macOS VPN 连接后无法上网：按症状逐步排查
简答：macOS VPN 显示“已连接”但无法上网时，先断开 VPN 测试普通网络，再只修改一个变量依次检查代理、DNS、网络扩展、分流和节点。若断开 VPN 后也不能上网，优先处理 Wi-Fi、公共网络认证或 macOS 网络配置；若只有 VPN 开启后失败，重点检查客户端模式、系统代理、旧 VPN 配置和过滤软件冲突。
定义：“macOS VPN 连接后无法上网”是指 VPN 状态显示已连接，但浏览器、应用或部分域名无法建立正常网络连接；连接状态本身不等于 DNS、路由和实际流量都已恢复。
先按这张表定位，不要同时改多个设置
先记录当前网络、VPN 客户端、节点或协议、是否开启系统代理/TUN/全局模式，以及具体错误提示。然后断开 VPN，只测试同一个网页和应用。每次只改一个设置，改完立即复测，避免无法判断是哪一步产生影响。
| 现象 | 优先判断 | 先做什么 |
|---|---|---|
| 断开 VPN 后也无法上网 | Wi-Fi、路由器、公共网络认证或本机网络配置 | 打开其他网页，并用另一台设备或手机热点对照 |
| 所有网页和应用都打不开 | VPN 路由、全局模式、网络扩展或 Kill Switch | 关闭 VPN 后确认普通网络，再关闭客户端的全局拦截类选项 |
| 只有部分网站打不开 | DNS、分流规则、出口或该网站兼容性 | 更换一个节点或模式，只改一个变量 |
| 只有某个应用打不开 | 应用自身代理、浏览器扩展或应用不接受系统代理 | 检查该应用独立的代理设置，并暂时关闭相关扩展 |
| 只有某个 Wi-Fi 失败 | 公共网络认证、网络过滤或该 Wi-Fi 的配置 | 先在未连接 VPN 时打开认证页面，再用手机热点复测 |
Apple 建议遇到网络连接问题时，先确认日期、时间和系统更新，重启设备，并接入其他网络判断问题是否只发生在当前网络；这些检查可参考Apple 关于 VPN 和第三方安全软件导致网络问题的说明。
分平台步骤：macOS 上按顺序恢复连接
1. 断开 VPN，确认普通网络是否正常
- 关闭 VPN，保持当前 Wi-Fi 或以太网不变。
- 打开浏览器访问一个平时可访问的网站，再测试一个常用应用。
- 如果仍然无法访问，先重启 Mac 和路由器；公共 Wi-Fi 则先完成网页登录或同意页面。
- 使用另一张 Wi-Fi 或手机热点进行对照。新网络正常，说明问题更可能在原网络、认证、路由器或网络策略，而不是 VPN 本身。
如果断开 VPN 后普通网络正常，继续进行下一步；如果普通网络本身异常，不要先反复更换节点。
2. 检查 macOS 的 VPN 配置和重复配置
在较新的 macOS 中，打开“苹果菜单”→“系统设置”→“VPN”，查看实际连接的服务。Apple 的官方路径说明见将 Mac 接入 VPN。如果同时存在旧配置、重复 VPN 服务或不再使用的配置，可先记录名称和参数，再暂时停用或移除无关项。系统版本不同，菜单名称可能略有差异。
如果使用的是客户端创建的网络扩展、TUN 或虚拟接口，断开后等待几秒再重新连接。网络扩展权限、系统过滤器和客户端配置是否需要重新授权，取决于具体客户端，不能一概认为所有设置都能自动迁移。
3. 检查系统代理，避免代理与 VPN 叠加
进入“系统设置”→“网络”→当前 Wi-Fi 或以太网→“详细信息”→“代理”。检查“自动代理配置”、HTTP、HTTPS 和 SOCKS 等项目是否被旧客户端或手动设置保留。Apple 对这些入口和代理类型的说明见在 Mac 上更改代理设置。
如果你并不需要手动代理，先记录原值，再暂时关闭相关代理项目，重新连接 VPN 并测试。不要直接删除公司或学校网络要求的 PAC 地址；如果 Mac 受组织管理，应先咨询管理员。
4. 区分 DNS、路由和分流问题
