VPN 状态显示“已连接”，只表示客户端与服务器之间的连接已建立，或设备的虚拟网络接口已启动；它不一定能证明所有应用流量都已正确转发，也不代表 DNS 解析、分流规则和目标网站访问都正常。遇到网页打不开、应用一直转圈或只有部分服务能用时，先不要连续重装客户端或改动一堆配置。按下面五步逐项检查，每次只改变一个条件，更容易找出故障来自本地网络、线路还是设备设置。

排查前记下问题出现的时间、使用的设备和客户端、当前节点，以及是所有网站都无法访问，还是只有某个应用异常。不要把订阅链接、账号密码、二维码或包含令牌的配置发到公开渠道；需要联系支持时，也应先遮住这些凭据。

第一步：确认本地网络本身可以上网

先关闭 VPN 连接，尝试打开几个平时可访问的网站，或使用其他不依赖 VPN 的应用。如果断开后也无法上网，问题通常不在 VPN 节点，应先检查路由器、无线网络、移动数据或当地网络服务。设备连上 Wi-Fi 不等于路由器已经连通互联网；如果其他设备也无法访问，优先重启路由器并确认网络服务状态。

如果断开 VPN 后正常，重新连接时再观察故障范围。可以在同一设备上依次测试浏览器和另一个应用：浏览器能打开、某个应用不行，可能是应用自身代理设置、网络权限或分流规则不同；所有应用都无法访问，则继续检查系统接管、线路和 DNS。尽量不要同时切换 Wi-Fi、移动数据和节点，否则很难判断是哪项变化影响结果。

电脑端可确认系统没有残留的手动代理设置；如果刚关闭另一个代理软件，完全退出该程序后再测试。手机端可检查是否启用了其他 VPN、广告过滤器或安全 DNS 应用。某些网络管理工具会创建自己的虚拟接口，即便界面显示已退出，仍可能影响路由。先逐个暂停这类工具进行对照，不要一次性删除不熟悉的系统配置。

第二步：更换节点，判断是不是当前线路异常

连接状态正常但流量无法到达目标网站，可能与当前节点临时不可用、路径拥塞、目标服务限制或所在网络到该线路的可达性有关。先在客户端中选择另一个可用节点，等待连接重新建立后，用同一个浏览器和同一个目标网站测试。若只有某个地区或单个节点异常，而其他节点可以访问，问题更可能集中在当前线路或它到目标服务的路径上。

更换节点时尽量选不同地区或不同线路类型作对照，不要只在名称相近的条目之间反复点击。节点名称反映的是配置标识，不足以单独判断真实路径、出口位置或服务兼容性。若客户端提供连接日志或延迟检测，可以查看是否出现连接超时、认证失败等信息；延迟检测只反映特定探测结果，不能保证网页、视频和工作应用都能正常访问。

还要确认访问方向与线路用途相符。海外访问国内服务，与访问国际网站所需的路径可能不同。选择线路时，可参考服务提供的用途说明；例如需要回国访问时，可以从 VPNBig 回国加速器了解相关服务入口，再按实际目标测试，不要仅依据节点名称猜测线路功能。

如果更换节点后只有部分网站恢复，记录“能访问的目标”和“不能访问的目标”，并暂时保留原来的配置。这样可以帮助区分是整条连接没有转发，还是某个目标服务、域名解析或规则匹配出现问题。不要把短暂恢复理解为所有应用都已经走上预期线路。

第三步：检查连接模式、系统代理与 DNS

客户端可能提供规则模式、全局模式、系统代理或 TUN 等不同工作方式。它们控制流量的范围和分配方式，并非同一个开关。规则模式会根据域名、地址或客户端规则决定哪些请求直连、哪些交给代理；某个应用不遵循系统代理时，即使状态栏显示已连接，它的流量也可能没有进入代理路径。具备系统级接管能力的客户端还需要获得相应权限。

可以把全局模式作为短时间的对照测试：只为验证目标请求是否因规则漏配而没有走代理。若临时切换后网站能够访问，说明应回头检查规则、策略组或应用接管方式，而不是默认长期保持全局模式。恢复原有模式后，再按客户端支持范围检查该域名命中的规则。Clash Verge、sing-box、Shadowrocket 等兼容客户端的界面名称和功能位置可能不同，应以所用版本的说明为准，不要照搬其他客户端的菜单路径。

