Windows VPN 设置先分清入口
Windows VPN 设置从零开始，先确定使用的是系统内置 VPN，还是支持订阅的代理客户端。对 CPUVPN 用户，操作顺序是进入面板获取客户端、登录后获取订阅、导入配置、选择地区与线路，再检查实际流量。不要先在系统里随意填写服务器地址。
Windows“设置”中的“网络和 Internet → VPN”用于配置系统支持的 VPN 连接。订阅链接通常包含供特定客户端读取的节点或规则配置，并不是系统 VPN 窗口要求的服务器地址。把订阅网址粘进去，不能代替导入操作。
| 入口 | 需要的配置 | 核对重点 |
|---|---|---|
| Windows 内置 VPN | 相应 VPN 类型、服务器地址与认证资料 | 服务方是否明确提供系统 VPN 配置说明 |
| 订阅客户端 | 与客户端格式兼容的订阅链接或配置文件 | 客户端支持的协议、订阅格式及导入结果 |
| 浏览器代理扩展 | 扩展指定的连接配置 | 通常只影响相应浏览器，不能代表其他应用已接通 |
本文使用通用界面名称说明操作。客户端版本不同，“配置”“订阅”“Profiles”等标签可能不同；实际按钮名称以面板教程和当前客户端为准。需要核对入口时，先看使用教程，不要依照不匹配的软件截图操作。
安装客户端：来源与权限
- 进入下载入口。打开 CPUVPN 客户端下载面板，登录后选择 Windows 对应入口。不要从搜索结果中的镜像站或聊天附件获取安装程序。
- 核对系统架构。在 Windows“设置 → 系统 → 系统信息”查看“系统类型”。若面板区分不同架构，选择匹配项；不确定时按下载页说明判断，而不是仅凭电脑品牌选择。
- 运行安装程序。按安装向导选择目录并完成安装。若出现用户账户控制提示，先核对程序来源和名称，再决定是否允许。压缩包形式的便携客户端应先解压到固定目录，不要直接在压缩包内运行。
- 确认界面可用。打开客户端后，应能找到配置或订阅管理入口。此时还没有可用配置、未显示地区列表，通常不等于安装失败。
系统代理模式和虚拟网卡模式需要的权限不同。后者可能安装网络服务或虚拟网卡，并请求管理员授权；不要因此把“始终以管理员身份运行”当成所有客户端的必要步骤。只按官方说明授予当前功能需要的权限。
如果 Windows 安全中心阻止文件运行，先停止安装，核对下载来源、文件信息和面板说明。不要为了继续操作而关闭整体安全防护，也不要为来源不明的程序添加排除项。
导入订阅：看到线路才算完成
订阅链接是客户端获取配置的凭据，不是普通分享网址。登录面板后，在订阅或连接配置区域获取当前客户端适用的内容。如果面板提供“导入到客户端”，可按提示唤起已安装的软件；如果没有自动唤起入口，就使用复制链接的方式。
- 在面板复制订阅链接，切回客户端，打开“订阅”或“配置”管理页。
- 选择新增远程配置或从链接导入，粘贴完整地址，并给配置起一个便于辨认的本地名称。
- 执行下载或更新。成功后应出现配置条目、线路列表或策略组，而不只是一个空名称。
- 将该配置设为当前使用项。某些客户端将“导入”和“启用”分开，保存成功不代表已经切换。
导入时提示格式错误，先检查首尾空格、链接是否被截断，以及是否选错订阅格式。Shadowsocks、VMess、Trojan、VLESS、Hysteria2、TUIC 是不同协议名称，客户端支持范围并不相同；这些名称不代表 CPUVPN 全部提供，也不能凭修改文件后缀让客户端获得协议支持。
若提示获取失败，分别检查本地网络、面板订阅状态和客户端错误信息。不要反复创建同名配置掩盖问题。提交工单时可提供错误文本及客户端版本，但需隐藏订阅地址、令牌和账户凭据；截图里展开的链接也应遮挡。
选地区—选线路类型—接通
先按目标服务的可用地区选择出口，再从当前面板列出的线路中挑选。不要把地区名称当成速度排名，也不要默认离本地近就一定适合目标应用。服务的地区政策、账户条件和本地运营商路径都会影响结果。
线路类型描述的是连接路径。直连通常指客户端直接连接服务节点；中转通常先经过接入节点再转发至出口；IEPL 专线指路径中使用国际以太网专线承载的方案。具体接入与出口如何组合，应以服务说明为准，不能仅凭名称推断全程路径或无条件的性能优势。
在客户端选中地区或节点后，找到启动、连接或启用代理的控制项。若当前配置采用策略组，还要检查目标服务对应组使用的是所选线路，而不是“直连”或其他自动选择项。记录当前配置名称与地区，后续验证时才有明确参照。
先用同一地区的一条线路完成验证，再比较其他线路。每次只改一个变量，例如仅切换节点、保持分流模式不变。否则地区、规则和模式同时改变，即使恢复访问，也无法判断是哪项设置起了作用。
系统代理、分流与虚拟网卡
