VPN 连上了却没生效，先做出口 IP 与 DNS 检测，再检查目标应用。客户端的「已连接」说明连接状态，不代表每个应用都已走线路。浏览器查到的出口、域名解析路径和目标网站的地区判断，是不同层面的结果。
「已连接」与流量生效的区别
客户端可能已与节点建立通信，但系统代理尚未启用；也可能只有符合规则的请求经过节点，其他流量保持直连。部分客户端的延迟测试只验证节点连通性，并不能证明浏览器或桌面应用正在使用它。
因此，不要只凭状态图标判断。先确认请求去了哪里，再确认域名由谁解析，最后看目标应用是否按预期工作。普通国内网站在规则模式下继续直连，可能正是正确行为，而不是连接失效。
| 检测对象 | 可以判断 | 不能单独证明 |
|---|---|---|
| 客户端连接状态 | 客户端报告的连接状态 | 全部应用都走线路 |
| 浏览器出口 IP | 该次网页请求的公网来源 | 其他应用使用相同出口 |
| DNS 检测 | 测试域名可观察到的解析器 | 所有请求均经过隧道 |
| 目标应用实际操作 | 具体功能当前是否可用 | 其他平台也一定可用 |
出口 IP 检测：先留基线，再连接
选择能显示公网 IP、网络归属和地址类型的检测页面。连接前后使用同一个浏览器和同一个页面，减少检测口径差异。如果不方便暂时断开，请避开敏感操作，或先在不含私人内容的测试环境中完成。
- 记录未连接状态。记下公网 IP、归属网络，以及页面是否分别显示 IPv4 与 IPv6。记录只用于本地对照，不必公开完整地址。
- 连接目标线路。确认选择的节点与代理模式，等待客户端报告连接完成，再重新打开检测页面。
- 比较实际地址。不要只看国旗。地址和网络归属发生变化，比单看地区标签更有参考价值。
- 对照规则与日志。如果地址没变，检查检测网站是否被规则设为直连，再确认浏览器是否使用了系统代理。
IP 的地区信息来自数据库，可能更新滞后，也可能与线路名称不完全一致。查到不同城市不等于连接失败；反过来，地区名称符合预期，也不能证明所有应用的流量都已接管。
DNS 检测：看解析路径，不只看地区
DNS 负责把域名转换为网络地址。DNS 泄漏通常指本应通过预期保护路径处理的查询，仍从非预期路径发往解析器。网页出口已经变化，并不自动代表 DNS 查询也经过同一条路径。
常见 DNS 检测页面会生成测试域名，观察哪些递归解析器向其查询。页面显示的是测试中观察到的解析器，不是设备与解析器之间完整路径的抓包结果。解析器属于当地运营商值得检查，但仅凭地区标签不能直接定性。
浏览器的安全 DNS，也就是通过 HTTPS 等方式进行的加密解析，可能使用独立服务。此时网页出口与 DNS 解析器的归属不同，未必是泄漏；但查询是否经过代理，仍取决于客户端接管范围和浏览器的实际连接路径。
- ✅ 连接前后对照 DNS 检测结果，同时记录浏览器是否启用安全 DNS。
- ✅ 检查客户端的 DNS 配置与运行日志，确认是否存在回退或直连规则。
- ✅ 若修改解析设置，重新建立连接并复测，每次只改变一个设置。
- ❌ 不要仅因解析器位于另一个地区，就认定泄漏或连接失败。
清空 DNS 缓存只会促使系统重新查询，不会修复错误路由。如果应用自行解析域名，系统层面的缓存操作也未必影响它。应先找出实际使用的解析方式，再决定是否调整。
浏览器正常，其他应用却不通
系统代理通常向遵循系统设置的应用提供代理入口，并不等于接管设备上的所有网络连接。有些桌面程序使用自己的代理配置，有些只在启动时读取系统设置，还有些根本不使用系统代理。
