先分清:连上了不等于走对线路
在客户端里点下连接、状态栏变绿,只代表本机到节点的隧道建立成功。它不保证出口 IP 落在你选的地区,不保证域名在远端解析,也不保证所有应用都被接管。
隧道建立成功、节点实际不可用、订阅到期、分流规则命中直连,都可能让流量绕回本地出口,而客户端界面不会有任何提示。所以「已连接」是一个动作的结果,不是线路生效的证明。
要确认线路真的生效,需要回答三个具体问题:流量从哪个 IP 出去、域名在哪里解析、哪些应用进了隧道。
把这三件事展开成可核对的标准,就是下面这份清单。三项都满足,才算流量确实走了国际线路。
- ✅ 查询到的出口 IP 归属地与所选线路地区一致;
- ✅ 解析服务器位于线路出口一侧,列表里没有本地运营商 DNS;
- ✅ 需要走线路的应用全部命中代理规则,浏览器与终端查到的结果一致;
- ❌ 只看到客户端显示「已连接」,其余三项都没有核对过。
第一步:核对出口 IP 与落地地区
出口 IP 是最直接的一项验证:断开线路,记下当前公网 IP 与归属地;连上线路后再查一次,对比两次结果。查询入口可以是在搜索引擎里搜「我的 IP」,也可以在终端里用一条命令。
# 连上线路后执行,查看当前出口 IP
curl -s https://ipinfo.io/ip
# 备用查询入口
curl -s https://ifconfig.me/ip通过的标准很明确:连上后查到的 IP 归属地,应该与所选线路的地区一致。如果查到的还是本地运营商的 IP,说明流量根本没有进入隧道,后面两步不用急,先按最后一节排查。
有一个容易误判的点是 IPv6:不少客户端默认只接管 IPv4,IPv6 请求会直连出去,而查询站点可能优先返回 IPv6 地址,看起来像「连上了但没生效」。处理方式是在客户端里开启 IPv6 接管,或者临时禁用 IPv6 再测一次。
第二步:做一次 DNS 泄漏检查
隧道里的流量有军工级加密,但 DNS 请求是独立于网页流量的一条路径。如果域名解析仍然发给本地运营商的 DNS,就出现了 DNS 泄漏:IP 走了线路,域名却在本地解析。结果是解析结果被就近调度回本地 CDN 节点,访问变慢甚至打不开;解析路径本身也会暴露访问意图。
检查方式:搜索「DNS 泄漏测试」,打开任一测试页,看返回的解析服务器列表。列表里出现本地运营商或本地城市的 DNS,就是泄漏;正常应该看到线路出口地区的解析服务器。
终端里也能看:nslookup 的输出会带一行 Server,连接线路前后各执行一次,对比这行地址有没有变化。
# 连接线路前后各执行一次,对比 Server 一栏
nslookup example.com出现泄漏时,在客户端里开启「远程 DNS」或「使用线路 DNS」,让解析请求也走隧道;如果客户端提供 DNS 处理模式的选项,选由隧道接管。另外,浏览器内置的加密 DNS(DoH)会绕开系统设置,验证时先把它统一,或暂时关闭。
第三步:分应用与分流验证
分应用代理在 Android 客户端里最常见:只有勾选的应用进隧道,其余应用直连。桌面端更多依赖分流规则:客户端按规则库把域名和 IP 分成代理、直连两组,规则命中错了,目标站点就会走本地出口。
验证按四步走:
- 打开客户端的连接日志或规则命中记录;
- 访问一个需要走线路的目标站点,在日志里找到对应条目,确认命中的是代理规则,而不是直连;
- 对关键应用逐个重复:浏览器里查一次出口 IP,终端里查一次出口 IP,对比两者是否一致;
- 结果不一致的应用,回到分应用列表或自定义规则里单独调整,再复测一次。
