如何测试您的VPN是否真正有效（IP、DNS、WebRTC和杀死开关）

一个显示“已连接”的VPN并不能证明您的流量是安全的。您可以在几分钟内验证四个对每个用户都至关重要的方面：您的公共IP、DNS查询、浏览器WebRTC行为，以及当隧道断开时会发生什么。

为什么“已连接”并不够

现代VPN在您的设备和远程服务器之间加密流量，并且应该更改网站看到的公共IP。这是基本要求。现实世界的网络更加复杂：Wi-Fi波动、蜂窝网络切换、操作系统DNS快捷方式，以及浏览器自行与网络通信，都可能留下漏洞。

这些漏洞通常分为两类：

1. 当隧道正常时： 一些流量仍然绕过隧道（经典的DNS或WebRTC泄漏）。
2. 当隧道断开时： 您的设备短暂地回落到ISP路径，暴露您的真实IP（杀死开关旨在防止这种情况）。

您不需要实验室设备来检查这两种情况。免费的公共测试页面加上一次故意断开连接就足够了。

1. 确认您的公共IP已更改

检查内容： 网站是否看到VPN出口IP而不是您的ISP地址。

操作步骤：

1. 断开VPN连接。打开一个简单的IP查询页面（例如您ISP的状态页面，或任何可信的“我的IP是什么”网站），并记录IPv4地址，如果显示的话也记录IPv6。
2. 连接VPN到您日常使用的服务器。
3. 刷新同一页面（或在私密窗口中打开）。

通过： 公共IP与您的ISP IP不同，并且与您期望的该服务器区域相匹配（大致，不必精确到城市）。

失败/调查： IP未更改，或者您仍然看到您的家庭IPv6地址，而IPv4已更改。许多泄漏仅为IPv6：VPN隧道IPv4但将IPv6留在开放路径上。优先选择能够隧道或阻止IPv6的客户端；作为临时的操作系统级解决方法，有些人禁用IPv6，但这是一种粗糙的工具，可能会破坏需要它的网络。

在您关心的每个设备上重复此操作（手机、笔记本电脑、平板电脑）。一个订阅通常覆盖多个设备（BetterVPN的标准计划包括最多10个设备，专用服务器包括最多30个），因此请检查您实际使用的平台。

2. 进行DNS泄漏测试

检查内容： 域名查询（“example.com的IP是什么？”查询）是通过VPN还是仍然发送到您的ISP解析器。

这是造成虚假信心的陷阱。您的IP测试可以通过，而您的提供商仍然看到您解析的每个主机名的列表。

操作步骤：

1. 保持连接到VPN。
2. 打开DNS泄漏测试页面，如果提供的话，运行扩展/多服务器测试。
3. 将显示的解析器地址和组织与您ISP的常用DNS进行比较。

通过： 解析器属于VPN（或VPN故意通过隧道路由的解析器）。没有任何解析器明显属于您的家庭ISP。

失败/调查：

• 在客户端中启用任何“使用VPN DNS”、“强制VPN DNS”或“阻止隧道外DNS”的选项。
• 在Windows上，智能多宿主名称解析可能会在隧道外发送并行DNS查询。VPN侧DNS锁定是比寻找注册表标志更干净的修复。
• 检查您的浏览器是否有DNS over HTTPS（DoH）指向绕过VPN DNS路径的公共解析器。如果VPN无法将DoH绑定到隧道中，请在测试时禁用浏览器DoH，然后重新测试。