TUN 或虚拟网卡模式通常能接管更广的流量，但仍受路由、排除列表、权限以及客户端实现影响。「全局模式」也要结合客户端定义理解：它可能只是让已进入代理核心的请求统一走代理，而不是让原本绕过核心的应用自动进入。
在 Windows 与 macOS 上，核对系统代理、应用内代理以及其他网络工具是否冲突。移动系统的 VPN 配置也可能包含按应用排除项。排查时可重启目标应用，让新连接使用当前设置，但不要随意删除不认识的系统网络配置。
验证必须落到应用本身：在浏览器打开目标页面，在桌面客户端执行正常联网操作，再查看客户端日志中是否出现对应域名及规则命中。浏览器成功只能证明这次浏览器请求成功。
IPv6、缓存与长连接的影响
设备可能同时具备 IPv4 与 IPv6 连接。如果代理只处理其中一种地址类型，应用可能优先使用未被接管的路径。检测页面如果只显示 IPv4，就可能漏掉这一差异。应分别查看地址类型，并核对客户端是否支持及接管 IPv6。
不建议一发现异常就永久关闭 IPv6。先依据客户端说明确认支持范围；如确需临时调整，应记下原设置并在测试后恢复。关键是让预期流量走正确路径，而不是用一个系统开关掩盖配置问题。
切换线路后，应用已有的长连接也可能继续复用。退出并重新打开目标应用，通常比反复刷新同一页面更有助于建立新连接。浏览器缓存、网站 Cookie 和账号地区则属于另外的状态，不会因为公网 IP 改变就同步重置。
出口已改变，网站仍提示地区限制
网站判断地区时可能综合出口 IP、账号地区、付款资料、定位授权和历史会话。出口变化只是其中一项。检测页面能正常打开，也不代表目标平台允许该出口访问特定内容。
先看目标域名是否真正走了代理。有的页面主体、登录接口和内容分发域名使用不同规则，页面能打开而视频或登录失败并不罕见。再检查错误提示究竟是地区限制、账号权限，还是普通连接超时，不要把这些情况统称为「VPN 没生效」。
IEPL 专线、中转和直连描述的是部分传输路径特征，不是目标平台的访问许可。更换传输方式也不必然改变出口 IP。查看线路时，应把入口路径、最终出口和具体平台的结果分开核实。
按现象排查，避免反复重装
优先从影响范围判断故障所在。只在一个浏览器发生，先查扩展、独立代理和安全 DNS；只有某个桌面应用异常，先查该应用设置；所有应用都异常，再检查客户端、系统路由与当前网络。
若客户端连节点都失败，应核对订阅是否可用、节点是否选中，以及配置是否已更新。订阅链接包含访问凭据，不要发到公开检测网站。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 等协议的支持情况依客户端而异，导入成功也不等于当前核心支持全部节点参数。
不要同时切换节点、协议、DNS 和代理模式，否则即使恢复，也很难知道哪个改动有效。保留故障现象，每次只改变一个因素，再用相同检测页面和目标操作复测。
判断连接是否生效，要形成证据链。出口 IP 确认网页请求来源，DNS 检测辅助检查解析路径，目标应用操作确认实际可用性。三者互相补充，任何单项都不能代替另外两项。
提交工单时，保留哪些信息
自行排查仍无法定位时，可从面板提交工单。说明设备系统、客户端名称及版本、所选线路、代理模式、发生时间，以及问题只影响某个应用还是整个设备。附上连接前后检测结论和脱敏日志，比只说「打不开」更便于复现。
截图应遮住用户名、订阅链接、令牌及其他访问凭据。日志也可能包含目标域名和本地路径，提交前先检查。不要为了让排查显得完整而公开全部浏览记录或完整配置。
VPNAct 的使用教程可用于核对接入步骤；更系统的设置检查可参考完整手册。需要人工协助时，通过面板工单提供上述信息即可。