VPN 在 Wi-Fi 下能用、在移动数据下不能用：原因

先做对比，不要先下结论：同一部手机、同一个配置、两个网络。如果隧道在一个网络上失败、在另一个网络上正常，差异在网络路径的某处，而不在凭据里。记下你遇到的是哪种失败，因为登录前的拒绝和一条什么都不传输的连接是两个不同的问题。以下内容都以只更换网络的那次测试为前提。

VPN 需要底层连接；它不能替代底层连接，也无法让运营商承载运营商拒绝承载的东西。

手机保持不动，只更换网络

同时更换网络和服务器会留下两个可能的成因，也没有办法把它们分开。先在 Wi-Fi 下、再在移动数据下对比同一个端点，每次都记录确切的症状。认证之前的失败指向可达性，凭据被拒指向账号，而连上了却什么都不传输的隧道指向路由或 DNS。真正与网络有关的只有第一种。

登录时的明确拒绝也属于认证检查的范围，即使它只出现在一个网络上。有些运营商和访客网络拦截流量的方式会产生误导性的错误。

接入网络能看到什么、能计费什么

承载隧道的运营商观察到的是连接本身：时间、流量以及 VPN 端点的地址。加密负载并不会隐藏这些属性，家庭 Wi-Fi 链路和移动数据同样如此。VPN 改变的是谁能看到什么，而每一跳的答案都不同。不要笼统地把连接说成私密，而要逐跳写下来。

计费是另一个实际差异。封装、保活信号和重试都会消耗字节，应用也可能在切换之后继续传输。家庭 Wi-Fi 也有计量的，所以去看设备的计数和套餐，而不要假定哪个网络是不限量的。

门户登录与运营商限制

必须先满足强制门户，隧道才能到达任何地方。重连 VPN 不会让网络未授权的设备获准通过，而“始终开启”策略可能让门户无法访问。先走正常的浏览器流程完成登录，再拉起隧道。如果受管理的策略阻止了这个顺序，就按运营商或管理员记录的流程处理。

运营商限制是另一个变量：有些路径只承载特定协议，有些会激进地转换地址，有些对某一地址族的处理方式与另一族不同。对比能把失败缩小到路径上，却无法指出是哪种机制造成的。

切换不等于重连

当每个网络各自正常之后，观察一次真正的切换。客户端可能察觉到变化并重连，也可能保留一个已经死掉的会话。已经在用的应用与切换后才打开的应用，恢复方式并不一样，所以 隧道图标一直亮着并不能说明什么。在切换过程中测试你真正关心的应用，并记录它是否能在没有手动干预的情况下恢复。

如果隧道只在闲置之后才失败，保活信号可以应对某一种 NAT 状态的情形。它不能修复弱信号，也不能解决每一次切换。改设置之前，先把闲置和移动区分开。

把网络、失败阶段和切换过程中的行为记录下来。这三样能把路径问题和客户端问题分开。