VPN 客户端显示“已连接”，但网页打不开、应用提示离线，通常不代表隧道已经正常承载所有流量。连接状态只说明客户端完成了某个连接环节；设备的 Wi-Fi 或移动网络、系统代理、分流规则、DNS 解析和目标线路仍可能单独出错。排查时先不要同时改动多个选项，按下面的顺序逐项检查，才能判断问题来自本地网络、客户端还是线路。
先判断故障范围：全部应用还是个别应用
先记下故障发生时的网络环境、客户端模式和具体表现：是所有网页都无法加载，还是只有某个浏览器、游戏或工作应用失败？如果客户端日志显示已连接，但浏览器转圈、应用报超时，这些信息比反复点击连接按钮更有助于定位问题。
- ✅ 打开一个平时可访问的网站，再测试另一个不同的网站，确认是否为单一站点故障。
- ✅ 暂时断开 VPN，检查设备的普通网络是否能访问互联网；如果也不行，先处理 Wi-Fi、移动数据或路由器连接。
- ✅ 记录失败的是浏览器、单个应用还是所有应用，留意是否只有某类网站或域名受影响。
- ❌ 不要一边更换线路，一边修改 DNS、代理和分流规则，否则即使问题消失，也很难知道是哪项设置起作用。
可以在同一设备上对比浏览器和应用的结果。浏览器能正常访问而某个应用不行，常见原因是应用不遵循系统代理、被分流规则设为直连，或使用了独立的网络配置。若所有应用都无法联网，则优先检查本地网络、系统路由和客户端的接管模式。
第 1—2 步：确认本地网络与系统连接权限
第 1 步：验证 Wi-Fi 或移动网络本身可用
先断开 VPN，用当前网络打开普通网页。若页面仍无法打开，可以切换 Wi-Fi 与移动数据进行对照；使用 Wi-Fi 时，检查设备是否误连到需要网页登录认证的网络，或路由器是否暂时失去外网连接。若断开 VPN 后网络恢复，再重新连接并复测，能够帮助区分“本地网络不可用”和“连接后流量转发异常”。
公共网络、公司网络和校园网络可能限制 VPN 所需的连接方式。若只在某个网络环境下出现故障，不要立刻删除客户端配置；先在允许使用的另一种网络上做对照，并遵循网络管理员的规定。若设备正在使用其他 VPN、代理软件、安全软件或网络过滤应用，先确认它们是否会拦截、替换或接管连接。
第 2 步：检查客户端权限与系统代理状态
VPN 客户端可能需要系统批准的 VPN 配置或网络扩展权限。手机上检查系统设置中的 VPN 状态，确认当前连接对应的是正在使用的客户端；如果系统弹出连接请求，按客户端的正常流程授权。电脑上检查客户端是否被系统防火墙、安全软件或组织策略阻止。不要为了测试而长期关闭防护，也不要随意安装来源不明的网络扩展。
如果使用系统代理模式，客户端通常会设置系统代理入口，但并非每个程序都会读取系统代理设置。检查客户端中的系统代理开关是否开启，并核对系统代理设置是否与客户端状态一致；不要照搬其他设备上的本地地址或端口。若曾手动配置代理，可先恢复为客户端管理的状态，再关闭并重新启动浏览器测试。
使用 TUN 或虚拟网卡模式时，客户端通过虚拟网卡和路由规则接管流量，通常还涉及系统权限、路由与 DNS。确认相关组件已正常启用；如果设备同时运行其他 VPN、虚拟网卡或企业网络工具，可先停用冲突项，并暂时切回客户端支持的基础模式进行对照。TUN 开关显示开启，并不等于每个应用都必然被接管。
第 3—5 步：按顺序执行七项修复操作
下面的七项操作从影响较小的检查开始。每完成一项，都重新打开先前无法联网的应用，确认结果后再继续。若当前客户端菜单名称不同，可按“连接模式”“系统代理”“规则”或“DNS”等设置含义寻找对应选项；不要在不清楚作用时直接改动高级参数。
- 第 1 项：重新确认本地网络。暂时断开 VPN，分别测试当前 Wi-Fi 或移动网络。若普通网络也无法访问网页，先重新连接网络、检查路由器状态，或完成公共网络要求的网页登录认证。
- 第 2 项：彻底退出并重新连接客户端。先断开连接，再从系统正常退出客户端并重新打开，等待配置和线路状态加载后再连接。仅关闭窗口不一定会结束后台服务；确认系统状态栏或通知区域没有另一个仍在运行的代理客户端。
- 第 3 项：换一条可用线路做对照。先选同一目标地区的另一条线路，保持其他设置不变。如果仍失败，再选择服务实际提供的其他候选线路。线路名称、地区标签或一次连接成功，都不能保证到每个目标网站的访问路径始终相同。
