VPN 是否生效：先区分连接与应用出口
VPN 连上了却没生效，先做出口 IP 与 DNS 检测，再验证目标应用。客户端的连接提示只是起点；浏览器能打开网页，也不能证明其他应用使用了相同线路。
排查需要分清几个层面：客户端能否访问节点，操作系统是否把流量交给客户端，分流规则是否选中了代理，以及网站最后识别到什么出口。部分客户端的“已连接”只表示代理核心启动或配置启用，并不代表每个请求都完成了远端连接。
因此，“生效”应有明确范围：是浏览器访问国际网站，还是桌面应用也要经过线路？规则模式通常允许部分请求直连。看到国内网站仍使用本地出口，未必是故障；关键是目标请求是否符合预期规则。
判断结论：出口 IP 是请求路径的证据，DNS 是域名解析路径的线索，目标应用的连接记录才说明该应用如何分流。把这些结果对照起来，比反复点击连接按钮更有效。
出口 IP 检测：连接前后做对照
出口 IP 是检测网站看到的请求来源地址，不是设备在家庭网络里的局域网地址。可以先打开本站的网络检测页面，记录查询结果，再启用客户端，使用相同浏览器和检测入口重新查询。不要只凭地址旁的国旗判断。
- 暂停其他代理工具与浏览器代理扩展，断开当前客户端，记录本地网络的出口地址和归属信息。企业设备应先确认管理策略，不要擅自关闭企业连接。
- 在客户端选定目标线路，确认系统代理或虚拟网卡接管已启用。仅选中节点，不一定会改变系统的请求路径。
- 关闭原检测标签页，再打开检测页面重新查询。必要时清除该站点缓存，避免把旧页面当作新结果。
- 对比地址是否变化，再核对客户端连接记录中的目标域名、命中规则和出口。检测站本身也可能被规则设置为直连。
地址变化，说明这次检测请求使用了不同出口；它不证明所有流量都被接管。地址没有变化，则需要区分检测站被直连、浏览器绕过系统代理、代理设置未启用等情况。可临时切换到全局代理模式复测，结束后恢复原规则。
如果检测页面分别显示 IPv4 与 IPv6，应分别核对。有些配置只接管其中一种地址族，应用可能优先走另一条路径。先检查客户端对 IPv6 的路由和 DNS 支持，不要把关闭 IPv6 当作所有设备都适用的长期办法。
DNS 检测：解析位置不等于访问出口
DNS 负责把域名解析成地址，随后应用才向目标地址建立连接。两条路径可以不同：网页请求经过代理，解析请求却仍交给本地网络；也可能浏览器使用安全 DNS，而其他应用继续使用系统解析器。
DNS 泄漏通常指本应按预期路径处理的域名查询，仍通过本地网络发送给非预期解析器。检测时应使用可信的 DNS 测试页面，分别记录连接前后的解析器信息，再对照客户端 DNS 设置。普通 IP 查询页面若没有明确提供 DNS 测试，不能用于判断解析路径。
DNS 测试常通过不同测试域名观察递归解析器。结果中出现的地址可能是解析服务的出口，并非设备直接连接的那个地址。公共解析服务还可能使用任播路由，所以解析器地区与节点地区不同，不自动等于泄漏。
- ✅ 检查客户端是否开启 DNS 接管，以及代理域名与直连域名分别使用什么解析方式。
- ✅ 检查浏览器的安全 DNS 设置，确认它是否采用独立于系统的解析路径。
- ✅ 修改配置后重启相关应用，必要时清理系统 DNS 缓存，再重新访问测试域名。
- ❌ 不要看到公共解析器名称就认定泄漏，也不要把一次正常结果当作所有应用的长期保证。
浏览器使用加密 DNS，可减少解析内容在其传输链路上的暴露，但并不自动让网页请求经过 VPN。反过来，网页出口变了，也不代表 DNS 已接管。两项都要独立检查。
分应用验证：系统代理与虚拟网卡的差别
系统代理向应用提供代理设置，是否采用取决于应用实现。虚拟网卡模式通常通过路由接管更多 IP 流量，但仍受排除项、权限、地址族和客户端实现影响。全局代理是规则选择策略，不必然等于系统层面接管所有应用。
| 方式 | 通常影响什么 | 验证重点 |
|---|---|---|
| 系统代理 | 遵循系统代理设置的应用 | 系统设置是否启用，目标应用是否读取设置 |
| 浏览器扩展代理 | 该浏览器内符合扩展规则的请求 | 扩展规则与浏览器设置是否覆盖客户端配置 |
| 虚拟网卡模式 | 被路由规则接管的 IP 流量 | 网卡是否启动，是否存在路由排除或权限问题 |
| 应用自设代理 | 该应用支持并启用代理的连接 | 代理地址、类型与应用支持范围是否匹配 |
验证桌面应用时，先退出并重新启动，再执行明确的网络操作，例如刷新内容或打开远端文件。同步查看客户端连接记录：有没有该应用的请求，匹配了什么规则，走的是直连还是目标节点。没有记录只能说明尚未观察到，不能直接认定应用没有联网。
Windows 与 macOS 上，系统代理不一定覆盖命令行和自行管理网络的应用；Linux 上，桌面代理设置与应用读取的环境变量也可能不同。iOS 与 Android 常通过系统 VPN 接口接管流量，但具体范围仍取决于客户端配置和系统限制。优先使用所用客户端的操作说明，不套用其他平台的截图。
连上却没走线路：常见现象与处理顺序
订阅已导入，但未启用接管
订阅链接用于获取节点和规则配置，导入成功不等于隧道可用。确认当前配置已激活、节点仍在配置中、客户端支持相应协议，并检查系统代理或虚拟网卡状态。协议负责传输方式，不负责自动替每个应用决定路由。
订阅地址可能包含账户访问凭据，不要粘贴到公开检测网站或公开截图。需要协助时，可通过面板工单提交隐藏敏感信息的错误日志。
规则命中直连，或多个工具互相覆盖
有些域名按配置就是直连，有些请求因规则未匹配而走默认出口。先查命中规则，再调整目标域名策略。多个代理客户端、浏览器扩展或企业连接同时运行时，可能改写系统设置或路由；应明确由哪个工具接管，逐项排除冲突。
浏览器正常，目标平台仍提示地区不符
平台可能综合账号地区、付款资料、定位权限、会话缓存和出口 IP 判断地区，也可能限制特定出口。先确认目标请求已经经过线路，再检查平台侧条件。换线可以作为对照实验，但出口 IP 改变不等于必然获得某个地区片库。
排障收尾：保留证据，再判断线路问题
建议按“本地网络可用 → 客户端接管 → 检测请求出口 → DNS 路径 → 目标应用规则”的顺序检查。每次只改一个设置，记录变更前后的结果；同时改节点、DNS 和模式，会让成功或失败都难以解释。
如果出口与规则均符合预期，目标应用仍失败，再考虑线路可达性、平台限制或应用本身的错误。IEPL 专线、中转与直连描述的是网络路径组织方式，不能代替应用验证，也不构成某个平台持续可用的保证。
向客服说明设备平台、客户端名称、所选配置、问题发生时的网络环境及已做的对照步骤。用“浏览器出口已变化，桌面应用日志仍命中直连”这类具体描述，比只说“连上没用”更容易定位。配置入口可参阅快速上手，地区选择可参阅观影指南。