流量异常消耗的排查：是泄露还是后台占用

判断依据：设备全断开时，流量还涨不涨

流量异常消耗的来源只有两类：外部有人在用你的订阅，或者你自己的设备在后台把流量送进了代理。 区分两者不需要复杂工具，只需一个对照实验：把自己所有设备的代理全部断开，观察面板已用流量是否继续增长。继续增长，指向外部占用，属于安全问题；不再增长，指向本机后台，属于使用与规则问题。

流量怎样计量、每 GB 成本怎样估算，见 每 GB 成本与流量规划。本文只解决“多出来的流量是谁用的”。

先排除两个“假异常”

在做实验之前，先确认异常是不是统计口径造成的：

1. 节点倍率。 节点名称里标注了倍率时，扣减的流量是实际流量乘以倍率。长时间停留在高倍率节点上，面板数字会比预想的涨得快。
2. 统计口径不同。 面板在服务端计量上行加下行，客户端的统计可能只算本次运行期间，或只显示下行。两边对不上是常见情况，详见 机场流量怎么算。

排除这两点后仍觉得异常，再进入下面的步骤。

对照实验：全关观察与逐台恢复

第 1 步：清点设备

列出所有导入过这份订阅的地方，包括不常用的旧手机、平板、电视盒子、路由器和公司电脑。漏掉一台设备，实验结论就会出错。

第 2 步：全部断开，记录读数

在所有设备上关闭代理或退出客户端，记下面板上的已用流量和时间。注意部分面板的统计有延迟，读数可能在断开后的一段时间内仍小幅变化。

第 3 步：等待并复查

等待几个小时，选择你本来就不怎么上网的时段效果更清楚，例如夜间。再次读取面板数字：

观察结果	指向	下一步
明显增长，且增速接近正常使用	外部占用	立即重置订阅，按泄露处置
小幅变化后停止	统计延迟	视为正常，进入第 4 步
完全不变	外部占用可能性低	进入第 4 步定位本机来源

第 4 步：逐台恢复

每次只恢复一台设备的代理，正常使用一段时间后对照面板增量。哪台设备恢复后增量明显偏大，问题就在哪台设备上。

外部占用：典型特征与处理

外部占用通常表现为：增长与你的作息无关、深夜也在持续；面板在线设备或在线 IP 数超过你的设备数；流量在某个日期之后突然加快，而那段时间你恰好分享过截图、用过在线转换或换过来路不明的客户端。

外部占用还有一种容易被忽视的来源：你曾经用过的在线订阅转换服务。转换后端会定期以自己的网络身份拉取订阅，如果有人通过它获得了你的节点，流量增长就可能与你的任何设备都无关。回想一下最近是否在网页上粘贴过订阅地址，数据流向见 在线订阅转换会把链接发到哪里。

确认后不要继续观察，直接按 订阅链接泄露后的应急处置 重置订阅并清点副本。

本机后台占用：常见来源

如果问题出在自己的设备上，下面是常见的几类来源：

来源	为什么会走代理	可以检查什么
系统更新与应用更新	全局模式或规则未覆盖时，更新包经过节点	当时使用的代理模式
云盘、相册同步	后台上传下载量大，且持续进行	同步应用是否被规则送入代理
TUN 模式接管全部流量	本该直连的国内流量也可能进入代理	规则中直连部分是否生效
视频应用自动播放、预加载	后台缓存高码率内容	应用的自动播放与画质设置
下载工具、游戏更新	单次体量大	是否在代理开启时运行
高倍率节点长时间停留	实际流量被放大扣减	当前选中的节点及其倍率标注

定位到具体设备后，可以再细分一步：在这台设备上逐个关闭可疑的应用或同步任务，每次关闭后观察一段时间的面板增量。多数情况下，一两个后台任务就能解释大部分多出来的流量。

这些都不是安全问题，而是分流与使用习惯问题。修改规则、调整模式的具体方法属于客户端排障，见 规则分流与故障排查。

两种情况同时存在怎么办

有时外部占用与本机后台占用会叠加：重置订阅后流量增速下降，但仍偏高。这时按顺序处理更省事：先重置订阅，切断外部可能；再用逐台恢复的办法定位本机来源。顺序反过来，你会在规则上花很多时间，而外部占用一直在继续。

记录习惯能让排查更快

建议在每个付款周期内，每周固定一天记录一次面板已用流量。有了历史曲线，异常出现时能马上看出是从哪天开始、增速多大，再对照那几天自己做过什么，很快就能缩小范围。本专题其他凭证与客户端安全话题，见 隐私与账号安全专题页。请在遵守服务条款与所在地法律法规的前提下使用相关服务。