VPN客户端显示“已连接”，只说明客户端与某个节点建立了连接，不代表设备上的所有网页和应用都已成功通过代理访问网络。代理模式、系统代理接管、DNS解析、本地网络和目标服务都可能影响最终结果。排查时先别连续更换设置：按顺序确认故障范围，每次只调整一项，才能知道问题是否真正解决。
第一步：确认是全部网络还是部分应用异常
先在同一台设备上打开几个平时可正常访问的网站，并分别测试浏览器和另一个独立应用。如果所有应用都无法联网，问题更可能与本地网络、代理接管或 DNS 有关；如果只有一个应用异常，则要考虑该应用是否遵循系统代理、是否配置了自己的代理，或服务端是否暂时不可用。
再做一次不经过 VPN 的对照测试：断开客户端连接后，查看普通网页能否打开。若断开后也无法联网，应先检查 Wi-Fi、移动数据、路由器或运营商连接，而不是继续调整 VPN 节点。若断开后网络恢复、连接后又中断，则把排查重点放到客户端模式、系统代理、DNS 和线路上。
- ✅ 同一设备、同一网络下，对照测试连接与断开 VPN 的状态。
- ✅ 分别测试浏览器与其他应用，判断故障是否集中在单个程序。
- ✅ 确认当前使用的是 Wi-Fi、移动数据还是有线网络，避免同时更换多个条件。
- ❌ 不要把客户端显示“已连接”直接当成网页访问成功的证明。
如果只有个别网站打不开，也要考虑网站自身维护、账户状态、地区限制或浏览器扩展等因素。可以尝试用另一个浏览器访问同一服务，并检查是否只有某个域名或某类应用受影响。这样能避免把目标服务的问题误判成整条 VPN 连接故障。
第二步：检查代理模式与系统接管
客户端即使连接了节点，也可能没有把你正在使用的应用流量交给代理。规则模式通常依据规则决定哪些请求走代理、哪些请求直连；全局模式则倾向于让更多流量经过代理，但实际效果仍取决于客户端是否成功接管系统流量。模式名称和菜单位置会因客户端及版本不同而变化，应以当前客户端界面和说明为准。
在 Windows 或 macOS 上，先查看客户端的系统代理开关和代理模式，再检查操作系统的代理设置是否与客户端状态一致。有些桌面应用读取系统代理，有些应用使用独立网络栈或自行配置连接，因此浏览器能打开不代表其他程序也会自动使用代理。若使用 Clash Verge 等兼容客户端，确认当前配置已启用、模式已选择，并检查规则是否将目标应用或域名分流到直连。
在 Android 上，检查 VPN 连接是否仍由当前客户端持有，以及系统是否提示有其他 VPN 应用正在运行。某些系统功能、工作资料或安全软件也可能影响连接。iOS 上则可确认 VPN 配置仍处于连接状态，并留意网络切换后连接是否需要重新建立。手机切换 Wi-Fi 与移动数据时，如果问题只在其中一种网络出现，就应分别测试，不要仅凭状态栏图标判断代理可用。
如果刚刚调整过代理模式，先应用设置，再断开并重新连接一次；然后关闭目标应用并重新打开。对浏览器而言，已经建立的连接可能仍使用旧的网络路径，刷新页面不一定足以重建连接。Linux 用户还应检查所用桌面环境或命令行应用是否读取系统代理变量；终端程序的代理行为可能与图形浏览器不同。
第三步：排查 DNS、缓存与本地网络
DNS 负责把域名解析为网络地址。代理连接本身正常，但设备仍使用了不合适的 DNS 设置，可能出现网页长时间加载、部分域名无法打开，或应用显示网络错误。若现象集中在少数网站，DNS 解析和浏览器缓存值得检查；若所有网络请求都失败，则还要回到系统代理和本地连接排查。
先关闭并重新打开出现问题的应用，再断开 VPN 后重新连接。必要时重启客户端，或者切换一次 Wi-Fi 与移动数据进行对照。桌面浏览器可以尝试清理该网站的缓存，或使用隐私窗口测试；如果使用了手动 DNS、广告过滤器、家长控制或安全软件，暂时检查这些设置是否影响域名解析。不要随意安装来历不明的 DNS 工具，也不要把账户凭据或订阅链接输入到第三方诊断网站。
