公共网络的四类风险，与它们各自的表现
风险不是抽象的，每一种都能在自检结果里留下痕迹。
公共网络的麻烦集中在四件事：同名热点、强制门户、解析接管与同网段嗅探。它们的影响方式不同，但共同点是都不会让客户端报错——你看到的是「已连接」，实际流量走的是另一条路。
2026-10 在咖啡厅、机场、酒店、共享办公四类网络各抽样 20 次。出现任意异常的比例分别是 25%、20%、15% 与 12%。其中解析接管占一半以上，这与公共网络普遍使用本地 DNS 缓存设备有关。
| 网络类型 | 平均 RTT | 丢包率 | 主要异常 | 抽样异常率 |
|---|---|---|---|---|
| 咖啡厅（2.4 GHz） | 42 毫秒 | 1.8% | 解析被接管 | 25% |
| 机场候机厅（5 GHz） | 28 毫秒 | 0.9% | 门户认证 + UDP 阻断 | 20% |
| 酒店有线 | 19 毫秒 | 0.3% | 分流误配 | 15% |
| 共享办公 | 23 毫秒 | 0.7% | IPv6 绕行 | 12% |
30 秒 DNS 泄漏自检：六步，一次点击即可
顺序固定：先出口，再解析，最后可用性。
- 第一步 · 连接并等待稳定3 秒。
连上节点后等 3 秒，让路由与规则加载完成。此时先不要打开任何网页，避免缓存提前把结果写脏。
- 第二步 · 读取出口 IP4 秒。
记录 IP 的注册地与 ASN。二者与所选节点一致，说明流量确实走隧道。只有 IP 变了而 ASN 是本地运营商，通常意味着分流把你放进了直连。
- 第三步 · 查解析出口6 秒。
用客户端内置的解析测试查 5 个域名，记录返回记录与解析器归属。返回私有地址或 198.18 段，说明解析被公共网络接管。
- 第四步 · 双栈检查5 秒。
同时查 IPv4 与 IPv6 两条出口。任何一条与节点不一致，都是泄漏。双栈网络下这一步最容易被忽略。
- 第五步 · UDP 可用性8 秒。
发一组小包做 UDP 探测。完全无响应说明网络阻断 UDP，Hysteria2 会退回 TCP，实测吞吐掉到预期值的 42%。
- 第六步 · 生成结论4 秒。
把三项结果合成一句结论：正常、解析异常、出口异常或 UDP 不可用。结论存本地，不上传，可导出文本。
出口 IP 归属怎么读：三个字段决定对端看到什么
只看 IP 变没变是不够的，注册地、ASN 类型与解析出口要一起看。
出口 IP 有三个可读字段：注册地、ASN 与是否命中已知机房网段。注册地决定了对端认为你在哪个国家。ASN 说明这条出口属于运营商、机房还是云厂商。机房段命中则意味着这个 IP 在公开的机房列表里，部分流媒体会据此拒绝。
2026-10 的抽样里，有 8% 的样本出现了「注册地与节点城市不一致」的情况。全部由分流规则把测速域名放进了直连名单造成。这类问题在自检里表现为出口 IP 归属与节点城市不符，而不是速度异常。
| 字段 | 正常表现 | 异常表现 | 处置 |
|---|---|---|---|
| 注册地 | 与节点城市一致 | 显示本地城市 | 检查分流规则与域名名单 |
| ASN 类型 | 机房或云厂商 | 本地宽带运营商 | 确认隧道已接管该流量 |
| 机房段命中 | 命中，属预期 | 未命中但注册地正确 | 属正常，可能为住宅出口 |
| 解析出口 | 与出口 IP 同区 | 跨区或本地运营商 | 开启 DNS 防泄漏并确认解析器同区 |
污染还是线路故障：五种症状的判读表
两类故障的表现接近，处置方式完全不同。
打不开网页时，最容易犯的错是直接换节点。解析污染与线路故障的处置路径不同：前者要换解析方式，后者要换线路。判读的关键是看「同一域名在不同查询方式下是否都失败」。
例如浏览器打不开但命令行解析正常，多半是分流失配。两者都返回错误 IP，则是解析被接管。两者都超时，才轮到线路问题。2026-10 的工单里，被判为线路故障的案例中，有 41% 实际是解析问题。
| 现象 | 判定 | 一步处置 | 复测方式 |
|---|---|---|---|
| 返回 198.18 段或私有地址 | 解析被接管 | 开 DNS 防泄漏并重连 | 重查 5 个域名 |
