如何在不记录浏览的情况下测试 VPN 稳定性

你想知道隧道能否挺过笔记本睡眠、在接入点之间走动，或一小时通话，又不愿为此把读过的所有内容交给别人。三件事能回答：固定探针、按计划采样的同样四项事实，以及把改变它们的事件写下来。这样的十分钟胜过一下午盯着页面加载失败。最后留下的日志也足够短，不必涂掉一半就能附进工单。

先决定“稳定”必须指什么

“VPN 掉线了”是四种不同故障共用一个说法。对端可能丢失握手，路由可能回落到本地网关，域名解析可能走向从不经隧道应答的服务器，或者这一切都健康而某个应用仍然失败。采集之前先判断哪一种符合你的症状，因为每种需要不同的探针。然后选一个能坚持的间隔：每三十秒一个样本、持续十分钟，足以抓住一次漫游，又不至于把测试变成负担。

如果抱怨的是走到厨房时通话卡住，你要的性质就是漫游之后新请求能否完成。这可以用一行命令检查，而且完全不记录任何浏览。

固定一个无害的探针

选一个允许你查询、又不与账号绑定的目标：文档站点、内部状态端点，或隧道网关本身。让操作可重复，例如 curl -s -o /dev/null -w "%{http_code} %{time_total}\n" https://example.com/，每次尝试打印一行。整个过程中保持这个输出格式不变。只有以同样方式采集两次的状态码和耗时，才能让两次运行可比。

不要用你真正依赖的站点。银行或网页邮箱会把跟踪器、跳转和个人内容拖进测量，还会把会话标识打进你之后贴进工单的内容里。整个排查过程都用同一个目标，并把它记在间隔旁边。

采样四项事实

对端状态、路由、解析器和一个新请求就是四项观察，每项都有廉价来源。在 WireGuard 上，wg show wg0 latest-handshakes 给出对端时间戳，ip route get 1.1.1.1 显示内核会走哪个接口。在 OpenVPN 上，同样的状态在 --status /run/openvpn/status 10 写出的状态文件里，或位于管理接口的 state 之后。Windows 客户端则留在 PowerShell 里用 Get-NetAdapter 和 Resolve-DnsName。

把它们放进同一个终端的循环，让每行都带上时间戳：for i in $(seq 1 20); do date -Is; wg show wg0 latest-handshakes; ip route get 1.1.1.1; sleep 30; done。这个循环覆盖六个日志字段中的三个；客户端版本只在开头写一次，事件时间戳则在事件发生时补上。

解析器是大家最常跳过的事实，而 dig +short 会把它藏起来，因为那种形式只打印答案。要用 dig example.com | grep SERVER: 明确询问服务器，或在没装 dig 的地方用 nslookup example.com，它会打印查询所去服务器的地址。空闲隧道上的旧握手也不自动是故障，因为 WireGuard 只在有流量需要保护时才换密钥。

触发事件，而不是制造泄露

在你关心的事件之前留五分钟安静时间作基线，无论是合上盖子、走到另一个接入点，还是切到手机热点。记下你触发它的时间，这样两侧的样本才能对齐。

没有那个时间戳，日志上就只有一个空洞，谁也说不清是客户端还是网络断的。事件位置不同的两次运行，胜过没有事件的十次。使用客户端自己的断开和重连控件。不要关掉断网保护开关，也不要把流量推到隧道外面看会发生什么，因为在受管理的笔记本上那是违规，在自己的机器上则正好制造了你正在测试的暴露。

让日志小到能做完

每个样本六个字段：时间、客户端版本、端点、接入网络、事件、结果。不要记录网址、载荷、令牌和任何带会话标识的内容，因为日志只是关于隧道的证据，别的都不是。把它放在循环旁边，下一个人就不必问这些列是什么意思。

发生变更后，用同一个探针、同一个间隔重跑测试；如果同时换掉目标和客户端版本，结果就不属于任何一方。一次干净的十分钟运行是对那些条件和那个目标的证据，而不是对下个月酒店网络的承诺。把脚本和日志模板放在你能找到的地方。WireGuard 的有文档记录的局限值得在把掉线归咎于协议之前读一读。