重建，或頁面仍顯示舊結果 | 關閉相關應用後重試，再次檢查連線記錄 |
| 鎖定螢幕或切換網路後失效 | 背景執行受限、通道重新連線失敗，或路由未恢復 | 恢復客戶端運作並重新建立連線，再測試目標應用 |
IEPL 專線、中轉與直連描述的是線路路徑或承載方式，不會代替你完成裝置端的流量接管。即使選用專線，錯誤的分流規則仍可能讓請求直連；反過來說，中轉線路也能依設定正常轉送。線路類型不能取代出口、解析與應用層的交叉驗證。
整理檢查結果，再調整設定
排查時每次只變更一項相關設定，並保留原設定以便還原。先確認訂閱匯入成功且節點可用，再檢查目標請求是否進入客戶端，接著核對出口與 DNS，最後處理目標服務本身的提示。如果一開始就同時更換節點、解析器與規則，即使問題暫時消失，也很難找出真正原因。
如需協助，可透過支援頁面提供裝置系統、客戶端名稱、使用模式、異常發生情境及已完成的檢查項目。截圖請遮蔽訂閱連結、使用者名稱、密碼、權杖及其他私人資訊。訂閱連結是設定憑證，請勿貼到公開檢測頁面，也不要將完整連結發布到討論區。
VPNGQ 的使用教學適合處理安裝與匯入訂閱，完整手冊則可協助你進一步確認設定。行銷文案中的「匿名無日誌」是服務的隱私政策說明，不代表瀏覽器登入狀態、網站追蹤或應用帳號資訊會自動消失。確認線路生效與管理帳號隱私，是需要分開處理的兩件事。