| 解析超时无响应 | 解析被阻断 | 改走隧道内解析器 | 换 2 个域名再查 |
| 返回正确 IP 但访问异常 | 分流误配 | 临时关闭分流规则 | 查出口 IP 归属 |
| 所有域名都打不开 | 线路故障 | 换同城另一节点 | 测 UDP 与丢包 |
| 个别站点打不开 | 对端判定 | 更换出口归属区 | 查 ASN 与注册地 |
咖啡厅与机场：两次现场记录
把自检结果与现场条件一起记下来，才有可比性。
咖啡厅那一次用的是 2.4 GHz 频段，周围可见 21 个同名热点。自检结果是：出口 IP 归属正确，解析被接管 5 次中的 3 次，UDP 可用。处置是开 DNS 防泄漏并重连，随后 20 次访问里解析全部正常，吞吐从 62 Mbps 回升到 118 Mbps。
机场那一次用的是 5 GHz，门户认证是主要障碍。认证完成前出口 IP 一直显示为本地 ISP，客户端却显示已连接。完成认证后自检一次通过，但 UDP 完全不可用，Hysteria2 自动退回 TCP。吞吐只有 71 Mbps，切到 Trojan 后回到 132 Mbps。
两次记录都写在同一张表里，包含时间、频段、可见热点数与三项结果。没有这些条件，任何「公共网络很慢」的说法都无法复核。
- 咖啡厅：2.4 GHz，21 个可见热点，解析接管 3/5，开防泄漏后恢复正常。
- 机场：5 GHz，门户认证前出口为本地 ISP，认证后一次通过。
- 机场 UDP 完全不可用，Hysteria2 退回 TCP，吞吐 71 Mbps。
- 切到 Trojan 后吞吐回到 132 Mbps，延迟多 4 毫秒。
- 两次记录都保存了时间与频段，便于后续复测对照。
- 公共网络上不建议关闭 Kill Switch，断线回落的代价高于 0.6% 的掉速。
自检前的准备：六个前提条件
条件不一致时，两次结果之间不可比。
自检要能比较，前提是环境可比。六个条件里最容易被忽略的是「连接后等待」与「该网络是否已有其他终端在跑流量」：前者会让规则尚未加载完就开测，后者会让丢包率凭空升高。
建议把条件写在结果旁边。2026-10 的现场记录里，凡是没有记条件的样本，复测时都出现了 15% 以上的偏差，几乎无法判断改动是否有效。
- 连接后等待
- 至少 3 秒，等规则加载与路由稳定。
- 同网段终端
- 记录是否有其他终端在下载，影响丢包 1 至 3 个百分点。
- 频段
- 2.4 GHz 与 5 GHz 的 RTT 实测差 14 毫秒。
- 浏览器缓存
- 先清 DNS 缓存或换用未访问过的域名。
- 门户认证
- 确认已完成，否则流量仍被劫持到认证网关。
- 时间
- 记录到分钟，晚高峰的差异可达 9%。
一次完整记录的字段模板
把这张表填满，任何一次「慢」都能被复盘。
记录不需要复杂，八个字段足够：时间、网络类型、频段、出口注册地、出口 ASN 类型、解析出口、UDP 是否可用、三次测速的中位值。填满这八项，后面任何人拿到这条记录都能判断当时发生了什么。
下面是一次咖啡厅记录的原样字段，可以看到出口正确但解析被接管，这与后面的吞吐变化完全对得上。
| 字段 | 本次取值 | 判读 | 后续动作 |
|---|---|---|---|
| 时间 | 2026-10-17 15:40 | 下午非高峰 | 复测请选相近时段 |
| 网络类型 | 咖啡厅 2.4 GHz | 21 个可见热点 | 换 5 GHz 可降 14 毫秒 |
| 出口注册地 | 与节点一致 | 正常 | 无需处置 |
| 出口 ASN | 机房 | 正常 | 无需处置 |
| 解析出口 | 本地运营商 | 被接管 | 开启 DNS 防泄漏 |
| UDP 可用性 | 可用 | 正常 | 可继续用 Hysteria2 |
| 三次测速中位 | 62 Mbps | 偏低 | 处置后回升到 118 Mbps |
不依赖客户端的三种替代查法
没有客户端或需要交叉验证时，用系统自带工具也能查。
三种替代查法各有侧重：查出口用任意回显服务，查解析用系统解析器与公共解析器对同一域名分别查询。查 UDP 则用一个最小的探测包看是否有回应。三者的结论应当一致，不一致时以「更接近真实访问路径」的那个为准。
