VPN 显示已连接，但无法上网：先分清是哪一种“没网”
客户端出现“已连接”只说明某个连接过程完成了，不保证 DNS、路由和目标网站都可用。不要一上来就重装客户端或重置网络：先断开 VPN，确认普通网络能否正常访问同一个网站，再重新连接观察故障范围。
先用三种现象缩小范围
| 你看到的现象 | 优先检查 | 不要急着做什么 |
|---|---|---|
| 所有网站和 App 都无法联网 | 节点出口、路由、Kill Switch、网络切换 | 不要立即恢复出厂设置 |
| 网页域名打不开，但部分 App 可联网 | DNS、浏览器代理、特定域名规则 | 不要直接认定是服务器宕机 |
| 只有一个网站或 App 不能用 | 目标服务状态、账户限制、分流规则 | 不要反复更换整套 VPN 软件 |
| 只在家里 Wi-Fi 上失败，换移动网络正常 | 路由器、宽带网络、当前协议 | 不要先删除手机上的全部网络设置 |
如果不确定是哪一类，先用两个不同的网站和一个平时常用的 App 测试，记录哪些能打开、哪些不能。不要用单个网页的结果判断整个网络。
第一步：先确认断开 VPN 后能否正常联网
断开 VPN 后，在原来的 Wi-Fi 或移动网络上重新访问刚才打不开的网页。
- 断开后也不能访问：问题可能在基础网络、目标服务或设备本身，先排查普通网络。
- 断开后恢复：说明问题更可能与 VPN 开启后的路由、DNS、节点或应用规则有关，但还不能直接确定是哪一项。
如果是企业管理设备，不要自行删除证书、企业配置或安全策略。
第二步：换一个节点，不要同时修改所有设置
连接到同一个国家或地区的另一个节点，重新测试刚才的网页。如果只有个别节点失败，可能与这些节点的出口连接或负载有关。
若所有节点都失败，再尝试客户端提供的自动协议，或在服务商允许的前提下切换一次协议。每次只修改一个变量，才能知道哪一步改变了结果。
如果节点列表本身为空白，先看 VPN 没有节点信息怎么办，那与“节点已连上却无法上网”不是同一个问题。
第三步：区分 DNS 故障和网络出口故障
DNS 负责把域名解析到网络地址。它出现问题时，用户可能觉得“网站全打不开”，但部分已经建立连接的 App 仍可使用。
可以观察浏览器是否提示域名解析失败，或用自己熟悉的可信网络诊断工具检查 DNS 是否有响应。不要根据一个公共 IP 地址能否打开网页来判断 DNS 一定出错：很多服务不支持直接通过 IP 地址访问，HTTPS 证书和虚拟主机也会影响结果。
不要随意使用网上流传的 DNS 地址。先检查客户端是否有 DNS 设置、系统是否保留了旧代理或其他网络过滤软件，记录原值后再修改。更完整的解释见 VPN DNS 泄露及检查方法。
第四步：检查分流、系统代理和 Kill Switch
- 分流：如果只有部分 App 无法访问，确认这些 App 被配置为走 VPN 还是直连；参见 VPN 分流是什么。
- 系统代理：曾使用其他代理软件时，可能遗留不可用的代理地址。先核查系统设置，不要无差别删除公司管理的配置。
- Kill Switch：某些客户端会在隧道异常时阻断流量。若客户端显示“已连接”但实际隧道不可用，可能出现不能联网的现象；参见 Kill Switch 的作用。
如果 VPN 提供“始终开启”“阻止非 VPN 连接”等系统级选项，也应检查其状态。工作设备应以管理员的安全要求为准，不建议为了排障而长期关闭必要的保护措施。
第五步：对照另一张网络，记录复现条件
在允许的情况下，用同一设备从家庭 Wi-Fi 切换到移动数据，保持同一 VPN 账号和节点再试。若仅某个网络失败，当前网络的路由、协议兼容性或限制值得优先检查；若不同网络都失败，则应进一步核对客户端、账号和服务状态。
与客服沟通时提供设备型号、系统与客户端版本、故障时间、网络类型、节点、错误提示和已经做过的测试。不要发送密码、验证码、完整配置密钥或私人证书。
什么时候转到其他排查文章？
- 如果根本建立不了连接，看 VPN 连不上怎么办。
- 如果网站可以打开，但显示的公网 IP 没变，看 VPN 已连接但 IP 没变。
- 如果能上网，但用一会儿就掉线，看 VPN 总是掉线。
- 如果连接正常但速度很慢，看 VPN 速度慢怎么办。
不要把“已连接”理解为服务端的所有功能都已经通过验证。一次成功的连接提示，无法替代实际网页、DNS、路由和目标应用的检查。