桌面客户端的图标已经变绿，网页能打开，视频通话也正常。团队据此写下“所有流量都走同一出口”。这个结论超过了图标能证明的范围：它只说明某个会话或虚拟接口建立，不会逐个枚举系统里所有请求。

名称解析、普通网页连接、WebRTC媒体和应用自定义流量有各自的选择过程。要判断路径，必须按请求类型观察，而不是把一次连接状态扩展成全局保证。

连接状态通常证明什么

客户端能够建立控制会话、取得配置并创建虚拟接口，界面就可能显示已连接。这个状态对判断软件是否完成握手很有用。

它不一定证明默认路由已经覆盖全部地址族，也不证明每个进程都会使用系统路由。应用可以有自己的代理、解析器或直连策略。

休眠恢复、接口切换和网络短暂中断后，图标可能仍在，数据通道却正在重建。状态刷新与真实转发之间可能存在时间差。

因此，图标是会话层证据，不是逐请求证据。更完整的记录要包含时间、应用、目标与实际观察结果。

DNS解析发生在数据连接之前

用户输入域名后，系统或浏览器先取得IP地址，再对该地址建立连接。Cloudflare说明DNS承担主机名到IP的映射，家庭网络通常把查询交给递归解析器。

解析请求和后续网页请求可能走不同路径。应用也可能直接使用已有IP，不再发出新的DNS查询。

浏览器、操作系统和递归解析器都有缓存。抓不到一条新查询，可能只是缓存命中，不能证明查询必然走了某个出口。

测试要注明是否使用新名称、是否清缓存以及答案来自哪一层。随意清除全系统缓存可能影响其他应用，应在受控环境操作。

加密DNS会增加另一条策略

浏览器可以使用自己配置的加密DNS，而不是完全跟随系统解析器。企业管理策略也可能指定内部解析或禁止某些选择。

这不表示加密DNS天然绕过隧道。它的网络连接仍要经过操作系统路由，但目标解析器可能不同，观察到的出口由组合策略决定。

同一设备中，一个浏览器使用自定义解析器，另一个应用使用系统解析器，结果自然会分离。必须按应用记录。

私有名称与公共名称可以分开解析

企业网络常让内部主机名交给私有解析器，公共名称继续使用默认递归服务。相关私有DNS文档也展示按名称范围路由到内部解析器的做法。

不同名称范围可以路由到不同解析器。这是分流设计，不应在看到两套解析器后立即称为泄漏。

判断要回到预期策略：哪些名称应该内部解析，哪些可以公共解析，实际结果是否与规则一致。缺少期望值，观察本身无法判定对错。

私有答案还可能只能从受控网络访问。解析成功不代表目标数据连接也可达，两阶段都要测试。

WebRTC为何拥有独立媒体路径

WebRTC使用ICE候选建立实时通信路径。候选可以来自本地接口、服务器反射地址或中继服务，浏览器对候选进行连通性检查后选择路径。

网页控制信令走HTTPS，不代表音视频媒体沿同一连接。媒体关注实时性与可达性，可能采用UDP和独立端点。

W3C规范还讨论候选地址可能揭示网络拓扑，因此浏览器会限制地址暴露。用户界面看不到某个地址，不等于该网络接口不存在。

应用可以把ICE策略限制为只使用中继候选。是否启用属于应用会话配置，不能从桌面连接图标推断。

多网卡和地址族会产生不同结果

笔记本可能同时连接无线、有线和移动热点。系统会按路由优先级、目标地址与接口状态选择路径。

IPv4与IPv6拥有独立路由表和可达性。同一域名返回两种地址时，应用可能尝试并选择较快的一种。

若隧道只覆盖一种地址族，另一种可能按系统规则处理。测试报告要分别记录IPv4和IPv6，不能合并成“网络正常”。

接口在通话中改变时，WebRTC还可能重新收集候选或切换路径。一次开始时的结果不能代表整段会话。

应用分流不是系统全局代理

有的客户端使用系统代理，只影响遵守代理设置的应用；有的创建网络层虚拟接口；还有的仅接管指定域名或地址。

应用可以忽略系统HTTP代理，使用自己的网络库。游戏、更新器和容器也可能有独立网络命名空间。

网页请求、DNS解析和WebRTC媒体是三类不同路径证据。任何一类通过，都不能代替另外两类。

记录客户端模式和策略来源，才能解释为什么浏览器与命令行工具不同。不要凭产品名称猜实现方式。

故障回退会改变原有路径

指定解析器不可达时，系统或应用可能失败，也可能按设计回退到另一解析器。数据通道中断时，应用也可能尝试其他接口。

回退提高可用性，却会改变路径保证。安全要求严格的环境可能选择失败关闭，普通消费应用可能优先保持连接。

测试要覆盖正常与故障两种状态，并明确预期。人为制造故障应在隔离测试环境进行，不能影响生产网络。

建立四层路径记录