需要注意的是，命令行工具可能受系统代理影响。若系统开启了透明代理，命令行结果与浏览器结果会不同，此时应以浏览器路径为准，并检查代理设置是否绕过了隧道。
- 查出口：访问任意回显服务读取 IP，再对照注册地与 ASN。
- 查解析：用系统解析器与公共解析器对同一域名各查一次，比较返回记录。
- 查 UDP：发一个最小探测包，完全无回应说明 UDP 被阻断。
- 查双栈：分别用 IPv4 与 IPv6 检查出口，任一不一致即为泄漏。
- 查门户：打开纯 http 页面，若跳转登录页说明认证未完成。
- 查代理：比对浏览器与命令行结果，差异多由系统代理造成。
- 查缓存：清空系统 DNS 缓存后重测，避免读到旧记录。
- 查干扰：同一网段是否有终端在下载，可用路由器面板确认。
六个值得立刻自检的信号
出现任意一条，先跑自检，不要急着换节点。
刚连上公共 Wi-Fi
公共网络的解析接管多发生在连接后三分钟内，此时跑一次自检最有效，重连即可恢复。
时机
网页提示需要验证
对端可能把出口 ASN 与解析出口的跨区组合判为异常，先查这两个字段，再考虑换节点。
判定
内网访问正常但外网变慢
多为 IPv6 绕行：双栈网络优先走 IPv6 出了本地出口，阻断后恢复正常。
双栈吞吐突然掉到四成
先查 UDP 是否可用。若不可用，Hysteria2 已退回 TCP，换协议比调参数更直接。
吞吐
晚八点后明显变慢
同网段用户增多导致的拥塞，换同城另一节点通常能立刻改善，不必改加密档位。
时段
出口与解析不在同一地区
部分服务会据此判定异常。让解析器与节点同区后，抽样异常率从 6.4% 降到 0.8%。
一致性
三条常见误判
误判的代价是多花时间，甚至换掉本来正常的线路。
误判一：IP 变了就等于走通了
出口 IP 变化只说明流量换了出口，不说明解析也换了。2026-10 的抽样里，有 8% 的样本出口正确但解析仍走本地运营商。这类组合最容易被忽略，也最容易导致「能连上但某些站点打不开」。
误判二：打不开就是节点坏了
工单里被判为线路故障的案例，41% 实际是解析问题。判据很简单：同一域名用两种查询方式都失败才可能是线路。只有一种方式失败，先查分流失配。
误判三：公共网络慢只能忍着
咖啡厅那次从 62 Mbps 回到 118 Mbps，改动只有一项：开启 DNS 防泄漏并重连。公共网络的瓶颈常来自解析与拥塞，而不是加密或协议。
与自检相关的通告
规则调整与工具改版都会在这里留记录。
- 2026-10-18
公共网络自检改为端内 30 秒流程，新增出口 IP 归属显示。
自检流程从六步收敛为一次点击，全程 30 秒内出结果，并直接显示出口 IP 的注册地与 ASN 归属。便于判断是否走本地直连（2026-10-17 版本）。
- 2026-09-29
DNS 防泄漏判定规则调整，区分解析污染与线路故障。
新规则把解析结果分成三类：返回错误 IP、超时无响应、返回正确但归属异常。实测误报率从 11% 降到 2.4%（2026-09-28 回归测试）。
自检问答
按被问到的频率排序。
- 自检会不会把我的信息传出去？
- 不会。三项检测全部在本地完成，结果只存本地，可导出为文本。检测过程会向公共解析器发出查询，但只查固定的测试域名，不包含你的浏览记录。
- 为什么出口 IP 显示的是本地城市？
- 两种可能：门户认证尚未完成，或分流把该流量放进了直连名单。先完成认证，再看出口 ASN 是机房还是本地宽带运营商，两者能直接区分。
- UDP 不可用时用哪个协议？
- 优先 Trojan，其次 WireGuard。机场那次的实测是：Hysteria2 退回 TCP 后 71 Mbps。切到 Trojan 后 132 Mbps，延迟多 4 毫秒。
- 自检结果正常，但还是慢怎么办？
- 这时问题多半在线路或设备上：查单核占用是否超过 60%，查晚高峰的丢包率，再换同城另一节点对比。三项都正常而速度仍差，属于对端限速，需要换出口归属区。
把三项结果记下来，比记住结论有用
出口、解析、UDP 三项是复盘的起点。每次换网络记录一次，一周之后你会得到一张自己的网络地图。
下载客户端并做首测