VPN 沒生效？先釐清連線與流量接管
VPN 連線後沒生效，先檢查出口 IP，再檢查 DNS，最後確認目標應用程式。用戶端顯示「已連線」通常只代表通道或代理服務已啟動，不代表瀏覽器、遊戲和命令列工具都會使用它。
排查時要釐清幾個環節：應用程式將請求交給誰、用戶端依據哪些規則處理、由誰解析網域，以及遠端網站看到的公網 IP 為何。任何一個環節不符合預期，都可能出現「圖示亮著，網站卻打不開」的情況。別一開始就重新安裝用戶端，也不要一次修改所有設定。
系統代理、虛擬網卡接管與瀏覽器擴充功能的涵蓋範圍各不相同。系統代理需要應用程式遵循代理設定；TUN 模式透過虛擬網路介面接收符合路由條件的流量，但仍會受排除項目、權限與規則影響；瀏覽器擴充功能通常只影響該瀏覽器。不能只看同一個連線圖示就判斷是否生效。
出口 IP：比對連線前後的變化
開啟IP 查詢頁面，記下目前顯示的公網 IP、電信業者與地區。接著連上所選線路，再用同一個瀏覽器重新查詢。地理位置資料庫可能更新較慢，判斷時應優先比對 IP 本身，不要只看地圖上的地名。
- 記錄基準值。中斷待測用戶端，確認其他代理擴充功能或網路用戶端沒有接管瀏覽器，再記下查詢結果。
- 選擇地區並連線。記下目前的線路名稱與運作模式，測試期間不要反覆切換。
- 送出新請求。重新載入查詢頁面。如果結果可能來自快取，請關閉舊分頁，再用新視窗開啟查詢頁面。
- 比對規則。如果查詢頁面設定為直連，IP 沒有變化可能是符合設定的結果。可暫時將該網站設為經代理連線，再重新查詢，之後恢復原本規則。
- 驗證目標應用程式。瀏覽器出口 IP 改變，只能證明這次瀏覽器請求的路徑有所變化；其他應用程式仍須分別檢查。
不同線路也可能共用同一個出口 IP，因此切換線路後 IP 沒變，不一定代表切換失敗。反過來說，IP 改變也不表示所有協定都已由用戶端接管。如果查詢服務分別提供 IPv4 與 IPv6 結果，請分開比對，避免只看到其中一種位址就下結論。
瀏覽器無痕視窗主要隔離部分本機工作階段與儲存資料，不會自動避開系統代理，也不是獨立的網路出口。無痕視窗適合用來排除登入狀態與快取干擾，不適合證明整台裝置的流量路徑。
DNS 檢查：解析位置不等於出口位置
DNS 負責將網域名稱轉換成 IP 位址。網頁連線可能經過代理，但 DNS 查詢仍交由本地網路處理；也可能由瀏覽器的安全 DNS、用戶端內建解析器或遠端代理處理。出口 IP 與 DNS 檢查觀察的是不同環節。
使用可信任的 DNS 檢測頁面時，先了解頁面顯示的是 DNS 伺服器的 IP 與歸屬地，而不是網頁流量的出口。檢測頁面通常會透過專用網域觸發查詢，再觀察遞迴解析器。公共 DNS 服務可能採用分散式部署，顯示的地區與所選線路不同，不足以單獨證明有 DNS 洩漏。
更值得注意的是：原本預期由遠端解析的網域，是否意外交由本地網路的 DNS 服務處理。先查看用戶端對代理網域與直連網域分別使用哪個解析器，再確認瀏覽器是否啟用了獨立的安全 DNS。加密 DNS 能保護部分 DNS 傳輸，但「加密」不代表查詢會經由目前的代理線路傳送。
命令列可以檢查哪些項目
在 Windows 終端機中，可以使用以下命令查看預設 DNS 伺服器與網域查詢結果。範例網域僅供 DNS 測試，不代表 CPUVPN 節點或服務入口。
nslookup example.com在 macOS 和 Linux 上，如果已安裝相關工具，也可以使用這個命令；dig example.com 則是另一種查詢方式。這類工具通常不會遵循瀏覽器的 HTTP 代理設定。TUN、DNS 劫持或系統解析設定可能改變查詢路徑，因此命令輸出不能直接代表瀏覽器實際使用的解析器。
修改 DNS 設定後，應重新送出查詢，必要時清除相應系統或應用程式的 DNS 快取。快取中的舊結果，不代表目前仍在向舊解析器發送請求。不要為了讓檢測頁面的結果「看起來一致」就盲目更換所有 DNS 設定，以免影響本地網站與內部網域的解析。
依現象排查：先看規則，再看應用程式
下表依據可見現象列出檢查方向。這不是故障判定表：同一種現象可能由不同環節造成，應一次調整一項並重新檢查，逐步縮小問題範圍。
| 可見現象 | 可能原因 | 優先檢查項目 |
|---|---|---|
| 瀏覽器出口 IP 沒有變化 | 系統代理未啟用、擴充功能覆寫設定，或查詢網站符合直連規則 | 檢查代理設定與該網域命中的規則 |
| 瀏覽器正常，桌面應用程式無法使用 | 應用程式未遵循系統代理，或使用獨立的網路設定 | 確認應用程式的代理設定與虛擬網卡接管範圍 |
