VPN 故障排查手册

01

开始之前：排查主线与工具准备

快速上手页解决的是从零到连上的问题，路径是线性的：注册、取订阅、导入客户端、验证连通。故障排查不是线性的。同一个「打不开网页」可能是域名解析失败，可能是分流规则把目标送回了直连，可能是系统代理没有真正生效，也可能是线路本身出了问题。如果每次都从安装步骤重走一遍，多数时间会浪费在已经正常的环节上。

这本手册按症状组织。每一章对应一种你实际看到的现象，章内先给判断流程，让你在动手之前把范围缩小到一两个可能原因，再给具体的自查步骤和解决办法。九章之间没有先后顺序，从上面的目录直接跳到对应章节即可。

• 02完全连不上客户端没有任何流量
• 03能连上却打不开网页隧道通了，网页转圈
• 04速度慢与晚高峰卡顿视频缓冲、下载上不去
• 05频繁断线连上没一会儿就掉
• 06订阅更新失败线路列表空或拉不到
• 07应用走不了代理浏览器能开，应用不行
• 08移动端后台掉线锁屏后连接消失
• 09提工单要附什么六项必备信息

与快速上手页的分工

如果你还没装好客户端、还没导入订阅，先看快速上手那条主线：注册、取订阅、导入、验证，四步走完。那条主线走完之后仍然有问题，再回到这里。反过来，如果你已经能正常使用，只是偶尔某个网站打不开，也不需要重走安装流程，直接看对应的症状章节。

通用排查主线：先定现象，再定层级

不管哪种症状，排查顺序都是三步。第一步，把现象描述到可以复现。「有时候慢」不算现象，「晚上八点到十点，某个视频网站缓冲，其他网站正常」才算。可复现的现象才能定位。

第二步，判断问题在哪一层。跨境访问的链路大致可以分成五层：应用本身、操作系统代理设置、客户端与分流规则、本地网络出口、国际线路。每一层都有各自的观察方法，第三章到第八章基本都是围绕这个分层展开的。

第三步，一次只改一个变量。改完立刻复测同一件事，确认有效再改下一个。同时改三个设置，最后不知道是哪个起了作用，下次遇到同样问题还是不会。

动手之前先收集这几样东西

• 客户端名称与界面上显示的版本信息
• 当前使用的线路名称与线路类型
• 报错的原文，不是自己的转述
• 操作系统版本与网络环境（家庭宽带、公司网络、公共无线网络、蜂窝网络）
• 出问题的具体应用与具体网址
• 问题开始的时间，以及之前有没有改过设置

这些信息在第九章还会再用到一次。提工单时它们就是必备内容，提前准备好可以省掉一轮来回。

三条纪律

第一，不要反复重装客户端。多数连接问题与安装文件无关，重装只会把订阅和设置清掉，反而多出一个变量。

第二，不要在没记录的情况下切换协议或端口。切换本身是有效的排查手段，但必须记住原来是什么，否则回不去。

第三，不要拿生产环境试。工作要用的机器和账号，先在另一台设备上验证改动，确认没问题再同步过去。

本手册用到的几个术语

线路类型：IEPL 专线、中转、直连，区别在数据从入口到出口之间怎么走，第四章有完整对照表。分流：客户端决定哪些流量走线路、哪些走本地直连的那套规则。出口：你访问目标网站时，对方看到的那个地址归属地。订阅：账户下的线路清单与配置，由客户端定期拉取更新，第六章专门讲。会话：客户端与线路之间维持的那条连接，断了要重建。

术语先认全，后面几章的判断流程会反复用到它们。遇到不认识的词，回到这一节对一下即可。

02

完全连不上：从客户端到线路的四层定位

完全连不上有两种：客户端显示未连接，或者显示已连接但没有任何流量。这两件事要分开看，前者卡在建立隧道之前，后者卡在隧道建立之后。

第一层：客户端是否真的在运行

先确认进程在、界面没有卡在启动画面。Windows 上看任务栏托盘图标是否响应点击，macOS 上看菜单栏图标。如果点开是一片空白或者转圈，先完全退出再启动一次，而不是直接重装。

接着看权限。macOS 首次运行会要求授权添加 VPN 配置，拒绝之后客户端界面看起来一切正常，但连接按钮点了没有反应。到系统设置的网络分类里确认配置项是否存在。Windows 上则要确认安装时同意了虚拟网卡驱动的安装，被安全软件拦下的话，客户端能打开但建立不了隧道。这一层的问题有一个共同特征：换任何线路、任何协议，结果都一样。