如果你使用 sing-box、Shadowrocket 或其他兼容客户端，DNS 选项可能与代理规则、路由规则或远程配置相关。不要因为看到某个 DNS 字段就直接照搬网上的参数：不同配置的字段含义、优先级和适用平台可能不同。先回到客户端的官方配置或服务提供方的导入说明，确认是否需要手动改动。订阅配置被更新后，建议重新导入或更新订阅，而非凭猜测修改多个 DNS 地址。
排查过程中，VPNSR VPN推荐页面可以作为了解服务与客户端入口的起点；但网络故障诊断仍应以当前设备的连接状态和客户端界面为准。若正在使用公共 Wi-Fi，还需确认是否先完成了网络的网页登录认证；VPN 客户端可能显示正在连接或已连接，但公共网络门户尚未放行实际访问。
一次只改变一个条件：例如先切换网络测试，再恢复原网络检查 DNS。若同时重置网络、改 DNS、换客户端和换线路，就很难判断是哪项操作产生了影响。
第四步：按顺序执行五项恢复操作
前面确认故障范围后，可以按下面的顺序动手处理。每完成一步，都用同一个网页或应用复测；如果已经恢复，就停止继续改动。这样既能减少不必要的配置变化，也方便在问题仍存在时向支持人员说明已做过哪些检查。
- 确认基础网络可用。断开 VPN 后打开常用网页；若仍无法访问，先重新连接 Wi-Fi 或移动数据，必要时重启路由器，并完成公共网络要求的网页登录认证。
- 关闭冲突连接。检查是否有另一个 VPN、代理软件、加速器或安全软件同时启用。一次只保留一个负责接管流量的客户端，避免多个工具争用系统路由或代理设置。
- 核对客户端配置。确认当前配置已启用、订阅已成功导入或更新，并选择适合当前用途的规则或全局模式。检查系统代理开关是否与客户端状态一致，然后重新连接。
- 重新建立应用连接。完全退出无法联网的应用再启动；浏览器可以关闭相关标签页后重新打开。若使用手机，先断开 VPN，再重新连接，并留意系统是否允许该客户端建立 VPN 连接。
- 换线路并单独复测。若客户端仍连接但目标服务不可访问，选择另一条可用线路进行对照。一次只更换线路，保持设备、网络、代理模式和测试目标不变，确认变化是否与线路相关。
如果客户端提供网络诊断或连接日志，可记录错误提示、发生时间、设备系统版本、网络类型和使用的代理模式。分享日志前检查是否含有订阅地址、令牌、用户名或其他凭据，必要时先遮盖敏感内容。清晰的故障范围比“VPN不能用”更有助于定位问题。
5 步
按顺序排查
3 类
连接、解析、应用
1 项
每次只改一个条件
第五步：何时换线路、协议或客户端
如果同一设备、同一网络和同一配置下，只有当前线路无法访问，而另一条线路可以正常使用，问题可能与当前线路到目标服务之间的路径有关。选择节点时可以先按目标服务需要的地区筛选，再用实际要访问的网站或应用验证，不要只看线路名称或地区就推断它一定适合所有用途。线路状态和网络环境会变化，复测结果比一次连接提示更有参考价值。
协议与线路类型不是同一概念。Shadowsocks、VMess、Trojan、Hysteria2 和 WireGuard 等名称指向不同协议或 VPN 技术体系；直连、中转、BGP、CN2、IEPL 等描述的则可能涉及网络路径、路由或承载方式，不能把它们混为一谈。更换协议前，先确认当前客户端支持订阅中的配置类型，并按服务端提供的配置使用。客户端不能识别某种格式时，改写几个参数通常不会让不兼容的配置变得可用。
如果问题只发生在一个客户端，而同一设备上的其他兼容客户端能够正常工作，可检查原客户端是否过旧、配置是否损坏，或是否存在系统权限限制。反过来，如果多个客户端在同一网络上都无法访问，则优先检查本地网络、运营商路径或设备的系统设置。不要同时更换客户端、协议和线路，否则即使恢复，也无法确定真正起作用的因素。
仍无法上网时，可向帮助中心或服务支持说明：设备系统、网络类型、客户端名称、代理模式、故障涉及的应用、断开 VPN 后网络是否正常、已尝试的恢复步骤，以及是否更换线路后有变化。不要公开发布完整订阅链接、账户密码或包含访问令牌的截图。按这些信息分层排查，通常比反复点击连接或盲目改参数更有效。