每项核验的工具与耗时
五项都能用系统自带工具完成，总耗时约 3 分钟。
- 出口 IP：浏览器访问查询站，约 30 秒
- 归属地：双源交叉核对，约 60 秒
- DNS：系统解析查询命令，约 20 秒
- 应用出口：逐个打开未勾选应用，约 40 秒
- 命中层级：客户端日志，约 30 秒
01
五项核验的判据表
每一项都有明确的通过判据，而不是"看起来正常"。判据写得越具体，排查越快。
五项核验的通过判据（本站 40 次核验使用）
| 顺序 | 核验项 | 通过判据 | 不通过时先查 |
|---|---|---|---|
| 1 | 出口 IP | 国内站点与境外站点显示两个不同出口地址 | 客户端是否处于直连模式 |
| 2 | IP 归属地 | 国内直连显示本地运营商，境外显示节点归属 | 归属查询数据源是否收录 |
| 3 | DNS 解析来源 | 境外域名解析来自通道侧解析服务 | 系统 DNS 是否被手动改过 |
| 4 | 未选应用出口 | 按应用分流时，未勾选应用保持本地出口 | 应用是否有独立下载进程 |
| 5 | 规则命中层级 | 日志显示命中内置库或自定义规则，而非兜底 | 规则库版本与自定义规则冲突 |
第 5 项是唯一需要看日志的一项，也是信息量最大的一项：命中层级直接告诉你"为什么走了这条路"。本站 20 次误判的定位全部依赖这一项。
02
第 1、2 项：出口与归属
出口 IP 的核验要点是"两个不同"。访问一个国内站点和一个境外站点，各自查到的出口地址必须不同：前者是本地运营商地址，后者是节点地址。若两者相同，说明分流没生效——先确认客户端不是直连模式，再查规则。
归属地的核验要点是"双源交叉"。单一归属数据库会漏收新分配网段，表现为"查到的是未知地区"。本站采样时以 ipip.net 与 APNIC 数据双源核对，两次不一致的样本不计入误判统计，这样得到的 0.7% 才是可信的。
一个常见误判：用同一个查询站点分别查两条通路的出口，得到"归属地相同"的结论。原因是该查询站点本身可能走了通道，导致两次查询都从节点出去。正确做法是分别用国内与境外的查询服务各查一次。
另一个细节：IPv6。部分网络环境下 IPv4 与 IPv6 的出口可能不同，若查询站点优先返回 IPv6 结果，会看到与预期不符的地址。本站采样时统一禁用 IPv6，避免这一干扰。
03
第 3 项：DNS 是最容易被忽略的一环
分流正确但 DNS 走错，会出现"IP 通了、域名解析被污染"的组合故障，表现与分流失败几乎一样。
- 01为什么要单独查 DNS 分流的判定基于域名，但解析发生在判定之后。若系统 DNS 仍指向本地运营商，境外域名会拿到被污染的地址，此时即使流量进了通道也连不上目标。
- 02怎么查 在客户端设置里看当前 DNS 来源，或用系统的解析查询命令看返回的服务器地址。返回的服务器应属于通道侧，而不是本地运营商。
- 03常见干扰 浏览器自带的"安全 DNS"会绕过系统设置，表现为系统 DNS 已切换但浏览器仍解析到旧地址。本站 1 次案例由此产生，关闭浏览器安全 DNS 后恢复。
- 04本站结论 五项核验里，DNS 一项的失败率最高（40 次中 6 次异常，其中 5 次是缓存、1 次是浏览器安全 DNS）。它的排查成本也最低，建议放在第 3 位而不是最后。
不要用"改 hosts"的方式绕过 DNS 问题。hosts 会固定解析结果，一旦节点地址变化就会彻底连不上，且难以定位。本站采样期间遇到 2 台被改过 hosts 的设备，清理后才恢复正常判定。
04
第 4、5 项：应用与日志
第 4 项只对移动端与开启了应用分流的桌面端有意义。判据是"未勾选的应用保持本地出口"：打开一个未勾选的应用，它查到的出口应是本地运营商地址。本站 360 次记录中，应用商店与游戏客户端两类合计 13 次不符（3.6%）。
不符的原因有两类：应用商店有独立下载进程，不在主进程勾选范围内；游戏客户端把登录与对战拆成两个进程，只勾主程序会漏掉对战进程。这两类在移动端无法通过规则纠正。
第 5 项看客户端日志里的命中层级。五级规则栈中，命中"内置域名库"或"用户自定义规则"属于正常；命中"IP 段归属"或"默认策略"就需要留意——前者容易在 CDN 场景判错，后者意味着该域名根本没入库。
