VPN 显示已连接，却打不开网页、应用一直转圈，或只有部分服务能用，通常不代表隧道已经完全正常。客户端的连接状态只说明它认为连接已建立；本机网络、DNS 解析、系统代理、分流规则或目标线路仍可能有问题。排查时先别反复重装客户端，也不要一次改动多个选项。按下面的顺序逐项验证，每完成一步就重新测试，才能知道是哪项设置起了作用。
先判断问题来自本机网络还是 VPN
第一步是建立对照：暂时断开 VPN，用当前 Wi-Fi 或移动数据打开几个平时能访问的网站。如果断开后仍无法联网，优先检查路由器、网络服务、系统飞行模式和设备本身；此时继续调整 VPN 协议通常不会解决底层网络故障。若断开 VPN 后恢复正常，而一连接就无法访问，再把重点放到客户端、DNS 与路由设置。
如果问题只出现在一个网站或一个应用，也先确认服务本身是否可用，并尝试在同一设备上访问其他站点。浏览器显示“无法解析域名”更像是 DNS 环节异常；一直等待后超时，可能与线路不可达、路由不合适或目标服务响应有关；只有某个应用失败，则要查看该应用是否使用独立代理、是否被规则排除，以及是否需要重新启动以建立新连接。
同时记录当时使用的网络类型、客户端模式、所选线路和错误提示。记下这些信息不需要暴露账户资料，却能避免排查过程中忘记改过什么。若 Wi-Fi 与移动数据表现不同，说明问题可能与当前网络的 DNS、代理设置或 UDP 支持有关，不宜直接把原因归结为设备故障。
判断原则：先确认断开 VPN 时网络是否正常，再判断故障是否只在连接 VPN 后出现；不要在基线网络本身不可用时同时改动线路和系统设置。
先完成六步基础排查
以下六步按由易到难排列。每次只改一项，随后断开并重新连接，再用同一个网站或应用测试。这样既能避免多项设置互相影响，也更容易在问题解决后恢复原来的配置。
- 确认基础网络可用。断开 VPN 后测试网页；如果不通，重新连接 Wi-Fi、检查移动数据是否启用，或重启网络设备。若其他设备也无法联网，先处理网络本身。
- 重新建立连接。在客户端主动断开，等待连接状态完全结束，再重新连接。若仍无响应，可退出客户端后重新打开；移动设备上也要确认系统没有限制该应用的后台网络活动。
- 关闭重复代理。检查系统代理、浏览器代理、代理扩展和其他 VPN 客户端。多个工具同时接管流量，可能出现代理地址互相覆盖、路由冲突或连接请求绕圈。
- 更换一条可用线路。从客户端提供的列表中选另一条线路测试。原线路可能暂时不可达或与当前网络不适配；切换后应等待客户端报告连接结果，再用相同目标验证。
- 切换客户端提供的连接方式。如果客户端明确提供其他受支持的协议或传输选项，可逐项对照测试。不要仅凭协议名称猜测哪种一定更快，也不要手工拼接来源不明的配置。
- 检查分流和应用范围。查看目标应用或域名是否被设为直连、排除或绕过。如果使用系统代理模式，确认目标程序会读取系统代理；若客户端支持隧道模式，也应核对其路由排除项。
这组步骤适合快速缩小范围，但“换线路后暂时能用”并不能说明原线路永久不可用；网络环境和远端状态可能变化。确认恢复后，不要继续连改多个参数，否则后续再次出问题时很难分辨是线路变化还是本机配置造成的。
动手操作：按设备检查代理和 DNS
基础步骤之后，检查设备的网络设置。DNS 负责把域名转换为网络地址；代理设置则决定应用把请求交给哪个中间服务。两者出现旧配置或冲突时，客户端即使显示连接成功，网页仍可能无法正常加载。VPNJoin VPN测评可作为了解服务信息的入口；但排障时应以设备当前设置、客户端状态和实际访问结果为依据。
Windows 和 macOS
Windows 用户可以检查“设置”中的网络代理选项，确认没有遗留的手动代理地址或与当前客户端冲突的代理程序。若客户端依靠系统代理工作，代理地址应由客户端按其说明设置；不要为了测试而随意填写网上找到的端口。macOS 用户可在当前网络服务的详细设置中查看代理项目，并确认是否存在不再使用的手动代理。两个系统都应避免同时运行多个会修改系统代理或路由的工具。
如果怀疑只是系统缓存了旧的域名解析结果，可先重启浏览器或设备再测试。Windows 也可在命令提示符中运行 ipconfig /flushdns 清理 DNS 缓存；macOS 的缓存刷新方式会随系统版本变化，不确定命令时重启设备是更稳妥的选择。清缓存只会清除本地解析记录，不会修复线路不可达、错误代理或网络服务中断。
