VPN 连接后部分软件无法联网怎么办？
简答：VPN 已连接不代表所有软件都一定经过同一条网络路径。先关闭客户端的规则分流或应用排除项，再检查系统代理是否与客户端端口一致；如果仍只有个别软件失败，继续排查该软件自己的代理、DNS、IPv6 和防火墙权限。每次只改一个设置，并在修复后恢复不必要的临时改动。
定义：“VPN 连接后部分软件无法联网”是指 VPN 客户端显示连接成功，但只有特定应用无法登录、加载、同步或建立连接，而其他网页或应用仍能正常访问。
先用这张表判断：是分流、代理还是应用自身问题
先不要反复切换节点或重装客户端。分别测试一个普通网页、一个失败软件，以及关闭 VPN 后同一软件的表现。记录“能否打开、是否能登录、是否提示超时、是否出现代理认证错误”，再按下表选择第一检查项。
| 现象 | 优先检查 | 可观察结果 | 下一步 |
|---|---|---|---|
| 浏览器能打开，办公软件或同步工具失败 | 应用排除、规则模式、应用自带代理 | 切换为全局或暂时关闭排除后恢复 | 回到规则模式，逐条确认该应用域名或进程是否被分流 |
| 浏览器和多个软件都失败，但客户端显示已连接 | 系统代理、客户端本地端口、DNS | 系统代理地址或端口为空、错误或被其他工具占用 | 统一客户端端口与系统代理设置，必要时恢复自动检测 |
| 只有需要登录的应用失败 | 代理认证、证书检查、应用自带网络设置 | 出现 401、407、证书或登录超时提示 | 检查应用是否支持当前代理类型，不要把账号密码写入不明配置 |
| 只有 IPv6 环境下失败或表现反复 | IPv6 路由、DNS 返回地址、客户端 TUN 设置 | 关闭 IPv6 或切换网络后症状变化 | 先恢复默认网络设置，再按客户端文档核对 IPv6 选项 |
| 关闭 VPN 后也无法联网 | 本地网络、系统防火墙、应用本身 | 无论是否连接 VPN 都失败 | 先排除 VPN 影响，检查 Wi-Fi、系统时间、应用更新和企业网络限制 |
Windows 的系统代理与 VPN 连接设置是分开的，微软说明中也将代理配置放在“网络和 Internet > 代理”，并指出 VPN 使用代理时需要单独配置。可参考 Microsoft Windows 代理设置说明。
按顺序排查：每一步只改一个变量
- 确认失败范围。
关闭 VPN，测试同一个软件；重新连接 VPN，再测试一次。若关闭 VPN 后仍失败，问题不一定来自 VPN。若仅连接 VPN 后失败，继续下一步。不要同时更换节点、协议和 DNS。
- 检查客户端的分流和应用排除。
在客户端中查找“规则、分流、全局、直连、代理应用、绕过 VPN、排除应用”等同类选项。暂时切换到全局或让该应用进入代理范围，重新启动失败软件。若恢复，说明方向基本锁定在规则或应用排除；随后应回到规则模式，缩小到具体域名、进程或目标地址，而不是长期保持全局。
- 检查系统代理是否与客户端一致。
在 Windows 打开“设置 > 网络和 Internet > 代理”，查看自动检测、设置脚本和手动代理。只保留客户端明确要求的那一种配置，确认地址通常是本机回环地址而不是远程服务器地址，端口必须以客户端当前界面显示为准。未知端口不要凭经验填写。微软文档说明，Windows 支持自动检测、脚本和手动代理，手动设置需要代理地址与端口。
部分程序不读取浏览器或 WinINet 代理，而是使用 WinHTTP、环境变量或自己的代理设置。微软资料明确指出，WinHTTP 配置可以独立于 Windows Internet 代理设置；因此“浏览器正常、某个桌面程序失败”并不矛盾。可先查看该软件是否有独立的网络或代理页面，不要直接修改系统级 WinHTTP。
- 检查软件自己的代理、登录和证书选项。
在失败软件内查找“网络、连接、HTTP 代理、SOCKS、使用系统代理、绕过代理、TLS/证书检查”等设置。若软件配置了旧代理、固定端口或企业代理，可能覆盖系统设置。出现 407 时，微软将其定义为代理需要身份验证；这类错误应检查代理认证方式和凭据来源，不要把密码粘贴到不明配置文件。
- 检查 DNS 与域名解析。
如果软件提示找不到服务器、域名解析失败或长时间等待，可先在同一网络下对比 DNS。Windows 命令提示符中可使用
nslookup example.com进行基础解析观察，其中域名应替换为失败软件实际使用的域名；命令只用于观察，不代表一定能验证应用的全部连接。若网页能打开但应用仍失败，可能是应用使用了不同域名、DoH、固定 DNS 或额外的证书校验。修改 DNS 前记录原值；恢复时改回“自动”。不要把 DNS 问题与代理端口问题混为一谈：DNS 能解析，不等于 TCP、TLS 或应用协议一定能建立连接。
- 检查 IPv6、TUN 与本地防火墙的交互。
若仅在某个 Wi-Fi、移动热点或公司网络中出现问题，记录切换网络后的变化。暂时关闭客户端中与 IPv6、TUN、虚拟网卡相关的实验性选项进行对比，但一次只改一个选项。若 Windows 防火墙或安全软件弹出网络权限提示，应确认允许的是实际使用的客户端和失败软件，不要为了测试长期关闭防火墙。
- 回滚并复测。
