VPN连上了却没生效，先查出口 IP，再查 DNS，最后做分应用验证。连接图标只能说明客户端的某个连接环节已建立，不能证明浏览器、桌面软件和后台请求都按预期经过线路。判断是否生效，要把“连接成功”和“流量接管成功”分开。
最可靠的办法不是反复切换节点，而是保留未连接时的对照结果，再用同一应用、同一目标进行复测。以下流程适用于系统 VPN，也适用于通过订阅导入配置、使用系统代理或虚拟网卡的客户端。实际开关名称以客户端界面为准。
先明确：连接状态究竟证明了什么
有的客户端在代理核心启动后就显示运行中；有的会验证与远端节点的握手；系统 VPN 通常还会建立隧道接口。这些状态对应不同环节，都不能单独回答某个应用走哪条路径。系统代理、路由表、应用自身设置和分流规则，仍会决定最终出口。
| 看到的现象 | 可以说明 | 还不能说明 | 下一步检查 |
|---|---|---|---|
| 客户端显示已连接 | 客户端报告连接环节完成 | 全部应用已被接管 | 核对运行模式与路由 |
| 浏览器出口 IP 改变 | 该次网页请求使用了不同出口 | 其他软件与 DNS 也走同一路径 | 测试目标应用和解析路径 |
| DNS 检测出现异地解析器 | 检测请求经过相应递归解析服务 | 所有域名解析均符合策略 | 结合客户端 DNS 配置与日志 |
| 目标网站仍提示地区限制 | 网站未允许此次访问 | 隧道一定没有生效 | 核对出口、账户地区和网站规则 |
因此，“能打开网页”和“全部流量符合预期”不是同一件事。先确定目标：是只让指定网站经由线路，还是希望受客户端支持的应用流量统一进入隧道。目标不同，合格结果也不同。
出口 IP：用同一浏览器做前后对照
- 建立基线。断开客户端，在浏览器查询公网出口 IP，记下地址、所属网络和大致地区。检测页可能包含网络信息，请勿把完整结果随意发布。
- 连接后重新请求。选择目标线路，确认客户端启用预期的系统代理或隧道模式，重新加载检测页。避免只看仍保留在页面中的旧结果。
- 核对规则。若 IP 未变化，先在客户端连接列表中查找该检测域名，看它被判为直连还是代理。检测网站被直连规则命中时，结果不代表其他网站也直连。
- 复核地址族。设备同时具有 IPv4 和 IPv6 时，应分别核对。只看到其中一种出口改变，不能推断另一种流量也已进入线路。
- 交叉验证。使用不同检测来源核对地址。地理位置数据库可能更新滞后，国家或城市标签不一致时，先比较实际地址与所属网络，不要仅凭地图判定失败。
如果开启了浏览器代理扩展，测试系统客户端时应先停用冲突的扩展，并记录原设置。企业网络、其他 VPN 或安全软件也可能改写路由；排查时尽量只保留待验证的网络接管工具，不要擅自关闭组织要求的安全措施。
DNS：区分正常解析与意外泄漏
DNS 用于把域名解析成连接所需的地址。网页内容经过代理，并不必然意味着域名查询也走代理。应用可能使用系统 DNS、浏览器安全 DNS，或客户端提供的解析服务；某些连接方式会将域名交给远端解析，另一些会先在本地解析。
所谓 DNS 泄漏，应相对于预期策略判断。如果本来希望相关域名通过隧道解析，却意外发往本地网络的解析器，就需要检查配置。反过来，规则模式刻意让本地网站在本地解析，并不能仅因出现本地解析器就认定故障。
- ✅ 先查看客户端的 DNS 模式、上游解析配置，以及 DNS 查询是否被接管；名称可能是 DNS 劫持、DNS 路由或类似选项。
- ✅ 使用 DNS 检测页面触发新的测试查询，再与断开连接时的结果对照，同时查看客户端是否有对应解析记录。
- ✅ 检查浏览器的安全 DNS 设置。加密 DNS 保护的是查询传输，不能单独证明解析请求经过了 VPN 出口。
- ❌ 不要仅凭解析器所在国家与节点不同，就认定泄漏。公共解析服务可能使用分布式节点，检测结果也可能反映其网络归属。
- ❌ 不要随意替换为陌生 DNS 地址。先确认客户端文档要求，避免破坏内网域名、公司服务或既有分流策略。
DNS 检测页通常观察到的是向其测试域名发起查询的递归解析器，不一定就是设备直接连接的那台服务器。系统设置、浏览器设置与客户端日志需要一起看。缓存还可能让查询暂时不出现；应重新触发测试，而不是把日志空白直接当作异常。
系统代理与 TUN：为什么只有部分应用生效
系统代理是向愿意遵循该设置的应用提供代理入口。浏览器往往支持，但某些桌面软件、命令行工具或游戏会忽略它，或采用自己的代理配置。HTTP 代理与 SOCKS 代理的能力也取决于客户端和应用实现，不能只看“已开启系统代理”就认为所有连接都被接管。
