VPN 客户端显示“已连接”，但网页打不开、应用加载不出来，并不一定代表节点故障。客户端连上服务器，只说明隧道建立过程已完成；设备的 DNS、系统代理、分流规则或本地网络仍可能让流量无法抵达目标。排查时先不要连续切换节点，也不要立刻卸载客户端。按照“确认本机网络—检查代理与 DNS—核对分流和系统设置—再测试节点”的顺序逐项缩小范围，通常更容易找到原因。
先观察故障范围：所有应用都无法联网，还是只有浏览器或某个应用异常？关闭 VPN 后是否能正常上网？故障是否只发生在 Wi-Fi，切换到移动数据后会不会恢复？这些对照可以区分本地网络、设备设置和 VPN 配置问题。排查过程中一次只改变一个设置，并在每次调整后重新测试，避免多个改动叠加后难以判断效果。
先确认本机网络是否正常
暂时断开 VPN，检查设备能否打开常用网页或使用其他网络应用。如果断开后仍无法上网，问题大概率不在 VPN 节点，而在 Wi-Fi、移动网络、路由器或运营商连接。此时先确认设备没有误连到需要网页登录认证的公共 Wi-Fi，也没有开启飞行模式、关闭移动数据，或连接到信号很弱的无线网络。
若断开 VPN 后网络正常，再重新连接并观察故障表现。可以在 Wi-Fi 与移动数据之间切换，或用同一网络上的另一台设备做对照。如果只有一台设备无法访问，重点检查这台设备的代理、DNS 和 VPN 权限；如果多个设备在同一网络下都无法访问，则先重启路由器或确认宽带本身正常。不要把“其他设备能上网”当成 VPN 一定正常的证据：设备可能使用不同的 DNS、代理配置或应用分流规则。
- 断开 VPN 后也不能访问网页：先处理本地网络、Wi-Fi 登录认证或移动数据设置。
- 断开 VPN 后正常，连接后所有应用都失败：重点检查系统隧道、节点连接状态与代理冲突。
- 只有浏览器打不开：检查浏览器代理、安全 DNS、扩展程序或浏览器自己的网络设置。
- 只有某个应用异常：检查该应用是否被分流到直连、是否使用独立代理，或是否需要重新登录。
公共 Wi-Fi 的网页登录页有时会被 VPN 隧道遮住。连接这类网络时，先断开 VPN，完成网络认证，再重新连接。若酒店、校园或办公网络要求接受使用条款，也要先在未启用 VPN 的状态下完成认证。完成后仍无网络，再继续检查设备设置，而不是反复刷新认证页面。
检查系统代理、DNS 与网络模式
VPN 客户端可能通过系统 VPN 接口接管流量，也可能通过系统代理或本地代理端口工作。如果另一个代理软件、浏览器代理扩展或手动配置的代理仍在运行，应用发出的请求可能被转发到旧地址，形成“客户端已连接但应用不能访问”的现象。排查时先关闭其他代理工具，再查看系统的代理设置；如果之前手动填写过代理地址或端口，确认它是否仍由当前客户端使用，不确定时不要随意填入新的地址。
DNS 负责把域名转换为可连接的地址。隧道已经建立，但 DNS 请求仍发往不可达的服务器时，常见表现是域名网站打不开，而连接状态看起来正常。可先更换一个常用域名测试，并观察客户端是否提供 DNS 设置或 DNS 连接状态。不要同时启用多个 DNS 接管工具；如果系统启用了私人 DNS、加密 DNS 或安全过滤应用，可暂时关闭其中一项进行对照，确认结果后再决定是否恢复。
在 Windows 上，检查“设置”中的网络代理，确认没有与当前客户端冲突的手动代理。必要时可以在命令提示符中执行 DNS 缓存刷新，再重新打开浏览器测试：
ipconfig /flushdns在 macOS 上，检查“系统设置”里的网络服务与代理项目，确认所连接的 Wi-Fi 或以太网没有遗留的手动代理。若使用了网络过滤、广告拦截或安全软件，也可以暂时停用其中一项进行对照。不要同时更改多个 DNS 地址、网络服务顺序和代理选项；逐项恢复默认或按客户端说明设置，便于确认是哪一项影响访问。
安卓设备可检查“私人 DNS”是否指向无法访问的主机名，并留意系统是否提示 VPN 连接权限或其他 VPN 正在使用。iPhone 与 iPad 上如果此前安装过多个 VPN 配置或网络过滤配置，检查“设置”中的 VPN 与设备管理相关项目，确认当前启动的是预期配置。对 iOS 和 macOS 而言，iCloud Private Relay 等隐私网络功能可能改变部分流量的处理方式；遇到只有特定应用异常时，可以暂时关闭相关功能进行对照，测试后按需要恢复。
按步骤定位故障位置
完成基础检查后，按下面的顺序操作。每一步都要记录结果：例如“只在 Wi-Fi 下失败”或“浏览器可以打开，某个应用不行”。这样的记录比连续换节点更有用，因为它能说明故障是在设备、网络、客户端还是某条连接路径上。
- 断开 VPN 测试本地网络。打开一个平时可用的网站，再试一个常用应用。若两者都不可用，先修复 Wi-Fi、移动数据或网络认证。
- 换一种接入网络。在条件允许时切换 Wi-Fi 与移动数据，并保持 VPN 设置不变。如果切换后恢复，问题可能与原网络的认证、过滤或路由有关。
- 关闭其他代理或过滤工具。暂时退出其他 VPN 客户端、系统代理、网络过滤器和浏览器代理扩展，避免多个工具同时接管流量。
- 查看客户端运行模式。确认当前不是“直连”或只代理部分应用的规则模式。若目标应用被规则设为直连，它不会经过 VPN；可短暂切换到全局代理作对照，测试后再恢复合适的分流方式。
