先判断掉线发生在哪个环节
VPN 频繁掉线不一定代表节点本身失效。刚连上就断开、连接一段时间后中断、手机锁屏后失去连接，以及从 Wi-Fi 切换到手机流量后无法恢复，背后的原因可能完全不同。排查前先记录掉线发生的时机、使用的网络、设备平台、客户端名称、节点地区和协议类型，避免一次修改多个选项，最后无法判断究竟是哪项设置起了作用。
如果客户端显示“已连接”，但网页打不开，问题可能出在 DNS、分流规则或本地代理端口，而不是隧道已经断开。相反，如果客户端状态反复在“连接中”和“已断开”之间切换，通常更应检查本地网络限制、节点可达性、协议兼容性和系统后台权限。先观察状态，再做实际验证，能够缩小排查范围。
| 表现 | 优先怀疑 | 先做什么 |
|---|---|---|
| 刚连上就断开 | 网络限制、协议握手失败、节点参数过期 | 切换网络并更新订阅 |
| 使用一段时间后中断 | 线路拥堵、系统休眠、后台权限或 Wi-Fi 波动 | 检查电池与网络保持设置 |
| 锁屏后掉线 | 移动系统暂停后台网络 | 允许客户端后台活动 |
| 切换 Wi-Fi 与手机流量后失效 | 网络接口变化、旧连接未释放、路由未重新建立 | 断开后重新连接 |
| 显示连接但应用不可用 | 分流、DNS、本地代理端口或应用自身缓存 | 分别测试网页、IP 与目标应用 |
先排查本地网络与网络限制
本地网络是最常见、也最容易被忽略的原因。家庭 Wi-Fi、公司网络、校园网络、酒店热点和手机流量使用的 DNS、访问策略与出口路径并不相同。某个网络下无法建立连接，并不等于账号或节点不可用。可以先关闭 VPN，确认普通网页能够正常打开，再分别用另一条 Wi-Fi 或手机流量测试同一个节点。
公共 Wi-Fi 还可能要求先通过网页认证。设备没有完成门户登录时，客户端虽然可以启动，但连接请求会被认证页面拦截。此时先暂时关闭客户端，打开普通网页，完成网络登录，再重新连接。不要在认证页面长期输入敏感账户信息，也不要仅凭热点名称判断网络可信。
如果只有公司或校园网络无法连接，可能是防火墙、端口策略或代理设置造成的。不要擅自修改受管理设备的安全策略，也不要把完整订阅链接交给网络管理员以外的第三方。可以记录网络名称、发生时间和客户端报错，再询问网络管理方是否限制了相关连接。
切换 Wi-Fi 与手机流量后的处理顺序
- 先暂停正在进行的下载、视频播放或同步任务，避免旧连接持续占用网络接口。
- 在客户端中主动断开当前连接，等待状态回到未连接，而不是直接关闭系统网络。
- 确认设备已经获得新的 Wi-Fi 或移动网络地址，再重新打开客户端连接。
- 如果仍然失败，更新订阅并选择另一条线路，随后检查实际网页访问是否恢复。
- 确认稳定后，再恢复原来的应用，避免把应用缓存或旧会话误认为 VPN 又一次掉线。
Windows 和 macOS 设备还应检查系统是否配置了其他 VPN、代理软件或安全软件。多个程序同时接管系统代理、虚拟网卡或 DNS，可能导致连接建立后又被另一个程序改写。Clash Verge、sing-box、Shadowrocket 等兼容客户端与官方客户端不宜同时启用相同的系统代理功能；测试时保留一个客户端处于工作状态即可。
检查后台权限、电池策略与系统网络设置
移动设备掉线经常不是线路故障，而是系统为了省电暂停了客户端。Android 上应在应用信息中查看后台活动、电池使用和后台数据权限；如果系统提供“无限制”或“不优化”选项，可针对 VPN 客户端进行设置。不同品牌系统的名称可能不同，但重点都是让客户端在锁屏、切换应用和屏幕关闭后仍能维持必要的网络活动。
iOS 对后台任务管理较严格。连接后不要立即强制关闭客户端，系统设置中的 VPN 配置、按需连接和网络权限也应保持正常。如果设备安装了多个网络过滤、广告拦截或安全防护应用，它们可能与 VPN 配置产生冲突。排查时可以暂时停用非必要的网络过滤功能，然后只测试一次连接结果。
Windows 用户应检查客户端是否被防火墙拦截，虚拟网卡是否正常安装，以及系统休眠、快速启动和网络适配器节能选项是否造成接口重置。macOS 用户则可查看系统网络设置中的 VPN 配置、代理项目和权限提示。Linux 用户需要确认 NetworkManager、systemd-resolved 或其他网络管理服务没有重复接管 DNS 和路由。