DNS 负责把域名转换为网络地址。VPN 连接成功时，DNS 查询仍可能受到系统设置、浏览器安全 DNS、客户端 DNS 配置或分流规则影响。一个常见线索是：使用域名打不开，但同一服务的其他连接表现不同；不过这并不能单独证明 DNS 就是原因。先关闭临时启用的自定义 DNS 或浏览器安全 DNS 做对照，再重新连接客户端。若使用自定义配置，检查 DNS 地址是否有效、相关请求是否按预期处理；不确定时，恢复服务或客户端推荐的默认配置，不要随意填入网上找到的服务器地址。

Windows 与 macOS 用户可查看客户端的系统代理、虚拟网卡或 TUN 权限状态；Android 与 iOS 用户可在系统 VPN 设置中确认当前活动连接是否来自正在使用的客户端。不同系统的名称可能不同。Linux 用户还应检查是否有其他服务管理路由、DNS 或防火墙规则。重点是确认只有预期的客户端接管流量，并避免同时启用相互冲突的代理配置。

第四步：在客户端支持范围内切换协议

协议负责规定客户端与服务端如何建立和传输连接。Shadowsocks、VMess、Trojan、Hysteria2 等名称对应不同实现与传输条件，不能把它们当作任意互换的速度档位。客户端和服务端必须提供匹配的配置；如果节点只支持某种协议，手动改成另一种协议通常不会修复问题，反而可能导致连接无法建立。

如果连接日志显示反复超时，或问题只在特定网络环境下出现，可以在服务提供的配置中选择另一个明确支持的节点或协议进行对照。部分网络会限制 UDP，依赖 QUIC 的协议可能因此表现异常；这时可尝试服务端同时提供、且客户端明确支持的其他连接方案。切换后重新连接，并用相同的目标网站和应用测试。若新配置不能连接，及时恢复原选项，不要凭空填写端口、传输方式、TLS 参数或认证信息。

更新订阅配置也可能解决本地节点信息过旧的问题，但更新方式取决于客户端，已有的自定义规则是否保留也因实现而异。更新前先备份手动修改的配置，并确认使用的是可信的订阅来源。订阅链接含有访问凭据，应当像密码一样保管；不要上传到不明的在线转换服务，也不要把完整日志或配置截图公开分享。

排查时把“能否连接”和“连接后能否传输”分开判断。协议不匹配往往会导致连接建立失败或持续重连；如果客户端一直显示连接成功，但只有某些网站无法访问，更应优先检查流量接管、规则和 DNS，而不是无目的地来回切换协议。

第五步：排除设备拦截，并整理信息寻求支持

安全软件、防火墙、内容过滤器或企业设备策略可能阻止客户端建立虚拟网络接口，或限制特定应用的网络访问。不要为了测试就永久关闭防护。可以先查看系统是否弹出过权限提示，再在可信的设备上短暂对照；如果确实需要调整规则，只允许正在使用的客户端通过必要的网络权限，并在测试后恢复合适的防护设置。公司或学校管理的设备应遵循管理员要求，不要擅自绕过设备策略。

如果手机端异常，可先强制退出并重新打开客户端，确认系统的 VPN 连接没有仍由另一个应用占用；随后在 Wi-Fi 与移动数据之间切换测试，但每次只改一项。电脑端可退出其他代理软件、重新启动当前客户端，并检查系统时间是否正确，因为某些安全连接会依赖证书有效期。Linux 上还需确认防火墙规则或网络管理服务没有把默认路由改回其他接口。重启设备可以作为最后的基础测试之一，但不能代替记录故障表现。

若五步后仍无法恢复，向服务支持提供有助于定位问题的信息：设备系统与版本、客户端名称和版本、故障开始时间、所用网络类型、节点名称、影响的应用、断开 VPN 后是否正常、换节点或切换协议后的结果，以及客户端脱敏后的错误提示。不要提供密码、完整订阅地址、令牌或未经处理的配置文件。若只影响一个目标网站，也要说明其他网站是否可用，便于区分单一服务问题与整体连接问题。

排查结论：显示已连接不等于所有流量都已正常转发。先确认本地网络，再换节点，随后核对模式与 DNS、协议兼容性及设备拦截；每一步都用同一目标复测，通常比反复重装更快定位原因。