第二层：本地网络能不能出网

先断开客户端，用普通方式打开一个本地网站。打不开说明问题在本地网络，与线路无关，后面几层都不用看了。

公共无线网络常见两种情况：需要网页认证，但认证页被客户端接管了；或者网络本身只放行常用端口。前者先关掉客户端完成认证再连，后者换一个网络验证。

公司网络与校园网可能对非常规端口有限制。如果客户端支持端口切换，换成 443 再试一次，这是通过率最高的一个端口。

第三层：订阅与节点列表是否加载

打开客户端的线路列表。如果列表是空的，问题在订阅而不在线路。常见原因是订阅地址失效、账户流量用尽、或者客户端从未成功拉取过配置。

订阅拉取的排查在第六章，这里只需要确认一件事：列表里有没有线路。有线路但一条都连不上，继续往下看第四层；列表为空，先去第六章。

第四层：线路与协议

换一条不同地区的线路，换一种线路类型（比如从中转换到 IEPL 专线），再换一个协议。三次切换里如果有一次成功，说明是单条线路或单个协议的问题，而不是账户或网络的问题，把失败的那条记下来反馈即可。

如果所有线路、所有协议都不通，回到第二层重新确认本地网络，同时确认系统时间是否准确。时间偏差过大会让加密握手直接失败，而界面上通常只显示「连接失败」四个字，看不出真实原因。

四层都走完仍然连不上，按第九章的格式把现象记录下来提工单。记录里要写清楚每一层你看到了什么，而不是只写「连不上」。

03

能连上却打不开网页：域名解析、分流与系统代理

客户端显示已连接，只说明隧道建立成功。数据能不能到达目标网站，还要经过域名解析、分流判断、系统代理转发三个环节。任何一环断了，表现都是「连上了但打不开」。

「连上」到底意味着什么

隧道建立成功，表示客户端与线路之间通了。但这只覆盖了从你到线路这一段。从线路到目标网站那一段、以及你的设备如何把请求交给客户端，都是独立环节。所以排查时要沿着请求的路径一段一段看，而不是只看连接状态灯。

域名解析异常的三种表现

第一种，所有网站都打不开，但客户端里能看到流量在走。这通常是解析请求没有走线路，被本地网络返回了错误结果。

第二种，部分网站能打开、部分不能，且不能的那些恰好是境外站点。这是典型的解析结果被干扰的表现。

第三种，能打开但很慢，每次都要等十几秒才出结果。这是解析超时后回落到备用服务器。

自查方法：在命令行里直接向一个公共解析服务查询同一个域名，对比两次结果。

nslookup example.com 1.1.1.1
nslookup example.com

两条命令返回的地址如果完全不同，说明默认解析返回的不是真实结果。macOS 与 Linux 可以用 dig，输出更干净：

dig @1.1.1.1 example.com +short
dig example.com +short

解决办法是在客户端里把解析设置为走线路，或者手动指定一个可信的解析服务。改完之后必须完全退出客户端再启动，解析设置不会对已经建立的连接生效。

分流规则把目标送回了直连

分流规则决定哪些域名走线路、哪些走本地。规则库过期、规则模式选错、或者手动加过一条直连规则，都会让某个网站被送回直连。

判断方法很直接：把客户端切到全局模式，再打开同一个网站。能打开说明是分流问题，不能打开说明不是。确认是分流问题后，先更新规则库，再看自定义规则列表里有没有相关条目。全局模式只是排查手段，长期使用建议留在规则模式，否则本地网站也会绕一圈，白白多出一段延迟。

系统代理与浏览器代理不一致

客户端接管系统代理之后，浏览器如果装了代理插件，插件会覆盖系统设置。表现是客户端显示已连接，浏览器却仍然走本地网络。

检查方法：在浏览器里打开一个显示当前出口归属地的页面，对比客户端里显示的线路地区。不一致就是代理没有真正生效。另一个常见点是自动配置脚本，脚本里判断失误会把目标域名排除在外。临时改成全局代理测试一次即可确认。