TUN 模式通过虚拟网络接口配合路由接管流量，覆盖范围通常比系统代理更广，但仍受应用排除、目标网段、DNS、权限和协议支持影响。它不是“所有流量必然经过远端”的同义词。规则模式下，进入 TUN 的流量也可能被客户端按规则直连。
按应用重新建立证据
先彻底退出目标应用，再连接线路并重开应用，以便排除旧连接复用。随后执行一个容易识别的操作，例如刷新远端内容或重新连接服务，在客户端连接列表中查找应用进程或目标域名，核对命中的规则、策略组和最终节点。
若客户端没有连接日志，使用目标应用自身的网络诊断或可信的远端会话记录辅助判断。仅凭软件界面语言、推荐内容或访问速度变化，不能准确反推出口。不要为测试将访问令牌、订阅链接或密码发送到陌生检测工具。
Windows 上，一些程序使用独立的代理栈；macOS 上，要确认客户端需要的网络权限已批准。iOS 和 Android 则应检查系统 VPN 状态，以及客户端是否配置了按应用排除。Linux 的桌面代理设置与终端环境变量也可能互不关联，必须分别验证。
用系统命令辅助检查，但不把配置当结果
下面的命令只读取相关配置，不会替你修改网络设置。它们帮助解释应用可能采用什么路径，但不能代替出口 IP 与应用实际连接验证。请在对应系统的终端执行，不要把其他平台的命令直接粘贴运行。
macOS：查看系统代理与解析配置
scutil --proxy
scutil --dns前者显示系统代理相关设置，后者显示解析器与作用范围。看到代理地址只代表配置存在；应用是否遵循、代理入口是否可用，仍需实测。系统可能同时列出多个解析器，不能把某一行当作所有请求的唯一去向。
Windows：分别查看 WinHTTP 与 DNS 配置
netsh winhttp show proxy
Get-DnsClientServerAddress后一条在 PowerShell 中执行。WinHTTP 设置不等同于浏览器通常使用的用户代理设置，因此输出显示直接访问，并不能证明浏览器没有代理。DNS 地址列表也只显示接口配置，未必包含浏览器安全 DNS 或客户端内部解析路径。
Linux：核对终端代理环境变量
env | grep -i proxy检查是否存在代理变量或绕过列表。没有输出不代表没有隧道；存在变量也不保证所有工具都会读取。分享命令结果前，请遮盖内部地址、用户名和可能包含凭据的代理 URL。
常见误判：按现象定位故障环节
能更新订阅，却无法访问目标网站
订阅更新成功只说明配置获取成功，不说明其中节点当前可连接，也不说明正在使用刚导入的配置。核对当前配置文件、选中节点与连接日志。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 等协议需要客户端具有对应支持；能打开订阅链接，不代表能正确处理全部条目。
浏览器正常，其他软件仍失败
优先检查应用是否忽略系统代理、是否有独立代理设置、是否被排除，以及它需要的流量类型是否受当前方案支持。不要仅靠切换节点解决接管范围问题；若请求根本未进入客户端，换出口通常不会改变结果。
出口已改变，网站仍拒绝访问
网站还可能参考账户地区、历史会话、定位授权或出口网络信誉。先在遵守网站规则的前提下复核账户与会话，不要持续快速切换地区。出口改变只能证明网络路径变化，不能保证网站接受该出口或账户。
换成专线，结果仍然一样
IEPL 专线、中转与直连描述的是线路传输组织方式，不是应用接管方式。它们不会自动修正浏览器扩展冲突、DNS 配置或错误分流。延迟较低、测速较快也不等于路径验证通过；应先解决流量去向，再讨论传输表现。
判断结论与提交排查信息
判断标准：目标应用的实际请求命中预期规则、使用预期出口，相关 DNS 查询也符合设定策略，才能对这次测试作出“已生效”的结论。浏览器通过验证，不等于所有应用通过；网站拒绝访问，也不等于 VPN 没有生效。
需要协助时，整理设备系统、客户端名称、当前接管模式、故障应用、目标域名，以及连接前后观察到的差异。附上经遮盖的规则命中或错误日志，并说明是否存在其他 VPN、代理扩展或企业网络要求。不要提交完整订阅链接、密码或访问令牌。
处理顺序保持固定：先确认配置与节点，再检查流量接管，然后核对出口和 DNS，最后排查目标服务自身限制。每次只调整一个相关设置，复测后记录结果。这样更容易找到故障边界，也能避免为解决单个应用的问题，反而改变其他应用原本正确的路径。
客户端安装与订阅导入可查看使用教程；需要了解 VPNBoat 的服务范围与常见操作，可查看常见问题。登录面板后获取客户端和订阅，具体平台的获取条件以面板为准。