一次连接经过哪些层级
访问一个域名时，应用需要获得目标地址、决定连接路径，并与目标建立通信。使用网络客户端后，还要确认流量是否进入核心、配置如何选择策略以及远端服务是否可达。这些环节相互关联，但任何一个开关都不能证明完整链路已经正常。
客户端图标表示应用状态，核心日志表示处理状态，连接记录说明请求曾进入处理路径。最终业务成功还需在目标应用中验证。排查时分别收集这些证据，而不是将所有现象归纳为“网络不好”。
系统代理的覆盖范围
系统代理为应用提供代理地址与端口。是否使用它取决于应用行为，有些程序会读取系统设置，有些使用独立配置。浏览器访问成功，而其他程序失败，可能涉及不同入口，不一定是同一份规则失效。
核对系统设置与客户端监听地址、端口一致，并确认服务仍在运行。应用退出后若系统仍指向停止的本地端口，就可能影响普通访问。保留原始设置，能够在异常时更快恢复。
虚拟接口与系统代理的区别
TUN 相关功能通过虚拟网络接口参与流量处理，还可能涉及路由与 DNS。它的覆盖范围、权限和例外情况取决于实现与配置。首次排查使用单一入口，等基础连接验证完成后再根据需求调整，避免多个机制同时改变结果。
设备已有 VPN、企业网络组件或其他接管工具时，先了解各自管理的接口和路由。看到虚拟接口出现不代表流量已经正确到达远端；仍需观察核心中的请求和实际业务结果。
DNS 成功与连接成功不同
DNS 将域名解析为地址；解析成功后，目标通信仍可能因为路径、远端状态或网络环境而失败。域名访问失败时，先看解析是否完成，再看连接尝试是否超时。不要把一个地址测试的结果直接套用到所有基于域名的业务。
使用核心处理 DNS 时，先了解当前处理模式和上游设置。改变解析器之前记录旧值，并在同一网络、同一目标下比较结果。具体字段应查阅核心文档，而不是连续更换多个参数后仅凭一次成功判断原因。
网络切换与恢复方法
Wi-Fi、移动热点和有线网络会带来不同地址、DNS 与认证环境。切换后先验证普通网络，再观察客户端是否重新建立连接。公共网络需要登录时，先完成认证，不要把登录页面无法打开误认为配置问题。
建立固定检查顺序：接入网络、核心运行、配置解析、入口状态、规则匹配、远端结果。每次只改变一项，并保存前后记录。若想逐条执行，可进入连接状态检查教程，将检查结果保存在本地使用记录中。