VPN 配置问题怎么排查：连不上、已连接但没网的分流步骤

更新于 2026-10-23 · piaomiaoxu.online

简答：先确认 Wi-Fi 或移动数据正常，再按“连不上、已连接但没网、只有部分应用失败”分流；随后备份配置，核对服务器、协议、账号证书、DNS、代理与路由，企业 VPN 交给管理员核验。

定义：VPN 配置问题，是服务器地址、隧道协议、身份认证、DNS、代理或路由参数不匹配，导致隧道无法建立、建立后不通，或只有部分流量异常。

先看症状：三分钟确定排查方向

先确认你属于哪一类：无法建立连接、显示已连接但无法上网，还是只有某个网站或应用失败。不要先重装客户端或删除配置；先记录设备、网络类型、提示文字、连接时间，以及使用的是系统 VPN、企业 VPN 还是代理客户端。

本站为独立第三方使用指南站，与相关客户端、VPN 服务提供方及企业 VPN 管理方均无隶属关系。Windows 官方配置页面说明，系统 VPN 至少涉及服务器名称或地址、VPN 类型和登录信息类型；Android 的系统入口也要求按照管理员提供的信息添加 VPN。微软：在 Windows 中连接到 VPN Android 帮助：连接到 VPN

先试这一步：断开 VPN 或代理客户端，打开两个普通网页；如果普通网络本身打不开，先处理 Wi-Fi、移动数据、公共网络登录或路由器问题，不要把本地断网误判成 VPN 配置错误。

现象	优先检查	下一步
点击连接后立即失败	服务器地址、VPN 类型、账号、证书、端口或防火墙	核对原始配置；企业 VPN 记录错误代码后联系管理员
显示已连接但网页打不开	DNS、默认路由、分流、代理、地址池或访问控制	分别测试公网网页、出口 IP、DNS 和目标内网
只有一个网站或应用失败	应用代理、规则分流、IPv4/IPv6、缓存或目标服务限制	换浏览器或应用对照，只关闭一个额外代理开关再测试
证书、认证或配置文件报错	证书有效期、证书链、设备时间、NPS 或配置描述文件	不要自行删除企业证书或描述文件，保存提示并交给管理员

修改前先备份：避免越改越乱

保存原配置：如果客户端提供导出、备份或复制配置功能，先保存一份；如果没有，至少截图服务器地址、协议、端口、DNS、代理、规则和 TUN 开关。订阅链接、密码、私钥和证书属于敏感信息，不要贴到公开论坛。
记录当前状态：记下连接前后的公网出口 IP、当前网络是家庭 Wi-Fi、移动数据还是公共 Wi-Fi，以及是否安装了其他 VPN、防火墙、杀毒或流量过滤软件。
一次只改一项：先核对服务器地址，再核对协议或 VPN 类型，之后才检查 DNS、代理和路由。每次修改后重新连接并记录结果。
保留恢复路径：如果修改后无法连接，恢复截图中的原值或导入备份，不要同时改协议、DNS、TUN 和规则。

Apple 明确提醒，VPN 和其他第三方安全软件可能阻止互联网或局域网连接；遇到问题时可以先确认日期时间、更新系统、重启设备，并换一个网络做对照。Apple：设备网络连接问题与 VPN、安全软件排查

按配置项逐项核对：服务器、协议、认证、DNS 和路由

服务器地址：重新复制管理员或服务方提供的地址，检查空格、不可见字符、端口和域名是否填写到正确字段。地址能解析不等于 VPN 服务端一定可连接。
VPN 类型或协议：系统 VPN 的类型必须与服务端要求一致。Windows 官方资料指出，错误 800 可能表示服务器不可达，或 VPN 隧道的安全参数配置不正确；如果使用 L2TP/IPsec，还要核对 UDP 500、4500 和双方证书。Microsoft Learn：排查 Always On VPN 问题
账号、密码和证书：确认账号未过期、设备时间正确、证书仍有效，并且证书安装在管理员要求的用户或设备存储区。企业 VPN 的认证方式由客户端、服务器和 NPS 策略共同决定，不能只靠反复修改密码解决。
DNS：VPN 已连接但域名打不开时，分别测试一个公网域名、企业内网域名和对应 IP。公网 IP 可访问但域名失败，才优先检查 DNS；只有企业域名失败，可能是企业 DNS、搜索域或分流配置不匹配。
系统代理与应用代理：检查系统代理、浏览器代理、应用自身代理以及代理客户端的系统代理开关是否重复启用。Apple 的部署资料也将代理、DNS、证书和 VPN 配置作为相互关联的设置项。Apple：VPN 代理和证书配置
路由与访问控制：“已连接”只代表连接状态，不代表目标流量一定经过隧道。若是企业或云网关，需检查目标网段路由、NAT、访问控制和两端的流量选择器；这类网关侧问题应由管理员按服务端日志核验。IBM Cloud：排查已建立 VPN 连接但无流量

