VPN显示“已连接”，网页却打不开：我会按这个顺序查
“已连接”只说明Windows建立了某个接口。DNS、默认路由、系统代理和目标网站仍可能各自失败，排查的重点是尽快确定故障在哪一层。
第一分钟：断开VPN看普通网络
先别换线路，也别清DNS。断开客户端后，用同一个浏览器打开两个平时稳定的网站，再用另一个应用联网。如果普通网络也失败，就先处理Wi-Fi、网线、路由器或运营商；这时反复切换VPN只会让现场更乱。把断开状态下的地址、DNS和Windows代理截图保存，它们是后面恢复时的基准。
第二步：判断是域名失败还是整个出口失败
重新连接后，比较域名网页与一个已知IP目标的结果。只有域名失败，范围更接近DNS；两者都失败，才继续看默认路由、出口或客户端服务。单个网站打不开则要增加另一个目标验证，不能把目标站自身故障当成VPN断网。Windows任务栏的图标也只是线索，它不能替代完整网页和应用测试。
浏览器和Windows可能各走一套DNS
现代浏览器可以启用安全DNS，扩展也可能设置代理。测试前后要使用同一个浏览器，并记录这些开关。浏览器失败、其他应用正常时，先在浏览器这一层排查；所有程序都无法解析，再看Windows网卡DNS和客户端设置。清空DNS缓存只适合确认设置已经改变却仍命中旧记录的情况，它无法修复错误代理、失效线路或目标服务异常。
系统代理残留是最容易漏掉的一项
打开“设置—网络和Internet—代理”，查看自动检测、设置脚本和手动代理。微软的说明也把VPN连接的代理作为单独配置项；客户端退出后，如果系统仍指向已经不监听的本地端口，浏览器就会像完全断网。公司电脑可能本来就需要代理脚本，不要看见开关就全部关闭。先根据安装前记录判断哪些是原值，再一次恢复一项并复测。
只有一个应用失败时去看分流
浏览器正常、某个程序不通，往往更接近分应用代理、绕过列表、程序自身代理或防火墙规则。此时重置全部网络代价很大，也不会告诉你是哪条规则出错。先查看客户端是否只代理选中的应用，再检查失败程序有没有独立DNS或代理。规则改动后用同一任务复测，不同时换协议和线路。
恢复后不要在网页标题出现时收工
页面重新打开只是第一步。继续登录、加载图片、播放或上传，观察十分钟，再切换一次Wi-Fi或网线。随后断开并退出客户端，确认普通网络仍然正常。微软将网络重置放在较后的处理步骤，并提醒它会移除适配器、影响VPN客户端和虚拟交换机；所以只有前面的单项恢复都无效、已经保存配置时，才考虑这种高成本操作。
适用边界：结果只覆盖记录中的Windows版本、客户端、驱动、网络和日期。系统更新或软件版本变化后需要重新验证。