杀死开关在VPN仍然连接时不能修复DNS泄漏。DNS保护和杀死开关解决不同的故障模式；您需要两者。

3. 检查浏览器中的WebRTC泄漏

检查内容： 浏览器的WebRTC堆栈是否可以在系统VPN看起来正常的情况下泄露本地或公共IP。

WebRTC对于视频通话很有用；但它也很活跃。一些网站可以询问浏览器候选地址，其中包括您的真实公共IP。

操作步骤：

1. 连接VPN。
2. 在您最常用的浏览器中打开WebRTC泄漏测试页面。
3. 将列出的任何公共IP与步骤1中的VPN出口IP进行比较。

通过： 没有公共IP与您的ISP地址匹配。仅本地/LAN地址通常对“我在互联网上是谁？”来说不那么重要，但仍然值得注意。

失败/调查： 更新VPN客户端，尝试其他浏览器，或在浏览器中收紧WebRTC/隐私设置。每次更改后重新测试。不要假设桌面修复适用于移动浏览器。

4. 压力测试杀死开关

检查内容： 当加密隧道断开时的失败关闭行为。

没有杀死开关，VPN断开通常意味着您的应用立即继续在清晰的ISP路径上。即使一两秒也可能暴露您的真实IP、DNS查询和会话cookie在开放的Wi-Fi上。

操作步骤（安全、故意测试）：

1. 连接VPN并启用杀死开关（有时标记为网络锁定/始终开启/阻止非VPN流量）。
2. 打开一个显示您IP的页面，并准备好刷新。
3. 以受控方式强制VPN断开：仅在这绕过杀死开关的情况下使用客户端的断开；更好的是，通过结束VPN进程、切换VPN接口或在杀死开关保持开启的同时短暂禁用网络适配器来模拟断开。遵循您的客户端文档中的测试方法。
4. 立即尝试加载新网站或刷新IP页面。

通过： 出站互联网停止（页面加载失败/超时）。您的真实ISP IP在您故意关闭杀死开关或重新连接VPN之前不会重新出现。

失败： 在VPN声称应该被阻止的情况下，流量恢复到您的ISP IP。将其视为隐私敏感工作中的严重漏洞。

系统级杀死开关（操作系统防火墙/路由规则）通常比“仅阻止这些应用”模式更强，因为应用级开关在VPN进程崩溃时可能会失败。当您更关心隐私而不是不中断浏览时，优先选择更严格的模式。

杀死开关不做的事情

• 它本身不加密流量。
• 它在连接时不替代DNS或IPv6泄漏保护。
• 当隧道波动时，它会中断下载和通话。这种不便正是其目的。

实用的10分钟检查清单

在您安装客户端、更换设备或进行重大操作系统更新时使用此清单：

步骤	操作	好结果
A	连接前后的IP	出口IP不是您的ISP IP；IPv6不暴露家庭
B	DNS泄漏测试	没有列出ISP解析器
C	WebRTC测试	候选中没有ISP公共IP
D	杀死开关断开测试	互联网停止；ISP IP保持隐藏
E	在手机和PC上重复	每个设备上的相同通过标准

保存通过结果的屏幕截图并记录日期。如果支持团队要求诊断，这些比“感觉慢”更有帮助。

更清晰的购买决策

营销页面喜欢功能清单。您的测试将这些声明转化为证据。当您比较提供商时，请询问：

• 是否有在我的操作系统上真正失败关闭的杀死开关？
• 客户端是否强制DNS通过隧道？
• 我使用的设备（手机、桌面、电视）是否有原生应用？
• 设备限制是否诚实且足够满足家庭需求？

BetterVPN围绕这些日常保护（包括杀死开关和灵活的分割隧道）构建，适用于iPhone、Android、Windows、macOS和电视平台的原生应用。如果您想以简单的语言查看计划限制和计费选项，请访问 bettervpn.com/pricing。要自己安装并运行相同的四个测试，请从 bettervpn.com/download 获取客户端。

没有任何VPN可以承诺在每个网络上实现完美的匿名性。您可以要求的是可测量的行为：不同的公共IP、干净的DNS、没有随意的WebRTC泄漏，以及一个更倾向于保持沉默而不是泄漏的杀死开关。本周运行一次检查清单。然后您将知道“已连接”是否意味着真实的东西。