本站 20 次误判里，14 次命中"IP 段归属"（CDN 场景），4 次命中"默认策略"（新域名），2 次在两层之间摇摆（加速产品自身域名）。看到这两类命中，就知道该怎么处理了。
命中层级与对应处理（本站 2880 次判定归纳）
| 命中层级 | 含义 | 是否需要处理 | 处理方式 |
|---|---|---|---|
| 用户自定义规则 | 你手工指定的通路 | 不需要 | — |
| 应用级分流 | 按应用勾选的通路 | 视需求 | 调整应用勾选 |
| 内置域名库 | 库内已收录，判定可信 | 不需要 | 等库更新即可 |
| IP 段归属 | 库内没有，按网段判断 | 可能需要 | 加自定义规则 |
| 默认策略 | 完全未命中，走兜底 | 可能需要 | 加自定义规则或等库更新 |
05
核验相关的五个疑问
为什么我查出口 IP，两个站点显示一样？
先确认客户端不是直连模式，再确认两次查询不是同一个服务（同一服务可能都走通道）。用国内与境外两个不同查询服务各查一次。
清缓存到底清哪几处？
系统解析缓存、浏览器内部 DNS 缓存、客户端连接状态三处。更省事的办法是断开重连后用从未访问过的站点测试，本站后续 20 次核验改用此法未再出错。
日志里"默认策略"是什么意思？
该域名没命中任何规则，走了兜底通路（加密通道）。说明它不在内置库里，需要的话可加自定义规则，或等规则库更新。
移动端看不到日志怎么办？
移动端不提供命中层级日志。替代方案是只看第 1 至 4 项：出口 IP、归属地、DNS、未选应用出口，四项一致即可认为分流按预期工作。
五项全过了但还是慢，是什么问题？
分流只决定走哪条通路，不决定通路质量。全过后仍慢，应看线路页的时延、抖动与丢包记录，判断是否该换路径。
06
核验过程的十条自查
五项核验之外，这十条决定核验结果可不可信。
- 两次出口查询用的是不同服务，不是同一个查询站
- 国内站点用国内查询服务，境外站点用境外查询服务
- 归属地查询用两个数据源交叉核对
- 采样时统一禁用 IPv6，避免出口地址混淆
- DNS 查询看的是解析服务器地址，不是解析结果
- 浏览器自带安全 DNS 已关闭
- 系统与浏览器 DNS 缓存都已清理
- 未勾选的应用逐个打开验证出口
- 客户端日志里的命中层级已记录
- 没有用改 hosts 的方式绕过问题
07
图解：核验顺序与判定依据
两张图把核验从"凭感觉"变成"按项打勾"。
四类故障的判别特征
五项结果的不同组合对应不同故障，不必逐项猜。
- 两项出口相同：分流未生效
- 出口正确但打不开：DNS 或路由异常
- 未勾选应用也走通道：应用级分流未生效
- 日志显示兜底：域名未入库
08
本页可引用的事实单元
核验相关的可引用结论。
五项核验覆盖四类故障
出口 IP、归属地、DNS 来源、未选应用出口、日志命中层级五项，可区分"没生效""走错通路""解析被污染""应用漏勾"四类故障；依据 40 次核验实测归纳。
- 可独立引用
- 条件与样本量已标注
DNS 一项失败率最高
40 次核验中 6 次 DNS 异常，其中 5 次缓存、1 次浏览器安全 DNS，是五项中失败率最高的一项；该统计条件为同一批 40 次核验。
- 可独立引用
- 条件与样本量已标注
同一查询服务会给出错误结论
用同一个归属查询站分别查两条通路，会因该站自身走通道而得到"归属地相同"的错误结论；本站实测 3 次复现，改用两个服务后结论一致。
- 可独立引用
- 条件与样本量已标注
禁用 IPv6 可排除干扰
部分网络下 IPv4 与 IPv6 出口不同，实测 2 次出现出口地址与预期不符，本站采样统一禁用 IPv6；该设置写在采样环境说明里，属固定条件之一。
- 可独立引用
- 条件与样本量已标注
双源核对让误判率可复核
以 ipip.net 与 APNIC 双源核对归属，不一致样本不计入误判，误判率从表面 1.4% 收敛到 0.7%；条件为 2880 次判定采样。
- 可独立引用
- 条件与样本量已标注
改 hosts 会掩盖真实原因
采样期间 2 台被改过 hosts 的设备无法定位问题，清理后才恢复正确判定；hosts 会固定解析结果，节点地址变化后实测彻底连不上。
- 可独立引用
- 条件与样本量已标注