- 第 4 项：核对代理模式与分流规则。浏览器能访问而某个应用失败时，确认该应用是否遵循系统代理，以及相关域名是否被规则设为直连。可以临时用客户端支持的全局模式作对照；若全局模式可用、规则模式失败，重点检查规则匹配和应用是否被接管，然后恢复适合日常使用的模式。
- 第 5 项：检查 DNS 解析。若连接后只有部分网站打不开、域名报错或加载到错误页面，问题可能与 DNS 解析或 DNS 请求的路由有关。检查客户端的 DNS 选项是否启用、系统是否另有加密 DNS 或手动 DNS 设置；每次只调整一处，并在修改后重新连接测试。不要未经确认就填入不明 DNS 地址，也不要把清空 DNS 缓存当作所有连接故障的通用解法。
- 第 6 项：切换客户端支持的连接协议。如果线路已更换、模式和 DNS 也已检查，且客户端明确提供其他协议或配置，可按服务说明切换到兼容选项进行对照。Shadowsocks、VMess、Trojan 和 Hysteria2 等属于不同的代理协议或方案名称，支持情况取决于订阅内容与客户端实现；不要手动把一种协议的参数套用到另一种协议上。
- 第 7 项：恢复可识别的设置并收集故障信息。若尝试后仍未恢复，撤销刚才无法确认效果的高级改动，保留客户端原有配置，并记录系统平台、客户端名称与版本、连接模式、失败应用、出错时间和已尝试的步骤。订阅链接可能包含访问凭据，不要将完整链接、密码或含隐私信息的日志公开发送。
对照线路时，VPNNQ 提供 90+ 国家、190+ 线路；这些覆盖信息不能代替对当前设备与目标服务的实际验证。若需要进一步了解服务入口，可从VPNNQ 好用的VPN查看相关信息；排查期间仍应一次只改变一个变量，避免把客户端设置问题误判成线路故障。
第 6 步：按设备检查常见设置差异
不同系统对 VPN、代理和 DNS 的管理方式不同。确认设置时，以设备当前系统版本和客户端界面为准；不要为了套用其他平台的教程，修改自己设备上不存在或作用不同的选项。
- Windows：检查客户端是否仍在后台运行，以及 Windows 的代理设置是否被手动配置成其他地址。系统代理适合先验证遵循系统设置的浏览器；如果只有个别程序失败，检查它是否绕过系统代理或被规则设为直连。启用 TUN 后若网络异常，可在客户端支持的前提下暂时关闭该模式进行对照。
- macOS：检查系统 VPN 状态与网络设置中的代理选项，确认没有其他网络工具保留旧代理。若客户端需要网络扩展或相关权限，检查系统提示和客户端状态；不要在未确认影响的情况下移除系统配置。
- Android：查看系统 VPN 页面中当前运行的应用，并检查是否开启了始终开启 VPN 或阻止未经过 VPN 的连接。若客户端意外退出，这类设置可能导致设备看起来完全离线。系统“私人 DNS”或其他 DNS 应用也可能影响解析，排查时先记录当前状态，再按客户端说明逐项验证。
- iOS：检查系统设置中的 VPN 状态，并确认当前配置属于正在使用的客户端。若从 Wi-Fi 切到移动网络后故障才出现，可分别测试两种网络，并重新连接客户端。不要删除配置描述文件或重置网络设置作为第一步；这类操作可能影响其他网络配置，先按客户端说明排查。
- Linux：检查当前网络管理器、路由与 DNS 状态是否被客户端之外的工具改写。若同时运行命令行代理、系统代理和 VPN 客户端，确认它们没有重复设置代理环境变量或默认路由；改变网络配置前，记录原值以便恢复。
如果某个应用本身提供代理选项，应先确认它是否应使用系统代理，避免客户端代理与应用内代理叠加。叠加配置可能导致请求经过错误入口，或者连接被重复转发。桌面浏览器与命令行工具的网络行为也可能不同，浏览器验证成功不能单独证明命令行请求采用了相同代理。
第 7 步：仍未恢复时，提供可复现的信息
完成前述检查后仍无法联网，停止反复切换 DNS、协议和系统网络设置。向服务支持描述“何时发生、哪些应用受影响、断开 VPN 后是否正常、哪些步骤改变了结果”，并注明系统平台、客户端版本、连接模式和线路名称。尽量使用客户端提供的诊断信息；发送日志前先检查是否包含账号标识、订阅凭据、访问令牌或其他个人信息。
如果只有单个网站或应用失败，说明目标服务名称、错误提示和失败发生的步骤；如果所有应用都失败，则说明连接建立后设备的整体表现。不要只写“显示已连接但不能用”，因为这无法区分本地网络、系统代理、DNS、规则分流和线路路径。清楚描述对照结果，支持人员才能判断下一步是检查客户端配置、线路状态还是设备系统。