VPN 已連線卻無法使用時，先檢查出口 IP，再查看 DNS，最後逐一測試各應用程式。客戶端的連線圖示只表示部分連線程序已建立，不能取代實際存取測試。排查時不必反覆點選連線，而應確認：這次請求從哪裡送出、網域由誰解析，以及目標應用程式是否套用分流規則。
先釐清連線與流量接管範圍
日常所說的 VPN 客戶端，可能透過系統 VPN 介面建立通道，也可能主要提供本機代理。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 都是不同的代理協定或方案，不能只憑名稱推定它們會自動接管整台裝置的流量。實際接管範圍也取決於客戶端、執行模式與分流設定。
桌面版的「系統代理」通常只會影響遵循這項設定的程式。有些應用程式使用自己的網路設定，不會自動套用系統代理。TUN 或虛擬網卡模式可以接管更多流量，但仍會受到路由、排除項目與系統權限影響。Android 上出現 VPN 圖示，表示系統已建立相關介面，不代表每個應用程式都在接管範圍內。
另一種情況是連線已建立，但實際請求未能完成。客戶端連得上入口，不代表出口、網域解析與目標網站都正常。IEPL 專線、中轉與直連描述的是線路路徑或傳輸方式，不是流量接管範圍，也不能取代應用程式測試。
| 觀察到的狀況 | 可能原因 | 優先檢查項目 |
|---|---|---|
| 客戶端已連線，但瀏覽器出口未改變 | 測試網站被規則設為直連，或瀏覽器未使用代理 | 系統代理、瀏覽器擴充功能，以及測試網域套用的規則 |
| 瀏覽器出口已改變，但某個應用程式仍無法使用 | 應用程式遭排除、沿用舊連線，或服務端拒絕存取 | 各應用程式設定、重新啟動後的狀況與具體錯誤訊息 |
| 網域無法開啟，但客戶端仍顯示已連線 | 解析失敗、規則設定錯誤、出口異常或目標網站故障 | DNS 記錄、連線記錄，以及其他目標網站 |
| 切換網路後才無法使用 | 本機網路限制、通道重新連線失敗，或殘留解析快取 | 基本網路連線、重新連線狀態與客戶端診斷資訊 |
檢查出口 IP：先記下基準資料
出口 IP 是網站看到的請求來源位址，不是裝置在區域網路中的位址。先中斷客戶端連線，開啟可信任的公網 IP 查詢頁面，記下位址與網路業者資訊；再連上選定的線路，用同一個瀏覽器重新載入相同頁面。別只看地區名稱，也要比較位址和網路業者資訊。
- 中斷連線，確認一般網站能正常存取，並記下直接連線時的公網位址。如果基本網路連線就有問題，先處理本機網路。
- 連上線路，確認設定已啟用。重新整理 IP 查詢頁面；必要時關閉舊分頁，再開啟新頁面，避免讀取快取結果。
- 查看客戶端的連線記錄，確認查詢網域套用的是直連還是代理規則。在規則模式下，查詢網站使用直連，不代表其他網站也會直連。
- 若客戶端支援，可暫時設定一條涵蓋此次測試請求的代理規則，再重新測試。完成後還原原本設定，並確認真正需要使用的應用程式。
如果線路提供 IPv4 與 IPv6 處理選項，兩種位址都要分別留意。某類請求經由代理，另一類仍走本機網路時，測試結果可能不一致。如果客戶端無法完整接管 IPv6，請參閱說明，選擇支援的路由或限制方式，不要貿然修改系統網路設定。
檢查 DNS：確認解析路徑
DNS 的作用是將網域名稱轉換為位址。存取流量經過代理，不代表 DNS 查詢也一定經過相同路徑。解析可能由系統、客戶端、瀏覽器的安全 DNS，或應用程式內建的解析器發出。所謂 DNS 洩漏，通常是指原本應受預期通道或代理政策保護的查詢，卻透過本機網路送出。
連線時先使用可信任的 DNS 測試頁面，查看它偵測到的解析服務與地區，再比對客戶端的 DNS 設定。測試頁面通常看到的是遞迴解析器的出口，而不是裝置到解析器之間的完整傳輸路徑；因此，單憑服務業者名稱，無法判定是否發生洩漏或已受到保護。
結果不一致時的排查方式
- 確認客戶端是否啟用 DNS 接管，以及直連網域和代理網域是否採用不同的解析策略。在規則模式下，保留部分本機解析可能是原本的設定目的。
- 檢查瀏覽器的安全 DNS 設定。瀏覽器自行使用加密解析時，結果可能與系統不同；加密解析能保護查詢傳輸，但不代表請求也經由代理。
