VPN 是否真正生效？新手必看：出口 IP 與 DNS 檢查指南

確認 VPN 是否生效：檢查實際連線，不只看連線圖示

VPN 到底有沒有生效？出口 IP 和 DNS 是檢查的起點，但不能只看單一檢測頁面。用戶端顯示「已連線」，通常表示本機連線或通道已建立；瀏覽器、通訊軟體和命令列是否使用這條連線，還取決於系統代理、通道路由、應用程式設定與分流規則。

先釐清自己的需求：是讓特定網站透過代理連線，還是讓裝置上的大部分網路請求都進入通道？規則模式可能允許部分網站直接連線，這也許正是預期設定。若把「所有請求都必須更換出口」當成唯一標準，反而容易把正常分流誤判為故障。

完整檢查需要分別確認：目標請求從哪裡連出、網域由哪個服務解析，以及實際使用的應用程式是否採用相同路徑。以下依序說明如何記錄連線前狀態、比對連線後結果及逐項排除問題，不必靠下載速度猜測。

出口 IP：先記錄基準，再比對連線前後

選擇可信的公網 IP 查詢網站，確認顯示的是訪客位址，而非網站伺服器位址。檢測網站會收到你的請求，請勿向其提供訂閱連結、帳號憑證或用戶端設定。IP 位址資料庫可能更新不及時，尤其不能把城市名稱當成線路實際位置的精確證明。

1. 記錄直接連線狀態。在可短暫直接連線的測試環境中，先中斷用戶端，開啟查詢網站，記下公網 IP、網路業者，以及頁面是否分別顯示不同位址類型的結果。
2. 記錄代理設定。連線至目標節點，記下目前使用規則模式或全域模式，以及是否啟用系統代理或 TUN。測試期間維持相同網路，避免切換無線網路而改變基準狀態。
3. 重新查詢。重新整理檢測結果，必要時重新開啟頁面。將位址與連線前的記錄比對，再查看用戶端是否留下這次造訪的連線記錄。
4. 交叉比對。換用另一個可信的查詢網站重做測試。如果結果不同，先確認兩個檢測網域是否符合不同規則，不要立刻認定其中一個結果有誤。

連線後位址改變，表示這次查詢的出口有所不同；位址不變，則要繼續確認檢測網域是否直接連線、瀏覽器是否略過系統代理，以及用戶端是否只連上節點、卻沒有接管流量。不能只憑位址變化判斷服務是否記錄連線，也不能把網頁顯示的地區直接當成所有應用程式看到的地區。

DNS 洩漏：分辨解析位置與傳輸路徑

DNS 的作用是將網域名稱解析為可連線的位址。DNS 檢測頁面通常會產生測試網域，再觀察哪些遞迴解析服務向該網域查詢。頁面顯示的可能是公共 DNS 業者或其出口位置，不一定是裝置直接連線的伺服器，也不一定與代理節點位於同一地區。

因此，DNS 所在地區與出口 IP 不同，不能單憑這點判定有 DNS 洩漏。真正要確認的是：依照目前設定，本應透過受保護路徑傳送的查詢，是否意外送往本地網路或網路業者的解析服務。規則模式也可能刻意讓直接連線的網域在本機解析，必須依規則的預期用途判斷。

1. 連線前後分別執行可信的 DNS 檢測，記錄解析服務名稱與網路歸屬，不要只看地圖上的國家或地區。
2. 查看用戶端的 DNS 設定，確認直接連線與代理網域各自採用哪種解析策略，以及是否啟用 DNS 接管。
3. 檢查瀏覽器的「安全 DNS」等選項。瀏覽器可能透過加密 DNS 獨立解析，略過作業系統的解析設定；加密查詢是否經過通道，仍取決於路由設定。
4. 搭配連線記錄確認解析服務的連線路徑。若發現非預期的本機解析，請調整設定，再以新的測試查詢重新檢查，避免只看到快取結果。

在 Windows 上可使用以下命令，查看命令列解析器預設連線的伺服器。這只能作為排查線索，並非完整的 DNS 洩漏測試：瀏覽器可能使用獨立解析器，代理也可能在遠端解析網域。

nslookup example.com

部分用戶端採用 Fake-IP 機制，先向應用程式提供合成位址，再由用戶端對應原始網域並決定出口。因此，系統工具顯示的位址未必是目標網站的實際位址。不要只因看到合成結果就手動更換 DNS；請先查閱該用戶端的設定說明。

瀏覽器正常，為什麼其他應用程式仍直接連線？

「系統代理」通常只是告知願意遵循這項設定的應用程式使用本機代理連接埠，並不會強制接管裝置的所有流量。瀏覽器可能遵循這項設定，但遊戲、命令列工具或採用獨立網路堆疊的軟體未必會。瀏覽器擴充功能也可能只影響瀏覽器本身，不能代表系統層級的連線狀態。

TUN 模式會透過虛擬網路介面與路由接管流量，涵蓋範圍通常較廣，但仍受權限、路由排除設定、DNS 設定與用戶端實作方式影響。在許多代理用戶端中，「全域模式」只表示已接管的請求一律選擇代理出口，不代表所有應用程式都會自動透過用戶端連線。