错误提示速查：错误 800 优先核对服务器可达性、隧道类型、安全参数，以及 L2TP/IPsec 场景中的 UDP 500/4500 和证书；错误 809 重点检查中间路由器、防火墙、NAT 以及 UDP 500/4500；错误 812 通常表示客户端与服务器的认证方式不匹配。Windows 官方错误代码表还列出 786、790、798 等证书相关错误，出现这类提示时不要直接删除证书。Microsoft Learn：拨号连接或 VPN 连接错误代码

如果提示“DNS 解析失败”，先检查 DNS 服务器、DNS 分流和代理客户端的 DNS 开关；如果提示“连接超时”，先换网络并确认服务器地址、端口和防火墙；如果提示证书无效，检查设备时间、证书有效期和证书链。以上判断是排查顺序，不代表单条提示可以直接确定根因。

使用代理客户端的读者：先查订阅、系统代理、TUN 和 DNS

如果你使用 Clash Verge Rev、Mihomo、sing-box、Shadowrocket 或 v2rayN 等代理客户端，不要把它们与 Windows 内置 VPN 的字段混为一谈。优先进入客户端的配置或日志页面，确认订阅是否成功更新、当前配置是否被选中、代理组是否有可用出口，以及系统代理或 TUN 是否真的开启。

订阅导入或更新失败：先确认订阅链接没有被截断，当前网络能打开该地址，客户端日志中没有证书、超时或格式错误。不要把来源不明的配置文件直接导入；必要时保留旧配置，再导入一份副本进行对照。Clash Verge Rev 的公开说明显示，远程配置会从用户提供的地址下载，订阅服务方能够看到该请求，因此订阅链接应按敏感信息管理。Clash Verge Rev：隐私说明与远程配置请求
系统代理与 TUN 同时异常：先只启用系统代理测试浏览器，再关闭系统代理、只启用 TUN 测试一个应用。两种模式同时开启时，可能出现端口、规则或路由互相影响；如果关闭其中一个后恢复，保留能稳定复现的最小配置。
DNS 或 Fake-IP 异常：Mihomo 文档列出 enhanced-mode 的 fake-ip 和 redir-host，并说明默认 Fake-IP 地址范围为 198.18.0.1/16。使用 Fake-IP 时，nslookup 看到 198.18.x.x 一类地址可能只是虚拟映射，不能单凭这个结果判断 DNS 被污染；应结合实际网页、应用连接和客户端 DNS 日志判断。Mihomo：DNS 配置
TUN 参数：Mihomo 文档列出 auto-route、auto-detect-interface、dns-hijack、strict-route 和 mtu 等字段。不要把未出现在当前配置或客户端界面的字段自行加入配置；字段名、缩进和列表格式必须以当前内核文档及客户端版本为准。Mihomo：TUN 配置

MTU 的正确边界：官方文档只说明 MTU 会影响极端条件下的传输速率，并建议普通用户保持默认值。实际排查时，先不要关闭 TUN 后用 ping 结果代替隧道测试；可以在保留其他设置不变的情况下，记录默认值下的大页面或大文件加载表现，再一次只调整 MTU 并复测。若只有大页面、上传或下载在调整后稳定变化，才说明该参数值得继续交给客户端或服务方分析；不能据此直接证明节点速度或线路质量。Mihomo：TUN 的 MTU 说明

Windows、Android、iPhone 和 Mac 的处理边界

Windows 10/11

进入“设置 > 网络和 Internet > VPN”，核对服务器地址、VPN 类型和登录信息。错误 800、809、812 应按官方错误说明分流，不要直接重装；如果是企业 VPN，保留错误代码、时间和客户端日志，交给管理员检查服务器、NPS、证书或网络设备。微软：在 Windows 中连接到 VPN Microsoft Learn：Always On VPN 错误排查

