VPN连不上时，不要一开始就反复更换节点或重装客户端。连接失败可能发生在不同环节：本地网络没有放行连接请求，账号或订阅已经失效，线路当前不可用，客户端权限不足，协议与应用不兼容，或者实际上已经连接但 DNS、分流规则和系统代理没有生效。不同原因的处理方法并不相同，先判断故障位置，再按成功率较高的顺序排查，通常比盲目切换设置更快。

本文覆盖 Windows、macOS、Android、iOS 和 Linux，也适用于 Clash Verge、sing-box、Shadowrocket 等兼容客户端。排查过程中建议每次只改变一个条件，例如只换网络、只换线路或只改协议，这样才能知道哪一步真正解决了问题。

VPN连不上怎么办？按原因排查快速恢复连接

先做基础检查：确认问题不是本地网络

第一步是关闭 VPN，直接使用当前 Wi-Fi 或移动数据访问几个平时可以打开的网站。若直连状态下也无法正常联网，先处理路由器、运营商网络、校园网认证或手机信号问题。VPN 建立连接需要先通过本地网络完成域名解析、服务器连接和加密握手，底层网络本身不稳定时，继续修改客户端配置通常没有帮助。

如果当前使用公共 Wi-Fi，先打开浏览器访问任意普通网页，确认是否弹出登录或服务条款页面。机场、酒店、商场和校园网络有时需要完成认证后才允许持续访问外部地址。也可以暂时关闭系统中的其他代理、加速器、安全软件网络过滤和浏览器代理扩展，避免多个程序同时接管流量。

用另一种网络做交叉测试

电脑可以在 Wi-Fi 与手机热点之间切换，手机则可以在移动数据与另一组 Wi-Fi 之间测试。若只有某个网络无法连接，问题更可能来自该网络的防火墙、DNS、端口限制或认证策略；若所有网络都失败，再继续检查账号、订阅和客户端。

更换网络后，建议完全退出客户端再重新打开，而不是只点击一次“重连”。Windows 和 macOS 用户还应检查系统代理是否仍指向旧端口；Android 和 iOS 用户可查看 VPN 权限提示是否重新出现。不要同时启动两个 VPN 客户端，否则虚拟网卡、路由表和 DNS 设置可能互相覆盖。

• ✅ 先确认不连接 VPN 时，本地网络能够正常打开网页
• ✅ 公共 Wi-Fi 先完成网页登录或设备认证
• ✅ 用移动热点或另一组 Wi-Fi 做一次交叉测试
• ❌ 不要同时开启两个 VPN、代理或网络加速客户端
• ❌ 不要在每次测试中同时更换网络、节点和协议

检查账号、订阅与配置是否有效

客户端能打开，不代表账号状态和节点配置仍然有效。先登录服务面板，确认用户名和密码没有输错，套餐或流量状态正常，订阅链接没有被截断、复制多余空格或误换行。若使用的是通用客户端，进入订阅管理页面手动更新一次，观察更新结果是“成功但没有节点”，还是直接提示网络错误。两种情况的原因不同。

“更新成功但节点为空”通常与订阅格式、客户端兼容性或配置筛选有关；“更新失败”则可能是当前网络无法访问订阅地址、订阅地址已改变，或者客户端没有联网权限。不要把订阅链接粘贴到在线转换网站，也不要把完整订阅内容公开发送给他人，因为订阅通常包含账户相关的配置入口。

设备的日期、时间和时区也值得检查。部分基于 TLS 的连接需要正确的时间信息才能完成证书验证，时间偏差可能表现为握手失败、证书错误或连接立即断开。Windows、macOS、Android、iOS 和 Linux 都建议启用自动设置时间；调整后完全退出客户端，再重新连接。

如果最近更换过密码、套餐或订阅地址，应删除旧配置后重新导入，而不是在旧配置上反复叠加。使用 Clash Verge、sing-box 或 Shadowrocket 时，还要确认导入的是对应格式的订阅。能够导入链接，只代表客户端可以读取地址，不代表它支持订阅内的每一种协议和传输参数。

重新选择线路：先换地区，再换协议

当账号和订阅都正常时，先选择同一地区的另一条线路，观察是否能够建立连接。如果只有单个节点失败，通常是该节点临时不可用、端口受限或所在网络到该节点的路径异常，不必马上重置所有配置。若整个地区的线路都失败，再尝试更换出口地区，或者改用服务提供的其他线路类型。

线路选择应结合目标服务位置和当前网络环境。访问国际服务时，通常优先选择距离目标服务较近、路由较直接的国际线路；访问国内服务时，则要确认线路是否提供适合该场景的国内出口。IEPL、中转和普通公网直连的组织方式不同，实际表现也会受到运营商、时段和目标服务影响，不能只根据名称判断。

