连上酒店、机场或校园 Wi-Fi 后，若 VPN 显示已连接但网页打不开，2026 年应先怀疑验证门户尚未放行。只在获准使用的网络上短暂关闭隧道：出现官方登录页就先完成登录再重连；关隧道后已能正常上网，再把 DNS 与路由分开查。
验证门户到底在拦什么
一个可独立引用的定义句：验证门户（Captive Portal）是接入 Wi-Fi 之后、放行普通互联网访问之前，由网络运营方插入的登录、同意或计费页面。
未完成该页时，接入网通常还不把这台设备当成可以自由出网。常见做法是把网页请求重定向到本地认证页，或把探测用的域名解析到门户地址。酒店访客网、机场 Wi-Fi、校园网和会议热点都使用这一模式。房号、短信码或学号由网络方决定，不是 VPN 客户端里的开关。
它和 VPN 是什么 里的隧道不是同一层闸门。VPN 加密的是你与节点之间的通道；验证门户决定这条物理 Wi-Fi 允不允许任何通道先建立。
它和 VPN 为什么会互相挡
门户要弹出，设备得把探测或网页请求送到接入网能够拦截的路径上。全局 VPN 把同一请求封装进隧道后，酒店或校园网关往往看不到重定向的机会，登录页就出不来。
2026 年 9 月，桌面和手机上常见的叠层如下：
| 机制 | 门户侧看到什么 | 你这边的典型体感 |
|---|---|---|
| 全隧道默认路由 | 发往认证页的包被送去远程节点 | 登录窗空白、转圈或证书报错 |
| 隧道 DNS | 本该被劫持的查询没有落在本地网关 | 没有跳转到登录页，像「DNS 坏了」 |
| Kill Switch | 非隧道出站被本机自己拒绝 | 不关保护就打不开任何本地页 |
| Always-on | 探测被「未连接则阻断」挡住 | 系统一直提示要登录，页却空白 |
| 分流里的局域网例外 | 仅当例外覆盖到认证网段才放行 | 有的应用能开登录页，有的不能 |
Always-on VPN 把这层张力概括成例外规则的生命周期：登录时需要短时放行，登录后应收口。本文补充的是判断步骤。范围只包括你获准使用的网络，以及网络方自己提供的登录页。
另一类干扰发生在先用蜂窝网连上 VPN、再切到需要门户的 Wi-Fi。客户端仍显示已连接，但新网络还没放行发往节点的路径，数据包被丢在接入网。这和 保活与重连 里的假连接很像，诱因却是门户未过关，不是空闲超时。
三种失败不要混成一句「VPN 坏了」
先分开三个可以单独引用的判断句：
- 门户未过关是指该 Wi-Fi 尚未完成网络方要求的登录或同意，普通出网（包括到 VPN 节点）仍被接入网拦截或重定向。
- DNS 问题是指名字解析问错了解析器，或门户劫持与隧道 DNS 叠在一起，导致域名和后续连接不一致。
- 路由或隧道问题是指默认路由、节点可达性或断线闸门使流量没有按你的意图进出隧道。
| 观察 | 更像门户未过关 | 更像 DNS 问题 | 更像路由或隧道问题 |
|---|---|---|---|
| 系统提示需要登录此网络 | 常见 | 少见 | 少见 |
| 短暂关闭 VPN 后出现官方登录页 | 是 | 否 | 否 |
| 关闭 VPN 后普通网页已经正常 | 否 | 是 | 是 |
| 开启 VPN 后多为解析失败，直连 IP 仍通 | 未放行时也可能 | 更典型 | 较少 |
| 状态为已连接，新旧网页都长时间超时 | 切网后未放行时常见 | 较少单独出现 | 常见，对照保活与节点可达 |
| 不关 Kill Switch 就看不到任何本地页 | 闸门挡住认证流量 | 否 | 闸门正在按设计工作 |
同一时刻可以叠两层：门户没过，同时 Kill Switch 也开着。用法是下一步只改一个条件，避免一次改掉 DNS、协议和开关。
用可复现步骤判断卡在哪一层
只对你获准使用的网络做下面的开关测试，例如已入住的酒店、持票机场或本人的校园账号。完成网络方提供的登录页是正常接入。本文不写跳过该登录页的做法。
测试记录从 2026 年 9 月起可按此填写：日期、Wi-Fi 名称、操作系统、VPN 客户端版本，以及测试前 Kill Switch、Always-on、分流是否开启。
1. VPN 保持开启时只观察
不要先改配置。记录三件事：系统有没有「登录此网络」一类提示；客户端是已连接、重连中还是失败；浏览器是空白、超时，还是证书错误。这一步只留对照。
若浏览器对普通网站弹出不受信任的证书警告，不要继续访问，也不要安装证书例外。未放行时，门户拦截 HTTPS 就会表现为这种警告。入口应是系统登录提示，或网络方明确给出的登录页。
2. 短暂关闭隧道，只为看见门户