• ✅ 瀏覽器：檢查代理擴充功能、系統代理與安全 DNS，確認彼此沒有覆蓋設定。
• ✅ 桌面應用程式：查看是否提供獨立的代理選項，並在用戶端連線清單中尋找該應用程式的請求。
• ✅ 命令列工具：確認工具本身的代理參數與代理環境變數，不要直接將瀏覽器的檢查結果套用到終端機。
• ✅ 遊戲與通話應用程式：確認相關流量是否能被接管，尤其留意 UDP 支援與應用程式的路由設定。
• ❌ 只看到用戶端的流量計數增加，就認定所有應用程式都已受到保護；增加的流量可能只是來自背景請求。

Windows 和 macOS 上的系統代理與 TUN 通常是不同的開關；行動平台一般透過系統提供的 VPN 介面運作，但仍可能有依應用程式分流或排除項目。Linux 環境中的桌面代理設定與終端機環境變數也不一定同步。各用戶端的選單名稱可能不同，應依功能確認，而不是只找名稱相同的按鈕。

透過連線記錄核對規則與節點

開啟用戶端的連線清單或診斷記錄，再主動造訪目標網站。優先確認請求的網域、符合的規則、出口名稱與連線結果。如果記錄顯示直接連線，請檢查網域規則、程序規則與最後的預設規則；如果顯示使用代理但仍無法連線，則繼續檢查節點是否可連線、遠端回應或目標服務限制。

網頁通常也會連線至登入、圖片、影片和 API 等網域。主頁能開啟，不代表這些請求都成功。遇到「頁面有文字但登入失敗」時，觀察失敗操作新增了哪些連線，比反覆切換首頁更容易找出問題。瀏覽器開發人員工具可協助找出連線失敗的網域，但其中的遠端位址可能是本機代理或中間連線位址，並非最終的公網出口。

為了區分規則問題與節點問題，可以暫時將已接管的流量切換為全域代理後重試。如果功能恢復，請優先檢查分流規則是否遺漏；如果仍然失敗，則檢查用戶端的接管範圍、節點連線與目標服務狀態。測試完成後，請還原原本的分流策略。

Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 是不同的代理協定或傳輸方案，用戶端必須支援訂閱內容實際提供的設定。協定名稱本身不能證明 DNS 已受到保護。IEPL 專線、中轉與直接連線主要描述線路的組織方式，無法取代終端裝置的代理接管與規則設定。

位址類型、WebRTC 與斷線後檢查

網路可能同時提供 IPv4 與 IPv6。如果設定只接管其中一種，支援另一種位址類型的網站仍可能使用不同出口。查詢頁面只顯示一種結果時，不能因此推斷另一種也已受到保護。請選擇能分別檢查兩種位址類型的工具，並搭配用戶端的路由支援情況判斷。

瀏覽器的 WebRTC 功能用於即時通訊，可能採用不同於一般網頁請求的網路路徑。檢測結果出現本機私有位址或經過隱藏處理的本地主機識別資訊，與出現直接連線的公網位址並非同一回事。應留意是否暴露非預期的公網來源；即使沒有發現異常，也不能據此證明裝置的所有流量都已接管。

也要測試連線中斷後的行為。遠端連線中斷、電腦從睡眠狀態恢復或切換網路時，應用程式可能重新連線，也可能改為直接連線。請只在可接受短暫直接連線的測試環境中驗證，並確認用戶端是否提供連線中斷保護，以及該功能是否已正確啟用。不能因為軟體名稱含有 VPN，就假設它一定會阻擋斷線後的網路請求。

檢測結果不一致時，依照這個順序排查

先確認「流量有沒有被接管」，再確認「接管後走哪條路徑」，最後確認「遠端是否可用」。依照這個順序排查，能避免把應用程式未使用代理誤判為節點故障，也能避免用更換 DNS 來處理實際上由目標網站限制造成的問題。

• IP 沒變：確認檢測網域是否直接連線、瀏覽器是否使用獨立代理，以及系統代理或 TUN 是否確實啟用。
• IP 改變了，DNS 看起來仍在本機：檢查解析服務的網路歸屬、瀏覽器獨立 DNS、用戶端 DNS 分流與接管記錄，不要只憑地區判斷。
• 瀏覽器可用，應用程式無法使用：確認該應用程式是否遵循系統代理、是否有獨立代理設定，以及相關流量是否進入 TUN。
• 切換至全域模式後恢復正常：檢查失敗請求所套用的規則與相關網域，不必長期關閉所有分流。
• 用戶端沒有任何目標連線記錄：優先檢查流量接管範圍；如果尚未啟用記錄功能，請先確認記錄功能已開啟，再進行判斷。

需要協助時，可以提供作業系統、用戶端名稱、目前使用的模式、問題發生步驟，以及已去除敏感資訊的連線記錄。請勿公開完整訂閱連結、驗證權杖或包含憑證的設定。訂閱連結通常可用來存取設定，若外洩，應透過服務提供的管理方式更新。

Z7VPN 的用戶端入口位於使用者面板，登入後取得訂閱與用戶端資訊。首次匯入後，仍應依照本文流程確認裝置上的實際連線路徑；詳細操作可參考使用教學，如有設定疑問，可透過聯絡頁面反映。