调整VPN与加密DNS后，验证生效的核心在于确认“隧道内的流量是否真的走隧道”以及“DNS查询是否被加密且指向正确服务器”。仅查看客户端图标或状态栏提示“已连接”是不够的，小火箭VPN必须通过实际发起请求并比对结果来验证。
检查出口IP是否变更
这是判断VPN是否真正接管网络流量的第一步。在保持VPN连接状态下，访问公开的IP回显服务（如ipv4.icanhazip.net或ipinfo.io）。如果返回的IP地址是你本地运营商的公网IP，说明流量并未经过VPN服务器，可能存在分流规则未覆盖或客户端失效的情况。如果返回的是VPN服务商提供的节点IP，则证明基本连接建立成功。
需要注意的是，某些VPN应用默认只加密部分流量，或者你的操作系统存在系统级代理配置干扰。因此，即使IP显示为境外节点，也需结合后续DNS测试确认整体策略是否一致。若发现IP未变更，应检查VPN客户端日志中是否有“路由添加失败”或“适配器驱动未加载”等提示，而非盲目重启网络。
在电脑端直接访问测试页面，通过比对返回的IP地址与DNS解析结果，确认流量是否真正通过加密隧道传输。
验证加密DNS的解析路径
加密DNS（如DoH或DoT）的生效验证关键在于确认查询请求确实发往指定的加密DNS服务器，而非泄露给默认的运营商DNS。在命令行工具中，使用dig或nslookup指定特定的加密DNS服务器地址进行测试。例如，若配置了Cloudflare的DoH服务，需确保解析请求的目标地址指向其分配的IP，且通信协议为HTTPS或TLS。
更直观的验证方法是使用支持DoH的浏览器内置功能。在Chrome或Firefox的DNS over HTTPS设置中，手动指定加密DNS提供者后，清除DNS缓存并重新解析一个非通用的域名。观察浏览器地址栏或网络监控工具中的流量，确认DNS查询包的目标端口为443或853，而非默认的53。如果查询结果仍来自本地运营商缓存，shadowrocket说明DNS重定向或hosts文件可能仍在干预解析过程。
识别流量泄露与混合场景
实际使用中，VPN与加密DNS常呈现“混合模式”。即部分流量走VPN隧道，部分流量直连；同时部分DNS走加密通道，部分走明文。要准确验证策略，需分别测试不同类型的网络请求。例如，测试一个国内网站和一个海外网站，记录它们的DNS解析结果和出口IP。如果国内网站的DNS被劫持或解析到错误地址，说明加密DNS配置未完全覆盖所有应用。
此外，要警惕“DNS泄露”。即使VPN已连接，若某些应用绕过系统代理直接发起DNS查询，请求可能会明文发送到本地DNS服务器。使用网络抓包工具（如Wireshark）过滤DNS协议，观察源IP和目的IP。如果看到非VPN节点发出的明文DNS请求，则说明存在泄露。此时需检查操作系统网络适配器的高级TCP/IP设置，确保没有手动指定静态DNS服务器覆盖加密配置。
适用边界与验证局限
上述验证方法适用于大多数基于系统代理或TUN/TAP驱动的VPN客户端及支持DoH/DoT的DNS管理器。但它无法直接验证VPN服务端的安全性或加密强度，仅能证明本地到服务端的连接状态。同时，某些企业环境下的组策略可能强制DNS解析行为，此时个人修改的加密DNS设置可能被覆盖。
最后，单次测试成功不代表持续稳定。网络环境变化、服务器节点故障或运营商策略调整都可能导致配置失效。建议在日常使用中定期抽样验证，特别是在更换网络环境（如从Wi-Fi切换到蜂窝网络）后，重新执行IP检查和DNS解析测试，以确保隐私保护策略始终处于预期状态。