| 出口 IP 已改變，目標網站仍拒絕連線 | 帳號地區、平台政策、出口 IP 信譽或服務端故障 | 先區分拒絕存取頁面與網路連線錯誤 |
| 部分網域無法連線，其他網站正常 | 網域解析、分流規則或目標服務異常 | 比對 DNS 解析結果、規則命中狀況與錯誤類型 |
| IPv4 符合預期，IPv6 仍使用原網路 | 目前模式未涵蓋 IPv6，或存在相關繞過規則 | 檢查用戶端的 IPv6 支援與實際路由 |
| 切換網路後才開始失效 | 舊連線、路由或 DNS 解析狀態尚未更新 | 重新建立連線，再檢查系統代理與新請求 |
請分別記錄「無法解析網域」、「連線逾時」與「平台明確拒絕存取」。第一種優先檢查 DNS；第二種可能與路由、線路或目標服務有關；第三種也可能涉及帳號權限與地區規則。單憑一個錯誤頁面，無法判定用戶端未生效。
如何檢查分流規則與平台權限
在規則模式下，部分流量直連、部分流量經代理是正常設計。查看用戶端的連線清單或診斷資訊時，重點確認目標網域命中了哪條規則，以及最後使用哪個出口。如果用戶端未提供這些資訊，請透過目標應用程式的實際狀況與出口 IP 查詢交叉驗證，不要自行猜測不存在的選單位置。
許多用戶端的「全域」模式，只會將已進入代理核心的請求統一送往指定出口，不會自動接管所有應用程式。這有助於判斷分流問題，但前提是請求確實進入用戶端。完成驗證後，應恢復適合日常使用的規則，避免不必要地轉送本地服務流量。
- ✅ Windows：確認系統代理設定與用戶端狀態一致；若要透過虛擬網卡接管流量，請確認所需權限與運作狀態。部分程式使用獨立的代理設定，不一定會遵循系統設定。
- ✅ macOS：依用戶端要求檢查 VPN 設定、網路延伸功能或代理權限。不同實作所需權限各異，不必逐一尋找所有類型的授權開關。
- ✅ Android：檢查 VPN 權限與依應用程式設定的路由清單。若應用程式被排除，即使狀態列顯示已連線，也可能仍採用直連。
- ✅ iOS：檢查系統 VPN 狀態與用戶端規則；瀏覽器以外的應用程式仍須實際測試，不能只憑一次網頁查詢就判定整個系統的狀況。
- ✅ Linux：確認桌面代理、終端機環境與虛擬網卡路由各自的設定。終端機程式不一定會讀取桌面環境中的代理設定。
同時執行多個代理用戶端或瀏覽器擴充功能，容易搞不清楚目前由哪項設定接管。測試時只保留待測用戶端，暫時停用其他會改變代理或 DNS 路徑的工具。若裝置由機構管理，請勿擅自修改受管理的網路政策。
IPv6、WebRTC 與訂閱設定的限制
IPv6 應視為獨立路徑進行檢查。如果目標應用程式使用 IPv6，而目前的代理模式只涵蓋 IPv4，部分請求可能不經預期出口。請優先使用用戶端提供的 IPv6 接管或相容設定。若為了排查問題而暫時停用系統 IPv6，應記下原本設定並在測試後還原，不要將此方法視為通用解法。
WebRTC 檢測可能顯示本機位址、經過隱私處理的主機名稱或公網候選位址。出現本機位址不代表網頁流量已繞過代理；若看到非預期的公網候選位址，則應配合瀏覽器政策、UDP 支援與實際路由繼續排查。也不要為了消除檢測提示，隨意安裝來源不明的擴充功能。
訂閱連結用於取得節點與相關設定，不代表所有分流和 DNS 規則都已匯入，實際情況取決於訂閱格式與用戶端實作。更新訂閱後，也要確認所選設定確實已啟用。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 與 TUIC 是不同的協定或方案名稱，單憑這些名稱無法證明系統流量已由用戶端接管。
訂閱連結可能包含存取憑證。請勿將完整連結、QR Code 或含有權杖的截圖貼到公開討論區。向客服提供錯誤情況時，請先遮蔽憑證、帳號資訊與不必要的位址資訊。
線路類型不等於流量接管範圍。IEPL 專線、中轉與直連代表不同的傳輸方式；即使選擇專線，若應用程式的流量沒有進入用戶端，仍不會經由所選線路傳送。先確認請求路徑，再比較線路表現，排查順序不要顛倒。
完成驗證後，保留可供複查的結果
有效的排查紀錄應包含：作業系統與用戶端名稱、目前模式、所選地區、測試應用程式、連線前後的出口 IP、DNS 觀察結果與具體錯誤。每次只修改一項設定，再重試相同操作，才能分辨問題是來自規則修正、DNS 變化，還是目標網站恰好恢復。
如果只有目標網站無法使用，而出口 IP 與規則都符合預期，請進一步查看網站公告、帳號權限與地區限制。網路路徑正常不代表平台一定允許存取，也不代表內容授權有所改變。依照服務規則使用，比反覆切換地區更有助於釐清問題。
需要重新整理用戶端的連線流程，可參考使用教學；需要繼續排查連線錯誤，可查看常見問題。先保留上述比對結果再回報問題，可以減少重複測試。