判断流程

04

速度慢与晚高峰卡顿：线路类型、拥塞与本地瓶颈

「慢」是最容易误判的一类现象，因为它至少有三种完全不同的成因，对应三套完全不同的处理办法。

先分清三种「慢」

握手慢：点连接之后要等很久才显示已连接。这是建立隧道的过程慢，与带宽无关，多半是线路入口的响应问题。

首字节慢：连接很快，但打开网页要转很久圈，内容出来之后加载又很快。这是延迟与解析的问题，不是带宽问题。

持续吞吐低：网页能打开，但视频一直缓冲、下载速度上不去。这才是真正的带宽问题。

三种慢的原因完全不同。先对号入座，再动手，能省掉大量无效尝试。

线路类型与适用场景

IEPL 专线：入口到出口走独立通道，不与其他用户争抢，延迟稳定，适合实时会议、远程桌面、接口调用这类对抖动敏感的场景。

中转：先接入一个中转节点再出海，路径比直连短，晚高峰表现通常好于直连，适合视频与日常浏览。

直连：从本地直接连到境外节点，路径最长，受国际出口拥塞影响最大，适合对延迟不敏感的大文件下载。

晚高峰卡顿的成因

晚上八点到十一点是国际出口最拥挤的时段。这个时段里，直连线路的抖动会明显变大，中转与专线相对稳定。如果只有这个时段慢、其他时间正常，基本可以判定是出口拥塞，而不是你的网络或设备出了问题。

应对方式有三种：换到中转或专线线路、把大流量任务挪到非高峰时段、在客户端里换一个协议试试。三种方式都不需要改账户设置，也不会影响已购套餐的流量额度。覆盖 120+ 国家 / 180+ 线路的规模下，同一地区通常有多条线路可选，换一条往往比死磕一条更快。

本地瓶颈排查

先看无线网络。同一台设备用网线直连路由器测一次，差距明显就是无线问题。2.4G 频段在晚上被邻居的路由器挤占，5G 频段覆盖又短，隔一堵墙就可能掉速。

再看路由器。老旧路由器的转发性能有限，同时挂着十几台设备时，转发能力会先于带宽成为瓶颈。

最后看后台。系统更新、网盘同步、云备份都会在你不知情的时候占满上行。上行被占满时，下行看起来也会变慢，因为每个请求的确认包发不出去。

什么时候可以断定不是线路问题

三个信号：换设备后速度不变、换网络后速度不变、非高峰时段速度也不变。三条同时成立，问题更可能出在目标网站本身或者本地设备，而不是线路。

反过来，如果只有某一台设备慢、只有某一个网络慢、只有高峰时段慢，先按上面几节排查，再考虑换线路。判断方向对了，处理起来通常几分钟就能解决。

05

频繁断线：会话保持、网络切换与省电策略

断线比连不上更烦人，因为它时好时坏，很难复现。但断线的形态本身携带信息，先按形态分类，范围就小了一半。

三种断线形态

秒断：连上之后几秒内就断。多为协议或端口被中间设备识别后重置。

周期性断线：每隔几分钟断一次，间隔比较固定。多为心跳超时，或者客户端与线路之间的会话保持失败。

长时间后断线：用了几十分钟到几小时才断。多为网络切换、系统休眠，或者线路侧的会话回收。

会话保持与心跳

客户端需要定期向线路发送心跳包来维持会话。心跳间隔设得太长，中间设备会先把会话回收；设得太短，又会被判定为异常流量。多数客户端有默认值，不建议随意改。

如果客户端里能看到心跳相关设置，先恢复默认，再观察是否还断。恢复默认本身也是一次有效的变量控制：改过的东西先归位，剩下的才是真问题。

网络切换引起的重连

笔记本从客厅走到卧室，无线网络从一个接入点切到另一个，隧道会重建。重建期间所有连接中断，表现为「突然断了一下又好了」。

双频合一的网络里，设备会在 2.4G 与 5G 之间来回切，切换频率高的时候断线就很频繁。把两个频段拆成不同的网络名，让设备固定连一个，能明显改善。

手机从室内走到室外、从无线网络切到蜂窝网络，也是同一类问题。这类断线不是故障，是网络环境变了，客户端重新建立连接属于正常行为。

省电策略与后台限制

这一条在移动端最常见，第八章会展开。桌面端也有类似机制：系统休眠时网卡断电，唤醒后隧道需要重建，如果客户端没有正确处理唤醒事件，就会显示已连接但实际不通。遇到这种情况，断开再连一次即可恢复。

区分主动断开与被动断开

客户端日志里通常能看到断开原因。主动断开一般有明确的操作记录；被动断开则表现为超时、重置或者无提示消失。如果日志里反复出现同一类超时，基本可以锁定是会话保持的问题，而不是本地网络抖动。这一步能把「网络不好」这个模糊判断变成一个具体方向。