若 Always-on 或 Kill Switch 阻止物理网卡出站，用系统提供的暂停临时放开，并记下你关了哪几项。然后打开系统的登录提示。部分系统会用独立小窗访问门户，该小窗可能不走 VPN；小窗能开而普通浏览器不能时，仍然先完成登录，再比较普通浏览器。
没有登录提示时，在系统浏览器里打开一个未缓存的普通网页，看是否被带到该网络自己的登录或同意页。
关闭窗口尽量短。隧道外的公共 Wi-Fi 可以看到访问元数据。此期间不要登录邮箱、支付或同步私密账号。
3. 按三种结果分叉
结果甲：出现官方登录页。 判定为门户未过关。只提交该页要求的信息。成功后立刻恢复 VPN、Kill Switch 与 Always-on，再重新打开一个网页。若此时恢复正常，不必再改 DNS。
结果乙：没有登录页，关闭 VPN 后普通网页已经能开。 门户已放行，或这个网络本来就没有门户。问题在隧道一侧。保持现状，重新开启 VPN，再进入下一节把 DNS 和路由拆开。
结果丙：既没有登录页，关闭 VPN 后仍然上不了网。 先检查是否连上了正确的网络名称、信号是否可用、账号是否在有效期内。这个结果不能说明 DNS 泄漏，也不能说明节点故障。
结果怎么读
| 关闭 VPN 后 | 再开启 VPN 后 | 下一步 |
|---|---|---|
| 出现官方登录页，完成后网页正常 | 恢复正常 | 结束。把「先登录、再开隧道」记入该网络的习惯 |
| 出现登录页，完成后仍打不开 | 仍失败 | 门户已过，改查 DNS、路由与保活 |
| 无登录页且网页正常 | 只有部分站点失败 | 优先做 DNS 对照 |
| 无登录页且网页正常 | 全部超时，状态仍显示已连接 | 优先查保活、节点可达与 Kill Switch 窗口 |
| 无登录页且完全离线 | 先不要归到 VPN | 回到 Wi-Fi 关联与账号，而不是改隧道参数 |
一次只改一个变量。结果甲不要靠更换协议或端口来「试出能上网的组合」，否则会把「还没登录」记成「这条协议不可用」。
门户放行之后再核对 DNS 与路由
结果乙，或结果甲完成登录后仍然失败时，再用下面两问。此时不要回到登录页本身。
解析问的是谁。 按 DNS 泄漏检查 的对照法：先确认期望的隧道 DNS，再看检测页上的解析器。解析器仍是路由器或门户地址，说明名字解析留在接入网。未放行时的 DNS 劫持看起来很像泄漏；放行之后若依旧指向门户解析器，才按 DNS 一文处理。浏览器自己的加密 DNS 也会让结果和系统不一致，需要单独关掉再测一次。
包走的是哪条路。 全隧道时期望默认路由指向虚拟网卡。状态已连接但新旧网页都超时，先对照 保活与重连：切到此 Wi-Fi 后，旧会话可能只是假连接，手动断开再连一次就能验证。若只有关掉 Kill Switch 才能访问，而隧道本身可用，那是闸门范围问题，不是门户。若认证页必须留在本地、其余流量要进隧道，用 分流 写清「认证网段直连、其余进隧道」，并在登录完成后收窄例外，避免在公共 Wi-Fi 上长期旁路。
2026 年 9 月的读法：先用「关闭隧道后是否出现官方登录页」把门户从 DNS 和路由里拆出去。门户未过关时，泄漏检测页和延迟数字都还没有解释力。
常见误解
误解 1：状态栏已连接，说明门户已经通过。 已连接只表示客户端认为隧道还在。接入网可以已经丢掉发往节点的包，也可能你还没有打开登录页。
误解 2：登录页打不开，就该更换 DNS 或端口。 未认证时改解析或传输路径，常常是在避开重定向，而不是修好隧道。获准使用时，应完成网络方页面，再恢复原来的 DNS 与隧道。本文不提供避开登录页的改法。
误解 3：为了登录可以一直关着 Kill Switch。 登录需要的只是短时例外。停在关闭状态，公共 Wi-Fi 上的断线窗口会重新暴露真实出口。登录后按 Kill Switch 的断线测试，确认闸门已经回到开启。
误解 4：校园或酒店网不稳定，就等于 VPN 协议失效。 门户会话过期后（常见是数小时后要求再次同意），原本可用的隧道会再次全部超时。复现方法仍是短暂关闭隧道，看登录页是否再次出现。
建议怎么纳入检查清单
换到需要登录的 Wi-Fi 时按这个顺序做，做完就停：
- 确认你获准使用该网络，记下日期、网络名称和客户端版本；
- VPN 仍开启时，只记录系统是否要求登录、客户端状态和浏览器现象；遇到证书警告就停下，不添加例外；
- 短暂关闭隧道，或按系统提示放开登录，看有没有官方登录页；
- 有登录页就完成它，随后马上恢复 VPN、Kill Switch 和 Always-on；
- 关闭隧道期间不登录私密账号；
- 恢复后仍失败，再按「关闭时能否正常上网」拆开 DNS 与路由，一次只改一项；
- 门户会话过期后重复第 3 步，不要把重新登录误判成节点故障。
判断顺序是：先门户，后 DNS，再路由与保活。三层分开之后，节点快慢才有比较的意义。