客户端显示“已连接”只代表本地 VPN 或代理接口启动了，不代表远端节点已经完成握手，也不代表 DNS 和分流规则一定正确。浏览器出现 ERR_TUNNEL_CONNECTION_FAILED 时，应从链路最前端开始检查。
先做四个对照测试
- 关闭代理，测试本地网络能否打开普通网页。
- 开启代理，换另一条真实线路，排除单节点故障。
- 用无痕窗口访问，排除浏览器扩展和缓存。
- 切换手机热点，判断问题是否只发生在当前 Wi-Fi。
系统代理与 TUN 不要混乱叠加
Clash Verge 等桌面客户端可以开启系统代理，也可以开启 TUN。排查时只留一种：先关闭 TUN，使用系统代理测试浏览器；如果某些应用不遵循系统代理，再单独测试 TUN。与此同时退出其他 VPN、代理插件和安全软件的网络过滤功能。
规则模式可能漏掉目标域名
把模式临时切到“全局”。若全局可用、规则模式不可用，说明节点本身正常，应检查规则集或策略组选择。不要长期用错误的全局设置掩盖问题，确认后再恢复规则模式并修正目标域名的策略。
DNS 问题的典型表现
域名打不开但直接访问已知 IP 有响应，可能是 DNS 解析异常。重启客户端、刷新系统 DNS 缓存，或恢复客户端默认 DNS 配置。不要同时堆叠多个加密 DNS、浏览器安全 DNS和客户端 Fake-IP 设置，否则故障来源很难定位。
为什么搜索页能开，点进去却失败
搜索页和目标网站使用不同域名、CDN、IPv4/IPv6 路径及规则。能打开一个站只能证明部分链路正常。记录打不开网站的域名，在客户端连接日志中查看它是直连、代理还是被拒绝，才能判断是规则、DNS还是节点出口问题。
最后检查账号状态
刷新订阅后查看剩余流量和到期日期。如果额度为 0，客户端仍可能显示旧节点，但服务器会拒绝继续转发。确认状态正常后再更新一次订阅。排查期间不要公开个人订阅链接。