更新客户端与订阅配置
客户端版本过旧、订阅缓存损坏或服务端调整参数，都可能表现为连接反复失败。先从用户面板重新复制订阅链接，在客户端执行更新，再确认节点列表中的协议和线路信息已经刷新。订阅链接包含账户识别凭据，不要放入公开截图、群聊、论坛或在线文档；如果怀疑已经泄露，应在面板中更新相关凭据。
官方客户端通常可以直接登录后获取配置；Clash Verge、sing-box、Shadowrocket 等兼容客户端则需要确认导入格式与客户端支持范围。不要把一个客户端专用的配置文件直接当成另一个客户端的配置使用。导入后先选择单个节点测试，不要同时加载多份订阅或多个规则集。
协议和线路异常时，怎样选择替代方案
协议与线路是两个不同层次。Shadowsocks、VMess、Trojan、Hysteria2 和 WireGuard 描述的是连接建立、认证、封装或传输方式；直连、中转、BGP 或 IEPL 专线描述的是数据经过的网络路径。某个协议在一条线路上不稳定，不代表所有协议都不适用；某条专线连接不上，也不代表其他线路一定存在同样问题。
排查时不要连续修改协议、端口、DNS 和分流规则。先保留当前配置，选择同地区的另一节点测试；如果同一地区多条线路都失败，再换到相邻地区或不同线路类型。这样可以判断问题更偏向单个节点、整组线路，还是本地网络对某类连接的限制。
- Shadowsocks：配置相对简洁，兼容客户端较多，但实际表现仍取决于节点参数、传输方式与线路质量。
- VMess：常见于订阅配置，需要客户端正确读取认证和传输参数，手动填写时尤其要注意字段完整。
- Trojan：依赖正确的认证与安全参数，系统时间、域名解析或证书相关错误都可能导致握手失败。
- Hysteria2：对网络环境和客户端支持有要求，在丢包或网络变化明显的环境中，应结合实际表现判断，不要只看协议名称。
- WireGuard：结构清晰、系统支持范围广，但密钥、地址和路由配置必须完整，不能把普通订阅文本直接当作 WireGuard 配置。
按故障表现选择测试路径
如果连接刚建立就断开，优先更新订阅并更换节点，随后测试另一种客户端支持的协议。如果连接稳定但高峰时段频繁停顿，可尝试不同线路类型，重点观察持续使用时的恢复能力，而不是只做瞬时测速。如果只有某一个应用掉线，应先查看分流规则、应用代理设置和 DNS，而不要立即更换整个服务。
完成连接后，可以打开本站的我的 IP页面核对出口是否发生变化。IP 变化只能证明某部分流量到达了预期出口，不能单独证明所有应用都走同一路径。需要验证视频、网银或会议软件时，应在目标应用内完成实际操作，并留意登录会话、域名解析和媒体资源是否同时正常。
按命中率执行一遍快速修复流程
下面这套流程适合大多数“刚连接就断”或“切网后无法恢复”的情况。每完成一步就重新测试一次，若问题消失，先保留有效设置使用一段时间，不要为了追求更多选项而继续修改。
- 确认普通网络可用：关闭 VPN 后打开几个常用网页，判断 Wi-Fi 或手机流量本身是否稳定。
- 完成热点认证：如果使用酒店、机场或公共网络，先在浏览器完成门户登录，再启动客户端。
- 主动断开并重连：不要只切换系统网络开关，让客户端完整释放旧会话后再连接。
- 更新订阅：从用户面板复制最新订阅链接，确认客户端已经获得新的节点列表。
- 更换单个节点：先换同方向的另一条线路，再观察连接是否仍然反复中断。
- 检查后台权限：在 Android、iOS、Windows、macOS 或 Linux 中，确认客户端没有被电池、休眠、防火墙或网络管理服务暂停。
- 检查代理冲突：关闭其他 VPN、代理、网络过滤器和兼容客户端的系统代理，只保留一个程序接管连接。
- 验证实际结果：检查网页、DNS、出口 IP 和目标应用，不要只依据客户端图标判断修复成功。
如果仍然掉线，可以分别测试官方客户端和兼容客户端。官方客户端通常更适合确认账号、订阅和服务端配置是否正常；Clash Verge、sing-box、Shadowrocket 等客户端则便于验证分流与规则行为。测试时应使用同一订阅、同一节点和相近的网络条件，否则结果无法直接比较。