协议也不能简单理解为“越新越快”。Shadowsocks 配置相对轻量，适合部分通用客户端；VMess 和 Trojan 的参数依赖传输方式与服务端配置，导入时不能自行改写；Hysteria2 对 UDP 和网络环境有要求，在限制 UDP 的网络中可能无法正常工作；WireGuard 依赖系统或客户端对该协议的支持，密钥、地址和路由参数任何一项错误都可能导致握手失败。

• ✅ 先在同一地区更换另一条线路，判断是单节点问题还是区域问题
• ✅ 根据目标服务位置选择出口，不要只按节点名称或旗帜选择
• ✅ 确认客户端支持订阅中的 Shadowsocks、VMess、Trojan、Hysteria2 或 WireGuard 配置
• ✅ UDP 受限时，优先测试不依赖该条件的兼容线路
• ❌ 不要把不同协议的端口、传输方式和密码参数混在一起修改

检查客户端权限、系统代理与路由模式

Windows 和 macOS 上，客户端需要获得创建虚拟网卡、修改系统代理或建立网络扩展的权限。首次启动时若拒绝了系统提示，客户端可能显示配置已加载，却无法真正接管流量。可以完全退出客户端后，以正常方式重新启动并接受可信的系统权限请求；如果系统安全软件拦截了网络扩展，则检查拦截记录，不要随意关闭全部安全防护。

Android 和 iOS 通常会弹出“允许添加 VPN 配置”的系统提示。若之前选择了拒绝，需要到系统设置中的 VPN 或网络权限页面确认客户端仍被允许建立连接。Android 的省电策略还可能在屏幕关闭后停止后台连接，出现“刚连接成功，过一会儿又断开”的现象；此时应把客户端加入必要的后台运行或电池优化例外，但不建议给来源不明的应用开放同等权限。

在 Linux 上，重点检查 NetworkManager、系统代理变量、路由表和 DNS 管理服务是否互相覆盖。使用 sing-box 或其他命令行工具时，先查看配置校验结果与运行日志，再启动服务。不要在系统服务、桌面客户端和容器中同时运行多个透明代理实例，否则可能形成回环路由。

区分全局、规则与直连模式

很多“连接成功但不能上网”的问题，其实是模式选择造成的。全局模式会让更多流量经过当前代理，适合定位规则是否错误，但可能影响本地银行、打印机、局域网设备和企业内网；规则模式更适合长期使用，却依赖规则集、DNS 和域名分类准确；直连模式则会绕过代理，不能用来判断线路是否真正可用。

排查时可以暂时使用全局模式访问一个普通网页，再检查目标应用。若全局模式可以使用，而规则模式失败，说明线路本身大概率正常，应回到规则、域名解析或应用分流设置。若全局模式也无法打开网页，则继续查看 DNS、系统代理端口和连接日志。

DNS 异常常见于“网页能打开但部分域名打不开”或“浏览器正常、某个应用失败”。确认客户端是否启用了 DNS 代理，系统是否仍使用旧的解析服务器，以及应用是否自带 DNS 或 DoH 设置。修改后清理浏览器缓存，重启客户端并重新测试，不要一次启用多个 DNS 接管功能。

最后再重置配置：保留信息并逐项恢复

如果前面的检查都没有解决问题，可以导出或记录当前使用的服务器、协议、线路名称和错误提示，再删除失效配置并重新导入订阅。这样既能避免旧配置残留，也能在需要联系支持时提供有效信息。不要在没有备份订阅入口和账户信息的情况下直接清空全部数据。

1. 记录客户端名称、系统版本、连接失败时间和出现的错误提示。
2. 确认当前账号可以登录，重新复制官方订阅链接。
3. 删除重复、过期或手动改动过的配置，只保留一个新导入的配置。
4. 先选择一条普通线路测试，再逐步尝试其他地区和协议。
5. 测试网页、应用和 DNS 解析，分别判断是连接层还是分流层故障。
6. 若仍然失败，将必要日志和复现步骤提交给服务支持，不要发送完整密码或公开订阅链接。

需要安装官方客户端时，可前往客户端下载；如果使用兼容客户端导入订阅，建议先查看使用教程，确认对应平台的导入方式、权限位置和常见模式设置。Windows、macOS、Android、iOS 与 Linux 的菜单名称可能不同，但排查顺序基本一致：先验证本地网络，再确认账号订阅，然后测试线路与协议，最后处理权限、路由和 DNS。