確認 VPN 是否生效，先分清連線狀態與流量路徑
要確認 VPN 是否生效，需分別檢查出口 IP、DNS 與各應用程式的流量。連線提示只能表示用戶端目前處於某種連線狀態；目標應用程式是否經過 VPN、DNS 查詢送往何處，以及出口是否符合預期，都需要透過實際請求確認。
代理用戶端與系統層級 VPN 的流量接管範圍可能不同。系統代理是提供代理入口給遵循相關設定的應用程式，並不會強制所有程式使用；瀏覽器擴充功能通常只影響該瀏覽器。TUN 模式透過虛擬網卡與路由規則接管符合條件的流量，但仍會受到排除應用程式、路由規則及 IP 位址版本設定影響。只憑「瀏覽器可以開啟」來判斷整台裝置的連線狀況，容易忽略這些差異。
測試前先釐清目標：是讓特定應用程式使用國際線路，還是讓預設流量全部進入通道？規則模式可以設定特定網站直連，這不代表故障。只有實際路徑與設定目標不一致時，才需要進一步排查。
出口 IP：比較連線前後的結果
出口 IP 是目標網站看到的請求來源，不等於本機區域網路位址，也不一定等於訂閱設定中的伺服器位址。訂閱中的位址可能是中轉入口，實際出口可能位於其他位置。檢查時，應在相同工具、瀏覽器與網路條件下比較結果。
- 中斷用戶端連線，並暫時停用瀏覽器代理擴充功能。使用可信任的公網 IP 查詢工具，記下目前的出口 IP、網路業者，以及工具是否分別顯示 IPv4 和 IPv6。
- 連線至選定線路，並確認系統代理或 TUN 已依照目標啟用。使用規則模式時，檢查查詢工具所連線的網域是否確實符合代理規則。
- 重新執行查詢。不要只看舊分頁顯示的結果；必要時開啟新的瀏覽器工作階段，排除快取頁面與既有連線的影響。
- 查看用戶端連線紀錄，確認查詢請求符合的規則、策略組及實際出口線路，再與查詢結果比對。
- 切換到出口地區不同的線路後再次查詢。如果結果始終沒有變化，先檢查流量接管範圍與規則，不要直接認定線路失效。
國家或地區標示只能作為參考。IP 地理資料庫可能更新較慢，不同查詢工具的結果也可能不同；同一地區的不同線路也可能共用出口。更可靠的依據是請求紀錄明確顯示流量使用所選策略，而且查詢到的網路歸屬與該線路出口相符。延遲高低不能取代出口驗證。
如果 IPv4 已切換，但 IPv6 仍顯示本地網路，先確認用戶端是否接管 IPv6，以及應用程式是否優先使用 IPv6。若要接管所有流量，請依照用戶端說明設定 IPv6 路由，或啟用相應的保護選項。只查詢 IPv4 的網頁，無法說明 IPv6 的連線路徑。
DNS 洩漏：確認解析路徑是否符合預期
DNS 的用途是將網域名稱解析為 IP 位址。瀏覽器請求可以經過代理，但網域名稱解析仍可能交由本地網路提供的解析器處理，也可能由代理端解析。判斷「DNS 洩漏」時，應先確認預期：若要求相關查詢進入受控通道，卻送往本地解析器，即表示連線路徑與預期不符。
連線線路後，可使用可信任的 DNS 檢測工具進行測試，記錄工具觀察到的解析器及其網路歸屬。這類工具通常透過專用測試網域觀察遞迴解析來源，顯示的是參與解析的伺服器，而非網站請求的出口。解析器與出口不在同一地區，不能單獨據此判定發生 DNS 洩漏。
瀏覽器的安全 DNS、系統 DNS、用戶端 DNS，以及應用程式內建的解析功能可能同時存在。安全 DNS 通常會加密連線以存取解析服務，但「加密」不代表查詢一定會經過 VPN。瀏覽器也可能略過系統解析器，因此瀏覽器中的檢測結果不能代表所有應用程式。
- 先記錄用戶端與瀏覽器的 DNS 設定，確認預期使用哪個解析器，以及解析請求應經過代理還是直接連線。
- 確認用戶端是否分別設定直連網域與代理網域的解析路徑；在規則分流模式下，本地域名透過本地解析器查詢可能是刻意設定。
- 為了找出差異，可暫時調整瀏覽器的安全 DNS 後重新測試。每次只變更一項設定，測試結束後再還原所需設定。
- 查看用戶端是否提供 DNS 紀錄，並區分快取命中、代理端解析、用戶端本機解析，以及實際送出的查詢。
逐一驗證應用程式：瀏覽器能用還不夠
要逐一檢查應用程式，必須在目標應用程式中發出新的請求。先開啟用戶端連線紀錄，再重新啟動待測應用程式，並存取確實需要代理的功能或頁面。核對請求時間、目標網域、命中規則與策略。若沒有紀錄，不能只憑「成功開啟」判斷流量路徑；該服務可能原本就能直連，也可能顯示的是快取內容。
在 Windows 和 macOS 上，有些程式不會遵循系統代理設定。此時應使用程式本身的代理設定，或依照用戶端說明啟用 TUN；建立虛擬網卡可能需要權限，實際情況請以所用用戶端為準。命令列工具也可能需要設定專屬代理參數或環境變數；系統代理成功，不代表終端機請求也能成功。
