怎么确认 VPN 真的生效了?
查 IP、查 DNS 完整方法

很多用户遇到的情况是:客户端显示「已连接」,但打开某个网站,看到的出口 IP 还是本地的,或者页面加载依然很慢。这不是玄学,而是「连接状态」和「流量走向」本来就是两件事。客户端亮绿灯只说明 VPN 握手成功,真正决定你有没有「走出去」的,是路由表、DNS 解析,以及具体某个应用是否真的把数据交给了代理进程。

下面这套流程不需要任何网络专业知识,照着做,五分钟内就能定位问题出在哪一环。

第一步:先查出口 IP 归属地

IP 是最直观的指标。你选的是香港线路,出口 IP 就应该是香港;选的是洛杉矶,出口 IP 就该在美国。如果 IP 归属地还是你本来的城市,说明流量压根没进隧道。

操作步骤:

1. 在电脑或手机上连接 VPN。
2. 打开任意 IP 查询页面(ip.sb、ipinfo.io、ifconfig.me 都可以)。
3. 对比页面显示的「国家 / 地区」与你所选的线路地区。

如果你是命令行用户,一条命令就能拿到结果:

curl ifconfig.me

输出的一串地址就是当前出口 IP,再用 whois 或 IP 数据库查归属地即可。

需要留意的是:IP 归属地由运营商的地址库决定,城市级别可能不精确,但国家/地区级别基本可靠。如果国家都对不上,那就不用继续往下查了,先解决路由问题。

第二步:再查 DNS 解析走向

IP 走了隧道,DNS 不一定走。如果 DNS 请求还是发给本地运营商,就会出现「IP 是美国,但域名解析结果却是被劫持的页面」这种怪现象——这叫 DNS 泄漏。

验证方法:

1. 在已连 VPN 的设备上,打开系统网络设置,查看当前 DNS 服务器地址。
2. 理想状态:DNS 服务器应该是 VPN 服务商分配的地址,或你手动配置的加密 DNS。
3. 如果 DNS 还是 192.168.x.x 或运营商默认地址,说明 DNS 没走隧道。

命令行可以用 dig 或 nslookup 查一个测试域名,观察返回的 DNS 服务器:

nslookup example.com

更严谨的做法是访问 DNS 泄漏测试页面,它会同时检查 IPv4、IPv6 下的 DNS 解析路径,并列出所有能收到的 DNS 请求来源。如果列表里出现了你本地 ISP 的名字,那就是泄漏了。

第三步:分应用逐个验证

全局代理 ≠ 所有应用都走代理。这是最常见的误解。

很多应用不读系统代理设置,而是用自己的网络栈。典型的有:

• 游戏客户端(尤其是国内代理的网游)
• 语音通话软件(走 UDP)
• 部分国内视频 App(直连反而更快)

验证步骤:

1. 先确定你要「加速」的是哪个应用。
2. 在 VPN 客户端里找到「分应用代理」或「分流规则」设置。
3. 把目标应用加入代理列表,把不需要的加入直连列表。
4. 重开该应用,再查一次它的出口 IP。

如果你用的是订阅链接导入的客户端,分流规则通常写在订阅配置里。不同客户端的规则语法不一样,但基本逻辑是「域名/IP 段 → 代理或直连」,改完记得保存并重连。

「已连接但未生效」的四种典型情况

这里列出最常见的四种「灯亮了但没走出去」的情况,以及对应的排查方向:

现象	原因	排查动作
浏览器 IP 变了,但某 App 还是本地 IP	该 App 没走系统代理	在客户端里把该 App 加入分应用代理
查 IP 正常,但网页打开很慢	出口 IP 被 CDN 识别为数据中心	换一条同一地区的其他线路
只有部分网站能访问	分流规则把目标域名写进了直连	检查规则表,把该域名改成代理
浏览器里查 IP 正常,但 WebRTC 检测显示真实 IP	WebRTC 绕过代理直接发 UDP 包	在浏览器里禁用 WebRTC 或安装防护插件

排查完之后,可以用下面这份清单快速核对:

• ✅ 出口 IP 归属地与所选线路地区一致
• ✅ DNS 服务器地址来自隧道,而非本地运营商
• ✅ 目标应用已被加入分应用代理列表
• ✅ 系统未开启 IPv6,或 IPv6 也已走隧道
• ✅ 浏览器 WebRTC 检测未暴露真实 IP

不同场景下的验证重点

不同使用场景,验证的侧重点不一样。这里把常见场景和对应动作列成一张表:

场景	首要验证项	次要验证项
访问国际网站	出口 IP 归属地	DNS 是否泄漏
使用 ChatGPT 等 AI 工具	出口 IP 是否为目标地区	是否被风控(页面提示地区不可用)
看流媒体	出口 IP 是否为对应区	CDN 识别结果(能否看到该区片源)
游戏加速	延迟与丢包	UDP 是否走隧道
办公远程连接	出口 IP 稳定性	分应用代理是否遗漏