- 變更設定後重新建立連線，並依照系統或瀏覽器的說明清除解析快取。舊快取可能使測試暫時無法反映新設定的效果。
- 若仍有疑問，可搭配客戶端記錄判斷查詢路徑。分享記錄前，先遮蔽訂閱憑證、帳戶資訊與不必要的瀏覽記錄。
不要以為把 DNS 設為某個公共解析器就能解決問題。解析器的位置、查詢如何送達，以及取得位址後流量的去向，是不同的問題。也不建議直接以網站 IP 取代網域名稱來測試並下結論：即使網路路徑正常，HTTPS 憑證、虛擬主機與內容傳遞機制也可能導致存取失敗。
逐一驗證應用程式，別只測瀏覽器
瀏覽器測試通過後，還要測試實際使用的軟體。先確認能否載入新內容，再進行一次正常操作，例如開啟新頁面、重新整理資料或送出一般請求。已快取的首頁與舊內容，不能證明目前連線正常；登入失敗也不一定是網路問題，還可能與帳戶狀態、地區政策或服務端的風險控管有關。
在 Windows 和 macOS 上，先確認應用程式是否遵循系統代理。如果應用程式支援個別代理設定，請避免同時輸入互相衝突的位址。終端機程式也可能讀取代理環境變數，因此瀏覽器能用、命令列卻失敗的情況並不少見。TUN 模式是否可用、需要哪些權限，請以目前客戶端的說明為準。
Android 客戶端通常有各應用程式代理或略過清單。確認目標應用程式是否在接管範圍內，以及背景省電限制是否中斷客戶端。iOS 則應檢查目前的 VPN 設定與客戶端規則；若使用隨需連線，測試時也要確認連線確實已觸發，而不只是設定已儲存。
- ✅ 確認目標應用程式未被各應用程式規則排除，且其網域沒有誤套用直連規則。
- ✅ 切換線路後，完全結束目標應用程式再重新開啟，讓它建立新連線，而非沿用舊連線。
- ✅ 分別測試瀏覽器與實際使用的應用程式，記錄各自結果；瀏覽器測試通過，不代表整台裝置都正常。
- ✅ 保留具體錯誤訊息，區分逾時、網域解析失敗、憑證錯誤與帳戶存取限制。
- ❌ 不要只憑快取頁面能開啟、連線圖示亮起，或某個測試網站通過，就判定連線正常。
仍無法使用：按順序逐步縮小範圍
排查時每次只變更一項設定。若同時更換節點、DNS、協定和分流模式，即使恢復存取，也無法得知真正原因。建議先備份目前設定，再從流量接管範圍開始，逐步檢查解析與線路。遇到權限提示時，先確認提示來源與用途，不要只為了讓圖示亮起就開放所有權限。
先檢查設定，再檢查線路
開啟客戶端設定頁，確認目前選用的是預期設定。訂閱連結只是取得節點與規則的入口，匯入成功不代表之後會持續自動更新。請依照客戶端支援的方式更新訂閱，確認是否成功，再檢查所選節點是否仍在目前設定中。如果匯入失敗，可能是訂閱格式與客戶端核心不相容，不應只靠更改檔案副檔名解決。
接著確認是否同時執行其他代理客戶端、瀏覽器代理擴充功能或網路過濾工具。這些工具可能會爭用系統代理、路由或 DNS。可暫時停用非必要的同類工具再試，但不要為了碰運氣而關閉系統安全防護。公司或學校管理的裝置應遵循管理員政策，不要自行繞過管理設定。
再進行交叉測試
同一台裝置改用另一條線路後恢復，只能將問題範圍縮小至原線路，或其通往目標服務的路徑；同一條線路改用另一個網路後恢復，則應優先留意本機網路限制。公共 Wi-Fi 也可能要求先通過入口網站認證。先中斷代理並確認一般網路連線正常，再重新連線，避免把入口網站尚未放行誤判為服務故障。
哪些結果代表驗證通過
實用的判斷方式是：需要經由線路傳輸的請求套用預期規則、出口符合預期、DNS 行為有合理解釋，而且目標應用程式能完成實際操作。若使用規則分流，台灣本地網站保持直連並不代表失敗；若希望整台裝置的流量都由 VPN 接管，還要檢查排除項目、IPv6，以及不遵循系統代理的程式。
向支援人員回報時，提供作業系統、客戶端名稱、目前模式、所選線路、測試時間，以及已遮蔽個人資訊的錯誤內容即可。說明「瀏覽器出口已改變，但目標應用程式顯示連線逾時」，比只說「VPN 無法使用」更有助於釐清問題。請勿附上密碼、完整訂閱網址或尚未檢查的記錄。
若還不確定設定入口，可先參閱新手指南，依照使用的平台確認匯入與連線步驟；線路資訊可在全球節點頁面查看。特定網站能否使用，仍須依地區、帳戶與當下的實際存取情況確認。