Android 用戶端可能會使用系統 VPN 介面，並提供允許或排除應用程式的選項。請確認目標應用程式列在正確清單中，並留意系統 VPN 設定及工作資料空間。iOS 用戶端通常透過系統網路延伸功能建立通道，實際路由能力取決於用戶端與設定，不能直接套用 Android 的應用程式分流步驟。
| 測試對象 | 觀察重點 | 不能據此推論 |
|---|---|---|
| 瀏覽器 | 出口 IP、代理擴充功能、安全 DNS、相關請求紀錄 | 桌面軟體與終端機也使用相同路徑 |
| 桌面應用程式 | 應用程式本身的代理設定、TUN 接管、網域或處理程序規則 | 只要啟用系統代理，就會自動接管所有流量 |
| 行動應用程式 | 允許或排除應用程式清單、重新連線後的請求 | 系統顯示已連線，就代表所有應用程式都使用該線路 |
| 命令列工具 | 代理參數、環境變數、工具實際使用的解析路徑 | 終端機與瀏覽器共用所有網路設定 |
檢查規則時，應確認最後實際符合的結果，而不只是某條規則的內容。較早符合的規則可能會覆蓋後續選擇；策略組也可能仍指向直連或其他線路。修改後請重新建立連線，因為既有工作階段不一定會立即切換到新路徑。
看似已連線，實際未走 VPN：排查順序
先確認訂閱已匯入且更新成功，再檢查目前策略是否使用該線路。訂閱連結是匯入設定的入口，不是網頁測試網址，也不是安裝檔連結。成功匯入只表示用戶端取得設定；協定是否受支援、連線是否成功，以及應用程式是否由 VPN 接管，仍是不同環節。
Shadowsocks、VMess、Trojan、VLESS 是常見代理協定；Hysteria2 與 TUIC 通常採用基於 QUIC 的傳輸方式。協定名稱本身不會讓應用程式自動使用代理。用戶端必須支援相應協定與設定參數，本地網路也必須允許相關傳輸。IEPL 專線、中轉與直連描述的是線路路徑，與協定及本機流量接管模式並非同一層概念。
- ✅ 瀏覽器出口 IP 沒變：檢查系統代理是否啟用、擴充功能是否覆蓋設定，以及查詢網域是否符合直連規則。
- ✅ 瀏覽器能用、應用程式不能用：檢查應用程式本身的代理設定、應用程式排除清單與 TUN 路由，不要先反覆更換訂閱。
- ✅ 所有應用程式都無法連線：檢查用戶端錯誤紀錄、目前節點與協定支援情況，再確認本地網路是否允許所使用的傳輸方式。
- ✅ 重新啟動後才生效：檢查既有連線與設定重新載入行為，並記下需要重新啟動的是用戶端還是目標應用程式。
- ✅ 出口正確但目標服務回報錯誤：區分流量路徑問題與帳號地區、內容授權、風險控管或伺服器故障，不要只憑錯誤訊息判定 VPN 未生效。
- ✅ DNS 檢測出現非預期的解析器：比對瀏覽器安全 DNS、系統解析設定與用戶端規則，確認查詢來源與路徑後再修改。
WebRTC 檢測也需要另外判讀。即時通訊功能可能透過候選位址暴露額外網路資訊，但偵測到區域網路位址，不代表公網流量繞過通道。如果出現非預期的公網候選位址，應檢查瀏覽器策略與 UDP 流量接管；一般網頁的出口測試通過，不能證明所有即時通訊路徑都符合預期。
斷線與切換網路後再次確認
「連線時生效」和「斷線後仍符合隱私預期」是不同問題。允許自動直連的設定，可能在節點無法使用時恢復本地連線；提供斷線阻擋選項的用戶端，也需要確認該選項已啟用且涵蓋所需範圍。不要預設所有用戶端都具備這項功能。
使用非敏感的測試頁面，觀察節點暫時無法使用時的行為，確認新請求會失敗、切換策略，還是改為直連。手動結束用戶端與節點意外中斷可能觸發不同邏輯，測試紀錄應清楚註明情境。裝置從休眠恢復或切換網路後，請重新驗證出口 IP 與目標應用程式，確認連線是否重建。
若需提交客服工單，保留用戶端名稱、系統版本、連線模式、問題發生時間、目標網域及相關錯誤資訊即可。截圖前請遮住訂閱連結、權杖、帳戶資訊與不必要的瀏覽紀錄；不要為了重現問題，就把完整設定貼到公開討論區。VPNHO 使用者可透過客服工單提交排查資料。
判斷結論：只有當目標請求的出口 IP、DNS 解析路徑、應用程式接管範圍與規則設定一致時，才能說 VPN 在該情境下已生效。瀏覽器檢測通過，只能證明該次瀏覽器請求；斷線保護和其他應用程式仍須分別確認。
將檢查結果整理成簡單的交接紀錄：本地網路、所選線路、接管模式、目標應用程式、出口 IP 結果、DNS 結果及斷線行為。下次遇到問題時，先與紀錄比對，會比同時修改協定、DNS 和規則更容易找出原因。想了解用戶端入口與匯入流程，可參閱使用教學；線路類型與協定用途則分別見線路列表和協定詳解。