第一层写会话：客户端状态、虚拟接口和策略更新时间。第二层写名称：域名、解析器、答案、缓存状态与地址族。

第三层写普通数据：应用、目标IP、协议与观察出口。第四层写实时媒体：会话、候选类型、选中路径和中继状态。

记录应用、请求类型、解析器、地址族、候选类型与观察出口。使用专门测试域名与不含个人资料的会话，避免把账号、令牌或真实通话内容写入日志。

同一测试至少重复两次，并注明网络接口与时间。只改变一个条件，才能判断差异来自哪一层。

观察工具也有边界

网页检测页只能看见浏览器允许脚本取得的信息，不能扫描系统其他应用。浏览器隐私保护还可能隐藏候选细节。

本地抓包能看到接口上的流量，但加密后无法读出应用内容，也可能漏掉硬件卸载或另一个网络命名空间。

出口服务只看到到达它的请求。一个测试地址返回预期出口，不能证明未测试目标也相同。

把多个观察交叉使用，比追求一个“全部安全”分数可靠。结果应写成具体请求与时点，而不是永久属性。

结论停在已测试路径

全隧道路由、统一DNS策略和仅中继媒体都经过验证时，多类请求可以稳定使用受控路径。一个连接图标不能证明永久匿名或未来配置不变。

路径结论应限定在应用、请求类型、地址族、网络接口和测试时间。配置更新、浏览器升级与接口切换后，需要重新核对。

连接图标仍然有价值：它告诉你从哪里开始检查。真正的路径证据则来自每一类请求实际选择了什么解析器、候选和出口。

先把“走VPN”拆成四个可观察问题

第一问是名称由谁解析，第二问是目标地址如何进入路由表，第三问是应用实际打开哪种连接，第四问是回程是否沿相同边界返回。连接图标只表示客户端认为隧道已建立，不能替这四问给出答案。测试表应分别记录DNS服务器、目标地址、接口、地址族和应用类型。

同一网页也可能产生多条请求：主文档、图片、统计脚本、视频和实时通信各自建立连接。主文档出口符合预期，不代表第三方资源与WebRTC媒体采用相同路径。检查时选定一个普通HTTPS页面、一个仅内部名称和一个WebRTC通话任务，不能用单一“IP检测页”代表全部应用。

DNS测试要避免被缓存误导

浏览器、操作系统与递归解析器都可能保存答案。VPN连接前已经解析过的名称，在连接后再次打开时未必产生新查询。测试应使用可控的新名称，或等待并记录缓存边界；清除全部浏览器资料不是第一步，因为它同时改变会话与站点状态。

私有名称能解析，说明某条内部规则可能生效，却不能证明公共名称也交给同一解析器。RFC 8598描述的Split DNS正是按名称范围把内部域交给指定服务器，其他名称仍可使用普通DNS服务。结论应写出测试过的名称范围，而不是“DNS全部进隧道”。

加密DNS还可能由浏览器单独启用。系统显示一个解析器，浏览器可能使用自己的HTTPS解析策略；企业管理又可能强制另一组规则。因此需要分别记录浏览器设置、系统配置和VPN客户端声明，看到不一致时先确认层级，不把它立即称为泄漏。

分流规则按目的地和应用改变路径

分流VPN通常只把特定目标网段或应用送进隧道，其他流量保持原网络出口。RFC 8598明确以企业内部资源为例说明这种安排。它不是“连接失败后的残缺全隧道”，而可能是设计目标；是否符合用户期待取决于公开配置和使用场景。

测试目的地时至少准备内部资源、普通公共网页和不同地址族三个样本。内部资源成功而公共网页使用本地出口，可能正是分流；IPv4进入隧道而IPv6仍走本地，则需要检查客户端是否同时覆盖两个协议。RFC 7359说明，只处理IPv4的隧道可能让IPv6按本地路由发送。

应用级分流还会让两个程序访问同一主机却走不同接口。浏览器在隧道内，不代表更新服务、下载器或视频客户端相同。记录必须写应用名称和版本，不能只写目标网址。

WebRTC的ICE选择有自己的权衡

WebRTC为了建立低延迟媒体，会收集并检查ICE候选。RFC 8828指出，多网卡、代理与分流VPN环境可能暴露典型HTTP请求不会呈现的额外地址；实现也可限制候选或强制使用中继，以交换隐私和媒体性能。普通网页出口因此不能推断通话媒体出口。

检测时不应只看页面是否列出一个本地地址。浏览器可能用mDNS名称隐藏主机地址，也可能因权限与隐私策略不显示某些候选。更稳妥的方法是观察通话是否建立、所选候选类型、远端可见出口以及仅中继模式下的差异，并注明浏览器版本。

直接候选性能较好但暴露信息更多，中继候选隐藏直接地址却增加路径与延迟。二者不是简单的“安全／不安全”按钮。文章能给出的行动是按任务选择策略，并验证结果，不能承诺任何浏览器扩展替所有应用完成全局封锁。