关闭 VPN、退出客户端、恢复系统代理和 DNS 原值，再重新连接并测试。确认修复后，把临时的全局模式、例外规则和调试开关恢复为原设置。记录客户端模式、网络类型、失败软件、错误提示和复测结果，方便继续定位是规则、代理、DNS 还是本地网络问题。
不同平台的重点检查项
Windows：优先看系统代理与 WinHTTP 差异
Windows 上最常见的误判是“浏览器能用，所以所有软件都应该能用”。实际应用可能读取系统代理、环境变量、WinHTTP 或自有配置，代理来源并不完全相同。微软文档说明，WinHTTP 可使用独立的默认代理配置；因此先在失败软件内找代理选项，再决定是否处理系统级设置。除非你明确知道某个程序依赖 WinHTTP，否则不要直接执行系统级代理修改命令。
如果确实需要核对 WinHTTP，先使用当前系统命令帮助确认语法，并只查看现状；修改前保存原值。涉及企业设备、办公代理或管理策略时，优先联系管理员，因为手动重置可能影响其他服务。
Android：检查 VPN 应用是否把该应用排除
Android 支持按应用允许或排除 VPN 流量。Android 官方文档说明，配置允许列表后，只有列表中的应用使用 VPN；配置排除列表后，被排除的应用会按系统网络连接，其他应用仍可经过 VPN。若只有一个或几个应用失败，进入 VPN 客户端的应用列表，确认失败应用没有被加入排除项，并在修改后重新建立 VPN 连接。
还要检查 Android 系统是否同时启用了另一个 VPN、始终开启 VPN 或“阻止未使用 VPN 的连接”等选项。不同系统版本和客户端名称可能不同，找不到对应开关时以当前设备设置页面为准。
iOS：区分普通 VPN 与按应用 VPN
iPhone 或 iPad 上，如果只有受管理的工作应用表现异常，可能涉及按应用 VPN 或设备管理策略。Apple 说明，按应用 VPN 可以由设备管理服务为特定应用和域名指定连接。普通个人设备上，优先检查当前 VPN 配置是否只有一个、应用是否被系统限制蜂窝数据，以及该软件是否有独立代理设置。
如果问题只发生在公司账号、工作资料或受管理应用中，不要自行删除管理配置；应向组织管理员确认允许的 VPN、DNS 或网络策略。
常见错误现象与处理分流
- 软件一直转圈或提示连接超时：先切换规则到全局做一次对照；若有效，回到规则模式查域名或应用排除；若无效，再检查代理端口、DNS 和本地防火墙。
- 提示代理认证失败：检查软件是否误用了旧代理、账号密码是否过期、代理类型是否匹配。不要把认证信息写入共享配置或公开日志。
- 网页正常，更新器或游戏启动器失败：检查该程序是否使用独立代理、WinHTTP、固定域名或 UDP 连接。网页能访问只能证明网页路径可用，不能证明其他协议一定可用。
- 连接后国内或局域网资源打不开：检查直连规则、局域网绕过选项和 DNS。企业内网还可能要求特定 DNS 或代理脚本，不要直接套用公共配置。
- 改完 DNS 后更糟：恢复原 DNS，清理本地缓存后重新测试。DNS 修改不能替代对分流和应用代理的检查。
什么时候应停止继续改设置？
出现以下情况时，继续反复切换设置的收益通常不高：关闭 VPN 后软件同样失败；多个网络环境都只有同一软件失败；软件报的是账号、证书、版本或服务器错误；设备属于公司管理范围；或者客户端日志显示连接已经建立但应用没有发起请求。此时应保存失败时间、网络类型、客户端模式、应用版本、错误文本和是否能复现，再联系软件维护方或网络管理员。
本文是通用排查指南，不代表任何特定品牌的官方说明，也未对具体服务的可用性、速度或稳定性作出判断。涉及具体客户端菜单时，应以该客户端当前版本和官方文档为准。
参考资料
本文关键判断依据包括：Microsoft Windows 代理设置说明、Microsoft 关于 WinHTTP 与系统代理差异的说明、Android VPNService 按应用 VPN 文档、Apple VPN 安全与按应用 VPN说明。
常见问题
为什么 VPN 显示已连接，但只有一个软件无法联网？
最先检查该软件是否被分流规则排除、是否使用独立代理，或是否依赖与浏览器不同的域名和协议。可以临时切换全局模式做对照；如果恢复，再回到规则模式定位具体应用或域名。
Windows 浏览器能用，其他软件不能用，应该先查什么？
先查失败软件自己的代理设置，再核对 Windows“设置 > 网络和 Internet > 代理”。部分程序使用 WinHTTP、环境变量或独立代理，不一定读取浏览器代理，因此浏览器正常不能证明所有软件的代理路径都正确。
Android 上只有某个应用无法联网，怎么判断是不是被 VPN 排除了？
打开 VPN 客户端的应用列表，检查该应用是否在排除列表，或是否未被加入允许列表。Android 官方文档说明，按应用 VPN 会决定哪些应用走 VPN；修改列表后通常需要重新建立 VPN 连接。
修改 DNS 能解决部分软件无法联网吗？
只有在域名解析失败、解析结果异常或客户端 DNS 设置不一致时，DNS 修改才可能有效。若软件使用独立代理、固定地址、证书校验或特定协议，修改 DNS 通常不能解决问题。修改前应记录原值，失败后恢复自动。
排查后仍然无法联网，需要提供哪些信息？
记录设备系统、网络类型、客户端模式、失败软件、错误原文、关闭 VPN 后的结果、切换网络后的结果，以及是否临时切换过全局模式。不要提交账号密码、完整订阅内容或包含敏感信息的日志。