iOS 和 Android
移动设备通常会通过系统授权建立 VPN 配置。检查设置中当前使用的 VPN 项目是否对应正在运行的客户端，并留意是否有另一个 VPN 或安全应用同时开启。Android 用户如果启用了按应用分流，应确认目标应用没有被加入排除列表；此外，系统的“私人 DNS”设置可能影响域名解析，可在记录原值后临时切换为自动或关闭测试，再恢复适合自己的设置。iOS 用户可以在 Wi-Fi 与移动数据之间做对照，并检查是否启用了会影响目标应用网络请求的过滤或代理配置。
移动网络切换后，已有应用连接有时不会立即重建。关闭目标应用后重新打开，再执行一次实际操作；不要只看此前已经加载出来的网页。调整 DNS 或代理设置前，先记下原配置。若是由工作网络、学校网络或设备管理配置提供的设置，不要擅自删除，应先向网络管理员确认。
- ✅ 先记录原始设置，再一次只调整一个代理或 DNS 选项。
- ✅ 用同一设备、同一目标网站对比连接前后的结果。
- ✅ 只有特定应用无法联网时，检查该应用的分流、代理与网络权限。
- ❌ 不要同时开启多个 VPN 客户端或重复设置系统代理。
- ❌ 不要把清理 DNS 缓存当作修复所有连接故障的方法。
按症状定位线路、协议和分流问题
当普通网页能打开、特定应用却离线时，重点查看流量是否被分流。规则模式会按域名、地址或应用决定走代理还是直连，所以“连接成功但某个目标无法访问”有时是规则没有按预期命中。可在客户端允许的范围内临时切换到全局路由做对照；测试结束后恢复原模式，避免不必要的流量改变路径。
如果所有应用都无法联网，但断开 VPN 后正常，先换另一条线路，再检查客户端是否提示 DNS、认证或传输错误。不同线路的入口与网络路径不同，当前网络可能无法稳定访问其中某条线路。不要把节点名称中的地区当成连通性的保证，也不要用瞬间的测速结果替代实际网页和应用测试。
若客户端支持多种协议或传输方式，选择一个由服务端和客户端共同支持的选项逐一尝试。Shadowsocks、VMess、Trojan 等协议需要对应的客户端配置；Hysteria2 通常使用基于 QUIC 的 UDP 传输，在限制 UDP 的网络中可能连接困难。即使客户端列出了某种协议，也不意味着当前订阅或线路提供了该配置。若使用 Clash Verge、sing-box 或 Shadowrocket 等兼容客户端，应确认订阅已成功更新、配置未过期，并核对所选模式与规则集；不要把客户端兼容能力等同于每条线路都支持同一协议。
也可以用不同网络做对照，例如从 Wi-Fi 切换至移动数据后重试。如果一种网络可用、另一种不行，问题可能在网络策略、DNS、UDP 或代理限制，而不是设备普遍故障。对照完成后恢复日常网络设置，并记录哪种网络、线路和连接方式可以复现问题，后续反馈会更有帮助。
排查重点：只有个别目标失败时先查分流和应用代理；所有目标都失败时，优先对照基础网络、其他线路和客户端连接提示。
仍无法恢复时如何安全求助
完成对照后仍无法联网，可以恢复之前记录的 DNS、代理和路由设置，再重启客户端或设备进行一次干净测试。若问题持续，整理设备系统版本、客户端名称与版本、所用网络类型、故障开始时间、尝试过的线路及错误提示。说明“断开 VPN 时是否能上网”“是否所有应用都受影响”“换网络后是否复现”，比只说“连上没网”更容易定位环节。
如果客户端提供连接日志，可按支持人员要求提供与故障时段相关的内容；分享前先检查并遮挡用户名、完整订阅链接、令牌、访问凭据以及不需要公开的个人信息。不要把完整配置文件或账户密码发到公开论坛，也不要安装陌生人提供的证书、脚本或远程控制工具来“修复网络”。
当故障只在某一条线路出现时，可以在客户端允许的范围内换线路复测；若多条线路都无法连接，则检查订阅是否已更新、客户端权限是否正常，以及当前网络是否允许该类连接。需要调整协议时只使用客户端和订阅实际提供的选项。提交反馈后按官方支持流程处理，不要把临时可用误判为根因已经消失。
最后，排查结束后关闭不再需要的全局代理或测试模式，并恢复原本的分流与 DNS 设置。把有效的线路、网络类型和设置变化简单记下来，下次出现相似问题时就能先做有依据的对照，而不是从头反复改动。