VPN 连上了怎么确认生效？先查出口 IP，再查 DNS，最后验证实际使用的应用。客户端显示“已连接”，通常只能说明连接状态正常，不能证明所有请求都走了目标线路。判断时应把连接状态、流量去向与分流规则分开核对。
连接状态与流量路径
客户端可能使用系统代理，也可能通过虚拟网络接口接管流量。系统代理主要向遵循该设置的应用提供代理入口；不读取系统代理的程序，仍可能直接联网。虚拟网络接口常见于 VPN 或 TUN 模式，但其接管范围仍取决于路由、应用排除项和分流规则，不能只凭模式名称判断。
“全局”也需要看具体含义。有些客户端的全局模式，只是让进入代理核心的请求统一选择代理出口，并不自动接管设备上的所有应用。规则模式则会按域名、目标地址或应用等条件分配路径，部分请求直连可能正是配置要求。
Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 等名称描述的是不同代理协议及其传输机制，不等于流量接管范围。订阅导入成功只说明客户端获得了配置；当前选中哪条线路、是否启用系统代理或隧道模式，仍要单独确认。
出口 IP：先建立对照
- 记录未连接时的结果。断开客户端，用浏览器打开可信的公网 IP 查询页面，记下公网地址、网络归属与地区。不要把系统设置中显示的局域网地址当作公网出口。
- 连接后重新查询。选定线路，确认所需的代理或隧道开关已启用，重新加载相同查询页面。必要时打开新的浏览窗口，避免把旧页面内容当成新结果。
- 核对查询请求的分流。若地址未变，查看客户端连接记录，确认查询域名走的是直连还是代理。若查询站被规则设为直连，它只能反映直连出口，不能代表其他网站。
- 与实际目标交叉验证。在目标网站重新发起请求，再对照客户端的连接详情。若客户端提供规则命中和出口信息，优先用这些信息解释路径，而不是只看地区标签。
IP 改变说明这次查询请求的公网出口发生了变化，但不代表整台设备都已被接管。IP 所属地区也是数据库推断结果，可能存在更新延迟；线路入口、出口和数据库标注不一定使用相同地名。因此，地区显示不符时，应先核对实际出口与线路说明，而不是直接认定连接失效。
还应留意 IPv4 与 IPv6。若查询页面支持分别检测，应检查两类连接的表现。某类请求经过线路、另一类按本地路径发送，可能造成结果交替变化。是否属于异常，要结合客户端对该地址族的支持与预期策略判断，不建议不了解网络环境就随意关闭系统功能。
DNS：核对解析去向
DNS 用来把域名解析成网络地址，它与网页请求不一定走同一条路径。浏览器可能启用加密 DNS，客户端可能接管解析，系统也可能继续使用本地网络提供的解析器。网页出口正确，并不能直接证明 DNS 路径符合预期。
连接后，在浏览器运行可信的 DNS 检测页面，观察它列出的递归解析器及网络归属。将结果与客户端的 DNS 设置、浏览器的安全 DNS 设置一起看。如果预期所有解析都经隧道处理，却仍出现本地网络解析器，就需要继续排查是否存在绕行。
不要仅凭解析器所在国家判断是否泄漏。公共解析服务可能使用就近接入与分布式出口，检测页显示的位置也可能来自地址数据库。反过来，解析器看起来位于目标地区，也不能独自证明请求路径安全。关键是解析由谁发起、通过什么通道传输、是否符合既定配置。
命令行中的域名查询结果可帮助了解系统解析设置，但未必复现浏览器或代理客户端的解析行为。例如，应用可能通过代理远程解析域名，或使用自己的解析服务。系统解析器列表适合提供线索，不宜直接当作 DNS 泄漏的最终证据。
分应用验证：浏览器之外
浏览器测试通过后，应在真正要使用的应用中重新发起联网操作，例如刷新远程文档、重新连接工作服务或加载目标页面。已有连接可能沿用切换线路前的路径，因此修改配置后，必要时退出并重新打开应用，再观察新连接。
- ✅ 浏览器：核对代理扩展、安全 DNS 与系统代理是否存在覆盖关系；隐私窗口可以减少部分缓存干扰，但不会自动改变路由。
- ✅ 桌面应用：检查应用自身是否需要填写代理设置，以及客户端是否支持接管此类流量。浏览器可用而桌面应用失败时，优先排查接管范围。
- ✅ 移动应用：确认系统中的 VPN 连接仍有效，查看客户端是否配置了按应用分流或排除项，并在切换网络后重新验证。
- ✅ 命令行工具：检查工具是否读取代理环境变量或独立配置。终端不会因为浏览器已经使用代理，就必然走相同出口。
- ❌ 只看客户端延迟：探测成功只能说明对应探测目标可达，不能替代目标应用、DNS 与出口检查。
Windows 与 macOS 的系统代理并不被所有软件采用；iOS 与 Android 上的实际接管范围取决于客户端实现和系统设置；Linux 则需要留意桌面代理、终端环境变量与路由是否一致。应以所用客户端的说明为准，不把某个平台的操作直接套用到另一平台。
常见结果与排查方向
| 现象 | 可能原因 | 下一步核对 |
|---|---|---|
| 显示已连接，查询 IP 未变 | 查询域名直连，或应用未被接管 | 查看规则命中、系统代理及隧道开关 |
| 浏览器出口正确，其他应用失败 | 应用不读取系统代理，或有独立设置 | 核对应用代理配置、排除项与新连接记录 |
| 网页出口正确，DNS 结果不符合预期 | 解析由系统、浏览器或应用单独处理 | 逐项检查 DNS 接管与安全 DNS 设置 |
| 出口地区显示不一致 | 数据库标注差异，或实际选择了其他出口 | 核对当前线路、连接记录及其他查询来源 |
| 部分网站可用，目标服务报错 | 目标规则、账户权限或服务自身限制 | 记录错误提示，区分网络失败与业务拒绝 |
| 切换网络后出现异常 | 旧连接失效，或路由与解析状态尚未恢复 | 重新连接客户端，再重建应用连接并复测 |
如果需要临时调整为更广的代理范围来定位问题，先记下原有设置，测试完成后恢复。每次只改一个变量，例如先改接管模式，再检查 DNS；同时更换线路、浏览器设置和规则，会让结果失去可比性。
目标网站报出地区或账户错误，不一定说明 VPN 没有生效。服务可能结合账户地区、登录状态、支付资料及自身政策作出判断。出口检测解决的是“请求从哪里发出”，不是对目标服务可用性的保证。
结果边界与复测记录
出口 IP 与 DNS 检查是路径验证，不是完整的隐私审计。它们不能证明服务端如何处理数据，也不能证明断线后一定阻止直连。VPNSound 的隐私话术为“不记录日志”，这是服务策略陈述，不能由一次浏览器检测替代验证，更不应被理解为匿名性的绝对保证。
如果客户端提供断线保护，可在了解其作用后单独测试：主动断开线路，观察原本应经过隧道的应用是否停止联网。测试前保存工作，避免影响正在传输的内容。没有确认该功能存在时，不要默认客户端会阻止所有回落到本地网络的请求。
提交排查信息时，记录平台、客户端版本、连接模式、线路名称、目标应用和错误提示即可。订阅链接可能包含访问凭据，不要贴到公开检测网站；截图前遮住订阅地址、用户名与完整公网 IP。如需协助，可通过用户面板工单说明复现过程。