记录断线时间点

准备一张纸或者一个记事本，记下每次断线的时刻、当时在做什么、用的哪条线路。连续记三天，规律自己就出来了：固定间隔的多半是心跳，跟着位置变化的多半是网络切换，跟着时段变化的多半是线路拥塞。

这份记录在提工单时非常有用，比「经常断」三个字有用得多。它同时也是你自己判断问题有没有被解决的最好依据。

06

订阅更新失败：链接、时间与客户端缓存

订阅更新失败的表现有两种：线路列表直接变空，或者线路还在但全部连不上。两种都指向同一件事——客户端手里的清单不是最新的。

订阅更新做了什么

订阅是一份由账户信息生成的线路清单。客户端定期向这个地址请求，拿到最新的节点列表、分流规则与配置参数。更新失败意味着客户端还在用旧清单，而旧清单里的线路可能已经调整过。

链接失效与权限

订阅地址里带有一段与账户绑定的凭证。重置过密码、在面板里重新生成过订阅、或者账户状态发生变化，旧地址就会失效。

判断方法：把订阅地址复制到浏览器里打开。能返回内容说明地址有效，返回错误页说明地址本身有问题。注意，订阅地址等同于账户凭证，不要发到群里、不要贴进截图、不要提交到公开的代码仓库。示例里的地址一律是假值，例如 https://example.com/sub?token=YOUR_TOKEN，真实地址只放在你自己的设备上。

更新时的网络条件

订阅更新本身也需要网络。如果客户端此时正处在「全局走线路」的状态，而线路又不通，更新就会失败——这是一个循环：因为连不上所以要更新，因为要更新所以连不上。

正确做法是先把客户端切到直连或者完全关掉，用本地网络完成一次更新，再连线路。

客户端缓存与导入方式

有的客户端在导入失败时会保留旧配置，界面上看不出任何异常。遇到这种情况，先删掉现有配置再重新导入，而不是在旧配置上点更新。

导入方式也要对：订阅地址要用「从链接导入」，不要手工复制节点信息再逐条添加。手工添加的节点不会跟着订阅更新，过一段时间就会全部失效。

系统时间不同步

订阅请求带时间戳。系统时间与真实时间偏差超过几分钟，服务端会拒绝请求。笔记本长时间不关机、或者时区设错，都可能出现这种情况。把系统时间设为自动同步，重启客户端再试。

订阅链接的安全边界

订阅地址泄露的后果是别人可以用你的流量。出现异常消耗时，第一件事是在面板里重新生成订阅地址，旧地址会立即失效。

另外，订阅地址不要放在浏览器书签里跨设备同步，也不要用聊天工具的文件传输发给自己。这些做法看起来方便，实际上把凭证复制到了更多地方。账户注册只需用户名与密码，无需邮箱地址，凭证管理全靠你自己保管，这一点要格外注意。

07

单个应用走不了代理：分应用模式与规则优先级

浏览器能打开网页，某个应用却提示网络异常——这是最常见的一类「局部失效」。它几乎总是规则或代理接管方式的问题，而不是线路问题。

全局模式与规则模式

全局模式下所有流量都走线路；规则模式按规则表判断。单个应用走不了代理，多数发生在规则模式，因为规则表里没有这个应用的域名，或者命中了直连规则。

分应用代理的两种实现

一种在客户端里做：客户端列出已安装的应用，你勾选哪些走线路、哪些走直连。这种方式对客户端的权限要求高，Windows 与 Android 支持较好。

另一种在系统层做：靠虚拟网卡与路由表，所有应用默认都走，个别应用通过规则排除。macOS 与 iOS 属于这一类。系统层接管的好处是应用不需要认识代理，坏处是排查时看不到「哪个应用走了哪条路」这种细分信息。