浏览器和终端查到不同出口是常见现象:终端默认不走浏览器的代理设置;如果客户端是 SOCKS 或 HTTP 代理模式,终端需要单独配置代理环境变量,否则查到的还是本地 IP。这不是线路问题,是接管范围问题。
「看起来连上了其实没走」的常见情况
下面这些现象的共同点是:客户端的连接状态都正常,但流量没有按预期走线路。按现象对照原因排查,比反复重连有效得多。
| 现象 | 实际原因 | 处理方向 |
|---|---|---|
| 客户端显示已连接,查到的仍是本地 IP | 节点握手失败后回退直连,或订阅已到期、流量用尽 | 换一条线路重测,并检查订阅状态 |
| 网页能打开,但视频一直缓冲 | 域名在本地解析,被调度回本地 CDN 节点 | 开启远程 DNS,重跑一次泄漏检查 |
| 部分应用走了线路,部分没有 | 分应用代理没勾选,或分流规则命中直连 | 对照分应用列表与规则命中日志 |
| 浏览器与终端查到的出口不一致 | 浏览器装了代理插件,或有独立代理设置 | 统一代理设置后重新查询 |
| 只查到 IPv6 地址是本地 | 客户端没有接管 IPv6 | 开启 IPv6 接管,或临时禁用 IPv6 |
| 连上后国内网站反而打不开 | 全局模式把所有流量送出,或规则库把国内域名判成代理 | 切回规则分流模式,更新规则库 |
不同平台的验证重点
同一套验证流程,在不同系统上的注意点并不一样,按平台补一遍能少走弯路。
Windows 与 macOS
桌面客户端常见两种接管方式:系统代理与 TUN 模式。系统代理只覆盖读取系统代理设置的应用,终端和部分软件会绕过;TUN 模式接管更彻底,但要注意别和系统代理同时开启,两者叠加容易出现规则冲突。验证前先确认客户端用的是哪种模式。
Android 与 iOS
移动端走系统 VPN 配置,连接状态在系统设置里也能看到。Android 支持分应用代理,验证时重点核对勾选列表;iOS 一般没有分应用开关,更依赖规则分流,验证重点放在 DNS 与规则命中上。另外,蜂窝网络下的 DNS 由运营商下发,泄漏检查在移动数据下更值得做一遍。
Linux 与路由器
Linux 上多用命令行客户端,注意 systemd-resolved 会接管 DNS,resolvectl status 能看到当前使用的解析服务器,确认它已经被隧道接管。线路部署在路由器上时,整网设备共享同一个出口,在任意一台设备上验证即可,但路由器自身的 DNS 转发设置决定了解析路径,泄漏检查要按路由器这一层来看。
VPNYN 的客户端覆盖 Windows、macOS、iOS、Android、Linux,订阅导入后就能按上面的流程逐项验证;同一个账号不限台数同时在线,多台设备可以并行复测。
验证不通过时的排查顺序
按下面的顺序走,每一步都能缩小一次范围,避免同时改一堆设置。
- 换线路重测。同一份配置换一条线路,恢复正常说明问题在节点侧,不必动本机设置。
- 检查订阅状态。订阅到期或流量用尽,表现就是「连得上但没有流量」,先确认这两项。
- 停用浏览器代理插件与内置加密 DNS,排除浏览器层的独立设置。
- 检查 DNS 接管。在客户端里开启远程 DNS,重新跑一次泄漏检查。
- 检查 IPv6。开启接管或临时禁用,再测一次出口 IP。
- 重启客户端与网络。隧道与 DNS 配置会随连接重建,路由器设备也可以重启一次。
- 记录日志。把客户端日志和三项验证结果一起提交给客服,定位速度会快很多。
这套流程不需要额外工具:一个 IP 查询入口、一个 DNS 泄漏测试页、客户端的连接日志,就足够覆盖全部三项。换线路之前,也可以先看一眼线路列表,挑一条地区对得上的线路再测。