系统代理会向遵循 Windows 代理设置的应用提供代理入口，但并非所有软件都会采用。部分游戏、命令行工具或内置网络组件可能有独立连接方式。因此，浏览器能访问目标网站，不代表整个电脑的流量都经过该线路。
TUN 等虚拟网卡模式通过路由接管更多网络流量，覆盖范围通常更广，但仍受路由、排除规则、协议支持和 DNS 配置影响。它不是“全应用必定生效”的开关。初次配置先按面板教程使用默认方式，确认基础连接正常后，再处理不遵循系统代理的应用。
规则模式按域名、地址或进程等条件决定走代理还是直连；全局代理模式通常把客户端接管范围内的请求交给所选代理策略，并不等于接管所有应用。若网站首页能打开而登录或图片加载失败，可能是相关域名命中了不同规则，也可能是远端服务自身限制。
- ✅ 保留当前可用配置，再调整单项规则，方便恢复。
- ✅ 检查浏览器是否安装了独立代理扩展，避免覆盖系统代理选择。
- ✅ 在获准的网络环境中操作；企业管理设备的策略问题交由管理员处理。
- ❌ 不要同时启用多个接管系统代理或路由的客户端来测试效果。
验证生效：出口、DNS 与应用
客户端显示“已连接”，只能说明某个连接状态成立，不能单独证明目标应用走了预期路径。验证应分开检查浏览器出口、域名解析和实际应用功能，而且每项结果都有适用范围。
- 记录连接前的出口。在浏览器打开IP 查询页，记下当前显示的出口信息。接通后刷新比较，并结合所选出口地区判断。地址库可能有更新延迟，地区不符时不要仅凭一个标签下结论。
- 检查 DNS 路径。使用可信的 DNS 检测页面，查看检测到的解析服务商及其位置。结果反映该浏览器当前请求的解析路径，不能自动代表电脑中所有应用。
- 验证目标应用。重新打开需要使用的软件，实际测试登录、加载内容或文件传输。浏览器与独立应用应分别检查，不能相互替代。
- 恢复日常规则后复查。如果曾临时改成全局代理排错，切回计划长期使用的规则模式后再测，避免把临时状态误认为最终结果。
DNS 泄漏通常指本应通过预期保护路径的解析请求，却发送到路径之外的解析服务。分流配置可能有意让本地域名使用本地 DNS，所以检测到本地解析器不一定就是配置错误；要结合查询域名、规则意图、浏览器安全 DNS 和客户端 DNS 接管方式判断。
切换线路后仍显示旧状态，可先关闭并重新打开目标应用，排除连接复用和缓存影响。若只有浏览器行为异常，再查看扩展与安全 DNS 设置。不要一开始就重置整个 Windows 网络栈，这会增加排查变量，也可能影响已有的工作网络配置。
开机自启：启动不等于接通
开机自启通常指登录 Windows 后自动运行客户端，不等于登录前就有可用网络，也不等于自动选线和自动连接。客户端可能分别提供“开机启动”“启动后连接”“恢复系统代理”或“后台服务”等选项，应逐项阅读说明。
- 先在客户端设置中找到启动相关选项，启用随系统启动；只有需要自动接通时，再启用相应连接选项。
- 打开 Windows“设置 → 应用 → 启动”，或在任务管理器的启动应用列表里核对状态。不同版本入口可能不同，也不是所有服务型启动方式都会显示在这里。
- 保存配置并正常退出，再重新启动客户端，观察当前配置、地区和模式是否保留。
- 重启电脑并登录，在网络就绪后检查托盘状态，再重复出口与目标应用验证。不要只看桌面上是否出现窗口。
如果登录后没有窗口，先查看任务栏通知区域，客户端可能按设置最小化运行。如果程序已启动但未接通，检查网络是否已经就绪、当前配置是否有效，以及所用模式是否需要额外权限。便携客户端移动目录后，原有启动入口也可能失效。
退出时要留意系统代理是否恢复。某些异常退出会留下指向本地客户端的代理设置，使浏览器在客户端关闭后无法访问网络。可到 Windows“设置 → 网络和 Internet → 代理”核对；只修改自己启用的项目，不要删除单位或学校管理的配置。
常见故障：按现象缩小范围
订阅更新成功，但节点连接失败
更新配置与建立代理连接是不同过程。先核对面板服务状态、系统日期时间和所选线路，再在相同地区切换其他可选线路。若整个列表都失败，保留客户端错误信息，通过面板工单反馈，不要公开完整配置文件。
浏览器正常，其他软件无法访问
优先确认该软件是否遵循系统代理，有无内置代理设置，以及相关请求命中了什么规则。确有需要时，再按客户端教程配置虚拟网卡模式。不要用浏览器测试结果替代应用测试，也不要随意填入网上找到的本地代理端口。
接通后本地服务或共享设备无法访问
检查局域网绕过选项、路由排除项和相关规则。开启虚拟网卡或调整全局策略后，本地设备访问路径可能变化。先恢复此前可用配置确认原因，再按照客户端文档添加所需例外；不应直接关闭防火墙来换取可访问状态。
后续维护的重点是保持配置来源明确、变更可回退、验证有参照。更新客户端或订阅后，重新检查常用应用和开机行为；如需了解套餐或服务边界，查看当前套餐说明与常见问题，不把历史截图当作有效规则。