如何检查 VPN 是否正常工作

这些检查能确定什么

客户端显示已连接，报告的是自身状态，而不是你的流量正流向哪里。下面六项检查回答的是后一个问题。安装后进行一次，每次客户端或系统更新后进行一次，在任何此前未使用过的网络上也进行一次。全部检查只需几分钟；前三项只需一分钟。

先连接到你通常使用的出口。然后按顺序向下进行：每项检查都假定前一项已通过，而常见故障排在前面。

1. 你的地址已改变

1. 打开任意“我的 IP 是什么”页面，读取页面报告的地址和国家/地区。国家/地区必须与所选出口一致；地址必须不是你能认出的自己的地址。
2. 断开连接并重新加载同一页面。地址应改回你自己的地址。如果没有，说明页面使用了缓存，或有第二条隧道在起作用，因此第一次结果不能证明任何事情。
3. 重新连接并再次加载页面。三次读数中，中间一次与另外两次不同，这才是完整的测试。仅在连接状态下读取一次，不算测试。

这能证明出口位于浏览器前方。它无法说明名称查询、其他应用，或隧道断开时会发生什么；本页面其余部分就是为检查这些情况而写的。

2. 查询在隧道内进行

1. 运行 DNS 泄漏测试 — 选择提供扩展测试的任意页面，这类测试会发送许多查询而不是一个查询 — 并读取它报告的解析器列表及其所有者。
2. 每个解析器都必须属于 VPN 服务商，或位于出口所在的国家/地区。只要有一个条目属于你的互联网服务商，或位于你自己的国家/地区，测试就算失败，不论其他条目显示什么。
3. 如果测试失败，将客户端的 DNS 设置为服务商自己的解析器，或开启其泄漏防护，然后重新连接并重复测试。每个平台的指南都会说明具体设置；泄漏意味着什么，请参阅DNS 泄漏页面。

3. 浏览器没有公布你的地址

浏览器支持一种用于通话和视频的协议，它可以绕过隧道，直接向页面披露你的本地地址和公共地址。这是浏览器设置，而不是客户端设置，因此客户端即使配置完美、通过其他所有测试，也可能在这一项失败。

1. 在你使用的每个浏览器中运行 WebRTC 泄漏测试，并保持连接状态。隐私窗口和配置文件各自拥有独立设置，因此要测试你实际浏览时使用的那个。
2. 它报告的公共地址必须是出口的地址，或者完全不报告地址。路由器分配的形式的本地地址属于正常且无害的情况；你自己的公共地址才表示失败。
3. 如果测试失败，在浏览器本身或服务商的浏览器扩展中查找 WebRTC 设置，大多数客户端会将设置放在这些位置；修改后重复测试。

4. IPv6 没有绕过隧道

如今大多数网络都会分配两种地址，而客户端如果只通过隧道传输旧版地址、忽略新版地址，就会向所有同时通过两种地址响应的网站泄漏信息 — 而大型网站大多属于这一类。上面的地址检查经常发现不了这种情况，因为你使用的页面报告的是它实际通过哪种地址访问到的你。

1. 在保持连接的情况下打开 IPv6 测试页面。正确结果是“没有 IPv6 连接”或属于出口的 IPv6 地址。位于你自己国家/地区的 IPv6 地址就是泄漏。
2. 如果测试失败，在客户端中查找 IPv6 设置：阻止是安全选择，若提供路由选项则更好。没有这两项设置的客户端，需要在操作系统层面禁用网络适配器上的 IPv6。
3. 之后重复第一项检查：禁用 IPv6 会改变测试页面通过哪种地址访问到你，因此需要在新条件下确认之前通过的结果。

5. 隧道断开后会安全阻断连接

上面的内容都描述了隧道正常运行时的情况。在糟糕网络上真正重要的是隧道不运行时会发生什么，这需要单独进行一项操作：如何测试 VPN kill switch。在任何会带出门的设备上进行一次；简要说，就是在不要求客户端执行任何操作的情况下终止隧道时，正在进行的下载必须立即停止。它为何重要，请参阅kill switch 页面。

6. 浏览器之外的其他应用

到目前为止的每项检查都在浏览器中运行，而浏览器的路由方式可能与整台机器的其他部分不同：代理扩展、仅供浏览器使用的 VPN，或拆分隧道规则，都可能让浏览器通过检查而另一个应用发生泄漏，反之亦然。

1. 选择一个能够显示自身连接地址的应用 — 例如 torrent 客户端自己的地址检查、邮件客户端的连接日志、游戏的网络面板 — 或者在第二个未进行配置的浏览器中运行地址检查。
2. 它的地址必须是出口的地址，与第一项检查报告的地址相同。不同的地址意味着隧道并非覆盖整个系统，相关设置要么是浏览器扩展，要么是拆分隧道规则。

通过意味着什么