如果 IP 类连接或部分应用正常，但域名打不开，优先怀疑 DNS 或分流规则；如果所有流量都失败，则更像是路由、全局模式、网络扩展或节点侧问题。检查客户端是否有“规则模式、全局模式、直连、TUN、增强模式、按需连接”之类选项，名称以当前版本为准。
先保持原模式，换一个节点或协议测试一次；若无效，再恢复原设置后只切换模式。不要同时修改 DNS、MTU、代理和节点。macOS 原生 VPN 的部分类型也可在 VPN 配置中查看 TCP/IP、DNS 和代理设置，Apple 的选项说明见更改 VPN 设置。
5. 检查其他过滤软件、浏览器扩展和专用代理
VPN、防火墙、杀毒软件、内容拦截器、家长控制、浏览器代理扩展和其他网络过滤器可能同时修改网络连接。Apple 建议在 Mac 的系统设置搜索“VPN、描述文件、防火墙和筛选器”，并检查应用程序与登录项；如果发现不需要的网络过滤设置，可先关闭其功能并重新测试，详细路径见Apple 官方排查说明。
如果系统提示某些设置阻止专用代理工作，还要检查“网络”中当前 Wi-Fi 的“限制 IP 地址跟踪”以及相关网络过滤软件。Apple 说明了专用代理与 VPN、互联网过滤软件之间可能存在的兼容性问题，见针对特定网站、网络或系统设置管理专用代理。
验证是否真正恢复，以及失败时如何回退
修复后不要只看 VPN 图标。至少完成四项验证：浏览器打开普通网页；打开一个此前失败的网页；测试一个常用应用；断开并重新连接 VPN 后再次测试。若条件允许，再分别在原 Wi-Fi 和手机热点上复测，并记录 DNS、出口 IP 或客户端显示的连接状态。
- 换节点后恢复：说明原节点、协议或出口路径可能是变量，保留原设置记录，不要据此断定服务长期可用性。
- 关闭系统代理后恢复：说明代理叠加或旧 PAC 配置可能影响连接，后续应确认到底由客户端还是系统代理负责转发。
- 切换网络位置后恢复：可以考虑建立新的网络位置。Apple 说明，网络位置可用于在不丢失原设置的情况下测试和切换网络配置，步骤见在 Mac 上使用网络位置功能。
- 所有网络都失败：记录 macOS 版本、客户端版本、VPN 类型、节点或协议、网络类型、错误提示和复现时间，再联系客户端或网络管理员。
如果需要建立新的网络位置，建议先保留原位置，不要立即删除。新位置只用于对照测试；确认问题解决后，再决定是否清理旧配置。
边界云加速的适用场景
如果你需要在跨境办公或多设备场景中持续排查连接问题，可把本文的“断开对照—单变量复测—记录结果”流程作为日常检查表；具体线路、客户端和网络环境仍需以实际配置与测试结果为准。
常见问题
为什么 macOS 显示 VPN 已连接，网页还是打不开？
“已连接”通常只代表 VPN 会话或隧道建立，不代表 DNS、路由、系统代理和每个应用都能正常使用。先断开 VPN 验证普通网络，再按全部断网、部分网站和单个应用分别排查。
应该先改 DNS 还是先换节点？
先做断开 VPN和换网络的对照测试，再只改一个变量。若只有部分域名失败，可检查 DNS或分流；若所有应用都失败，优先检查全局模式、网络扩展、系统代理和节点连接，不建议一开始同时修改 DNS、MTU和代理。
macOS 上如何检查 VPN 和代理设置？
VPN 通常在“系统设置”→“VPN”中查看；网络代理通常在“系统设置”→“网络”→当前网络→“详细信息”→“代理”中查看。不同系统版本和客户端的菜单名称可能不同，应以当前界面为准。
换 Wi-Fi 后 VPN 可以上网，原来的网络该怎么办？
先确认原 Wi-Fi 是否需要网页登录认证，再重启路由器并检查是否有网络过滤或策略限制。若手机热点正常而原 Wi-Fi 持续失败，记录网络名称、时间和错误提示，联系网络管理员或互联网服务提供商。
能不能直接删除 macOS 里的旧 VPN 配置？
不建议直接删除。先记录配置名称和必要参数，优先停用无关服务或建立新的网络位置进行对照；如果设备由公司或学校管理，删除前应咨询管理员。