故障回退会改变一次测试的意义

隧道短暂中断时，客户端可能停止所有流量、回到本地网络，或只让不受保护的应用继续。不同产品对“断线保护”的定义并不相同。一次请求成功只能说明当时存在可用路径，必须结合隧道事件时间线判断它发生在连接前、连接中还是回退后。

做回退测试前先使用不敏感的公开目标，并保留恢复方式。分别记录正常连接、人工断开和网络切换三个阶段的DNS、HTTPS与WebRTC结果。若必须关闭保护才能完成测试，就明确写下这不是日常配置，不把测试例外当成默认行为。

移动设备从Wi-Fi切换到蜂窝网络时，接口和地址可能同时改变。通话维持成功可能来自ICE重选路径，也可能来自中继；网页会话保持则可能只是应用重连。两种“没有中断”背后的机制不同，需要分任务记录。

建立可复查而不收集敏感内容的记录

路径记录只保留必要元数据：时间、设备编号、系统与应用版本、网络类型、测试目标类别、解析层、地址族、候选类型和结果。不保存真实工作账号、内部完整主机名、查询内容或通话对象。诊断需要边界，不需要把隐私资料变成新的风险。

每次只改变一项条件。先保持同一网络切换VPN模式，再保持VPN模式切换应用，最后才更换网络。若同时更改浏览器、DNS、隧道与热点，任何差异都无法归因。

结论分成已观察、配置声明和仍未知三栏。已观察可以是“该公共HTTPS目标在此时显示某出口”；配置声明可以是“客户端标示只代理指定应用”；仍未知则包括未测试的IPv6、其他浏览器和后台服务。这样即使连接图标亮着，也不会把有限样本夸大成全系统保证。

何时停止继续测试

若出现组织管理策略、证书警告、未知根证书或需要关闭系统保护的要求，应停止个人试验并交给管理员。若测试目标涉及银行、医疗或工作机密，也不应用第三方检测页。路径验证的目标是理解配置，不是为了得到一个绿色结果而扩大暴露。

完成普通HTTPS、内部名称、WebRTC和断线回退四类任务后，如果结果与公开配置一致，可以结束本轮；若只在某一任务不一致，就把范围缩到该协议或应用。没有证据时不把差异归因于服务端，也不把所有请求都写成已经泄漏。

把复测安排在配置真正可能改变之后

没有更新、网络切换或策略变化时，连续刷新检测页通常只会增加噪声。更有价值的复测点是客户端升级、系统大版本更新、从家庭网络切到公共网络、管理员下发新策略，或浏览器更改加密DNS与WebRTC实现之后。每次复测沿用相同任务，才能看出路径边界是否真的改变。

如果结果只出现一次，先重复同一条件并保存时间线；若连续出现，再用第二个目标确认是否为单一站点行为。不同检测页可能采用不同脚本与解释方式，不能把页面标签当作网络抓包。需要更深诊断时，应由管理员使用系统路由、DNS日志或受控抓包工具验证，并避免记录实际通信内容。

最终记录应能回答：哪个名称由谁解析、哪个目标由哪个接口送出、WebRTC选了直接还是中继候选、断线时应用如何处理。回答不了的项目保持未知。VPN图标是一项状态，不是对所有协议、地址族、应用和时刻的统一证明。

复测完成后保留原配置截图和结果摘要，不公开真实地址、内部域名或账号。下一次只有在版本、网络或策略改变时重开同一测试表，以相同任务比较，而不是另换检测页追求不同颜色的结论。所有未测试的后台应用、地址族和断线阶段继续标为未知，不用连接图标替它们作保证。

复核到此结束。

对照测试要保持请求一致

同一个网页可能从多个域名加载文档、脚本、字体和媒体。只检查主文档，会漏掉其他目标选择的路径。

建立对照时，固定浏览器版本、测试域名、网络接口和缓存状态，保存每类请求的目标与时间。更换客户端策略后执行完全相同的请求集合，差异才有解释力。

重定向也会改变目标。初始域名经过跳转到内容分发节点后，解析器和出口观察都应记录最终地址，不能只保留地址栏文字。

失败关闭与可用性回退

严格环境可能要求受控通道中断时请求直接失败；普通产品也可能为了维持访问而回到系统默认路径。两种设计服务不同风险偏好。

测试报告应写明预期：解析器不可达、隧道重连和中继失败时，应用应该停止还是回退。观察到的行为只有与预期比较后，才可称为符合或偏离。

回退测试结束后恢复原配置，并再次验证正常路径，避免故障条件残留影响后续工作。

每次复查保留策略版本与客户端版本；版本变更后即使界面相同，路由、解析和候选处理也可能不同。

资料来源

• World Wide Web Consortium：《WebRTC: Real-Time Communication in Browsers》，发布或更新于 2025-03-13
• Cloudflare：《What is DNS?》，发布或更新于 2026-01-12
• Cloudflare：《Connect private networks with private DNS》，发布或更新于 2026-06-10