- 更换一个可用节点。选择不同地区或不同线路类型的节点进行测试。若只有一个节点失败，问题更可能与该节点或对应路径有关；若所有节点都失败，继续检查本机设置、客户端兼容和当前网络限制。
- 重启客户端并重新授权。完全退出客户端后重新打开，确认系统 VPN 授权已授予。不要同时启动两个会创建系统隧道的应用。
- 最后再调整协议或配置。只有在客户端支持、配置来源可靠且当前协议确有连接异常时，才尝试切换协议或更新配置。每次只改一项，并确认原配置仍可恢复。
若节点显示连接成功，但浏览器一直加载，先用不同应用交叉测试，避免把单个网站故障误认为全局断网。若应用可以联网、浏览器不行，清除浏览器代理设置或暂时停用扩展；若浏览器正常而某个应用失败，检查该应用是否排除在 VPN 隧道之外。部分客户端允许按应用分流，应用列表的勾选含义因客户端而异，应结合界面说明确认是“包含”还是“排除”。
不要一开始就手动修改 MTU、路由表或 IPv6 设置。它们确实可能影响某些网络环境中的连接，但错误改动会扩大故障范围。只有在基础网络、DNS、代理和分流都已核对后，且客户端或网络管理员提供了明确建议时，再按对应说明调整；每次调整前记录原值，方便恢复。
Windows、Mac、安卓与 iPhone 的检查重点
Windows：排查代理残留与 DNS 缓存
Windows 上先确认系统代理没有指向已经关闭的本地端口，再检查是否有其他客户端仍在后台运行。若客户端需要创建虚拟网卡，查看网络连接列表中相关适配器是否正常启用；不要仅凭适配器名称判断故障，重点看客户端有没有报告驱动或权限错误。刷新 DNS 缓存后重新测试，如果仍然失败，可重启电脑再连接，以排除旧进程或临时路由状态未释放的情况。
Mac：检查网络服务和配置文件
Mac 用户应确认当前使用的网络服务与 VPN 配置相匹配，并检查系统代理、网络过滤器及其他 VPN 配置是否同时启用。若使用第三方兼容客户端，确认配置格式与客户端内核兼容，订阅更新成功也不代表其中每一种协议都能被当前客户端启动。更新配置前保留必要的节点或规则信息，避免覆盖后无法回到原来的设置。
安卓与 iPhone：检查系统授权和后台限制
安卓上，系统一次通常只允许一个 VPN 服务接管网络。若旧客户端仍占用 VPN 权限，先断开并退出旧应用，再启动当前客户端。检查应用是否被电池优化或后台限制暂停；如果 VPN 连接后切到其他应用就断开，可按系统设置允许客户端在后台运行。不同安卓厂商的菜单名称会有差异，重点是查看 VPN 权限、私人 DNS、电池限制和应用分流。
iPhone 上，确认系统已经允许添加 VPN 配置，且控制中心或设置页中没有另一个配置同时连接。切换网络后若仍无法访问，可先断开当前配置、重新连接，再测试浏览器和其他应用。若问题只出现在蜂窝网络，检查该应用是否允许使用移动数据；若只在某个 Wi-Fi 下出现，则优先回到路由器或网络认证环节排查。
- ✅ 先断开 VPN 验证本地网络，再连接后测试，明确故障发生在哪个阶段。
- ✅ 同一时间只运行一个 VPN 客户端，并逐项检查系统代理、DNS 与分流规则。
- ✅ 使用不同网络和不同应用交叉测试，记录哪些组合正常、哪些组合失败。
- ❌ 不要把订阅链接或完整配置截图发给他人，也不要因一次失败就连续重装客户端。
- ❌ 不要同时改 DNS、MTU、路由和协议；结果无法复现时，先恢复已改设置。
什么时候该换节点、更新配置或联系支持
当断开 VPN 后网络正常、系统代理没有冲突、DNS 与分流设置也已核对，但连接后的网页仍无法加载，可以尝试更换节点。先选一个与目标用途相符的地区，再对比不同线路；不要只凭节点名称判断可用性。节点名称只是配置标签，实际访问还受当前网络、目标服务和客户端协议支持情况影响。若切换到其他节点后恢复，问题通常集中在原节点或原有连接路径，可暂时使用正常节点，并反馈原节点名称和故障时段。
如果所有节点同时异常，检查订阅是否可以正常更新、客户端是否支持配置中的协议，以及设备时间是否准确。时间或配置参数异常可能造成认证与加密连接失败。更新订阅后若节点列表为空或客户端提示解析错误，应先确认是否导入了适合该客户端的配置格式，不要把一种客户端专用配置直接当作所有代理客户端都通用。需要帮助时，提供设备平台、客户端名称与版本、网络类型、错误提示，以及已完成的排查步骤；不要提供密码、完整订阅链接或密钥。
更换协议不是第一步。Shadowsocks、VMess、Trojan、Hysteria2 和 WireGuard 等协议的工作方式与客户端支持范围不同，某些客户端还需要匹配特定传输参数。只有确认当前配置确实包含可切换的协议，并且客户端能够解析时，才进行对照测试。若客户端没有相应选项，不要自行拼接配置字段；使用服务提供方给出的兼容配置，或先查阅对应客户端的导入说明。
恢复联网后，逐项把临时关闭的私人 DNS、过滤功能或其他网络设置恢复到原状态，再确认 VPN 仍可正常工作。这样可以避免排查期间留下不必要的安全设置变更。若最终确认是单个节点、订阅格式或应用分流规则导致的问题，记录具体现象和复现条件，后续再次出现时就能直接从相关环节入手。