规则优先级与常见误判

规则表通常按顺序匹配，命中第一条就停止。把一条直连规则放在最前面，后面所有针对同一域名的走线路规则都不会生效。

常见误判有三种：域名后缀写得太宽，把整个顶级域都送回了直连；地址段规则与域名规则冲突；规则库版本太旧，目标网站换了域名而规则没跟上。

排查方法：在客户端的连接日志里找到这个应用发起的请求，看它命中了哪条规则。日志里一般会写明匹配到的规则名，对着规则表往回找即可。

应用自带的网络检测

有些应用在启动时会做一次网络环境检测，检测不通过就拒绝联网，即使系统代理已经生效。这类应用通常需要单独放行，或者在分应用列表里设为走线路。

另一种情况是应用使用了独立的解析服务或者硬编码的地址，绕过了系统代理。这种情况只能靠客户端的全局模式或者系统级虚拟网卡接管。

浏览器能开、应用不能开的常见原因

浏览器走系统代理，应用不一定。有的应用直接用底层网络接口，不读系统代理设置。这类应用只有在虚拟网卡接管全部流量时才会走线路。

判断方法很简单：把客户端切到全局模式，如果应用恢复了，说明它不读系统代理；如果仍然不行，说明它连虚拟网卡都没有用上，需要看应用自己的网络设置。

判断流程

08

移动端后台掉线与设备数超限

手机上的掉线，绝大多数不是线路问题，而是系统对后台进程的限制。两个平台的表现不同，处理方式也不同。

iOS 的后台限制

iOS 对后台进程管得很严。切到后台之后，连接由系统接管，但其他应用的后台活动会被限制。表现是锁屏一段时间后解锁，需要几秒才恢复网络。

系统设置里，VPN 配置需要保持「按需连接」开启，否则系统会在空闲时主动断开。另一个常见点是低电量模式。开启后系统会推迟后台刷新，连接恢复会变慢，但一般不会彻底断掉。

Android 的电池优化与自启动

Android 各家厂商的策略差异很大。默认的电池优化会在息屏后限制后台网络，客户端服务被限制就表现为掉线。

需要在系统设置里把客户端加入电池优化白名单，并允许自启动与后台活动。部分厂商还有额外的省电策略开关，需要单独关闭。

另一个容易忽略的开关是「休眠时断开移动数据」。这个开关打开后，息屏一段时间网络会整个断掉，连接自然也跟着断。排查时先看这一项。

蜂窝与无线网络切换时的重连

手机在移动过程中频繁切换基站与无线网络，隧道会反复重建。把不用的网络关掉（比如在家时关掉蜂窝数据），能减少切换次数，也就减少了断线次数。

「设备数超限」为什么在本服务不成立

从别的服务迁移过来的用户，遇到连不上时常常先怀疑设备数超限。本服务的订阅同时在线设备不限台数，同一个账户在多台设备上同时使用是允许的，不会因为设备多而被踢下线。Windows / macOS / iOS / Android / Linux 五个平台可以同时在线。

所以如果出现「一台连上另一台就断」的现象，原因不是设备数，而是下面几种情况之一。

真正的原因通常是什么

第一种，同一个订阅被两台设备的客户端同时以相同标识连接，服务端把旧会话回收。解决办法是每台设备用独立的客户端实例，不要复制同一份带设备标识的配置。

第二种，本地网络只允许一个隧道。部分路由器与公共网络会限制同时建立的隧道数量，表现就是后连的把那台先连的顶掉。

第三种，账户状态异常。这种情况在用户面板里能直接看到，不需要猜。流量用尽、套餐到期都会有明确提示，与设备数量无关。

09

什么时候找客服：工单要附哪些信息

前面八章覆盖了绝大多数可以自己解决的问题。剩下的那一小部分，提工单是正确选择——但工单的质量直接决定处理速度。

该自己解决的与该提工单的

工单必须附的六项信息

怎么描述现象

好的描述：「晚上八点后，用某地的中转线路看高清视频，每两分钟缓冲一次；换到另一地区的中转线路正常；同一时段用手机连同一线路也正常。」

不好的描述：「很卡，快修。」

前者能直接定位到线路与时段，后者只能让客服从头问一遍，一来一回就是一两天。

提工单之前先做的三件事

第一，重启客户端与设备，排除临时状态。第二，换一条线路复测，确认是单线路还是全线路。第三，确认账户状态正常，流量没有用尽、套餐没有到期。

这三件事加起来不到五分钟，却能过滤掉相当一部分工单。

提工单时不要做的三件事

不要把订阅地址贴进工单。客服需要的是现象与排查结果，不是凭证。不要在一个工单里塞三个不相关的问题，分开提处理更快。不要在等待回复期间反复改动设置，改完之后现象变了，之前收集的信息就作废了。

工单提交之后

工单入口在用户面板内，登录后即可提交。提交之后不要重复提交同一问题，重复工单会让处理顺序变乱。

如果需要退款，本服务提供 7 天无理由退款，具体条款以使用条款页为准。价格与套餐在套餐页有完整列表，线路分布可以看节点页，两处数字与这里一致。