Android

通常进入“设置 > 网络和互联网 > VPN”；找不到时直接搜索“VPN”。如果使用 VPN 应用，系统页面可能只负责跳转，协议、认证和服务器字段要在应用内填写。Google 官方说明建议先从管理员取得 VPN 信息，并提醒部分步骤会随 Android 版本变化。Google Android 帮助：添加和编辑 VPN

iPhone 或 iPad

企业或学校设备可能通过配置描述文件下发 VPN、证书和其他网络设置。Apple 说明，删除配置描述文件会同时移除与其关联的设置、App 或数据，因此不要为了排错自行删除；先到“设置 > 通用 > VPN 与设备管理”查看配置名称和状态，再联系管理员。Apple：在 iPhone 上安装或移除配置描述文件 Apple：VPN 设备管理设置概览

macOS

进入“系统设置 > 网络”，选择对应 VPN 配置，核对服务器、账户、认证方式、DNS 和代理。若同时安装多个网络过滤器、VPN 或安全软件，先按 Apple 的建议停用一个非必要组件进行对照，不要一次删除全部网络配置。Apple：在 Mac 上设置 VPN 连接 Apple：VPN 和第三方安全软件排查

修复后这样验证：连接状态不是最终结论

断开 VPN 或代理客户端，确认当前 Wi-Fi 或移动数据能打开普通网页。
记录连接前的公网出口 IP；重新连接后再次查询并对比。出口 IP 没有变化不一定代表隧道无效，因为分流、应用代理或服务端策略可能只接管部分流量，但它能帮助发现“看似连接、实际没有接管公网流量”的情况。
依次测试普通公网网页、一个明确属于目标内网的地址，以及一个容易复现问题的应用或网站。不要只测试单个页面。
遇到域名问题时，分别对比公网域名、企业域名和对应 IP；Fake-IP 模式下不要把 198.18.x.x 单独当成异常结论。
如果只有一个应用失败，关闭该应用自己的代理、加速、过滤或安全模块后再测，并与浏览器结果对照。
如果多台设备、多个网络都失败，保留错误代码、时间、系统版本、客户端日志和改动记录，交给服务方或企业管理员。

企业 VPN 还可能涉及证书、NPS、地址池、路由和服务器日志；个人设备上无法验证的网关侧问题，不要通过删除证书、关闭防火墙或导入未知配置来“试错”。

常见问题

VPN 显示已连接但无法上网，先改 DNS 还是先换网络？

先断开 VPN，确认当前 Wi-Fi 或移动数据能打开普通网页，再换一个网络做对照。如果普通网络正常而 VPN 连接后断网，再依次检查 DNS、系统代理、应用代理和路由，不要同时修改多个参数。

VPN 错误 800、809、812 分别怎么处理？

错误 800 先核对服务器可达性、隧道类型和安全参数；L2TP/IPsec 场景还要检查 UDP 500/4500 与证书。错误 809 重点检查中间设备、NAT、防火墙和 UDP 500/4500；错误 812 通常需要管理员核对客户端与服务器的认证方式。

代理客户端导入订阅失败，应该先重装吗？

不建议先重装。先确认订阅地址完整、当前网络可访问、配置格式与客户端兼容，并查看更新日志；保留旧配置后再导入副本，一次只改变订阅地址或更新方式中的一个变量。

Fake-IP 模式下 nslookup 返回 198.18.x.x，是 DNS 被污染吗？

不一定。Mihomo 文档将 198.18.0.1/16 作为 Fake-IP 地址范围；看到 198.18.x.x 可能只是虚拟映射。应结合客户端 DNS 日志、网页访问、应用连接和规则分流共同判断。

企业 VPN 的证书或配置描述文件能不能删除后重新安装？

不建议自行删除。企业配置可能同时关联证书链、设备管理、NPS 策略和工作资料；先记录提示、确认设备时间和网络正常，再让管理员重新下发或核对。

TUN 模式下能不能只用 ping 判断 MTU 是否正常？

不能把 ping 结果当成隧道 MTU 的直接证明。关闭 TUN 后的 ping 主要反映本地链路；更稳妥的做法是在其他设置不变时，对比默认 MTU 与单变量调整后的大页面或大文件传输表现。