梯子怎麼用，多數教程講到「匯入訂閱、點連線、圖示變綠」就結束了，而多數問題恰恰從這裡開始。連上了，瀏覽器能開境外網站，於是以為一切正常，實際上 DNS 還在直連，電信業者照樣拿到你開啟的每個域名；或者系統代理只管了瀏覽器，手機上的其他應用根本沒走隧道；或者用的是群裡領的免費節點，流量正經過一臺誰也不知道是誰的伺服器。這篇按新手最常踩的順序列七個錯誤，每個都給出「怎麼發現」和「怎麼改」。
基礎概念先補齊：節點、訂閱、客戶端各是什麼，在機場是什麼和科學上網教程裡。
| 常見錯誤 | 後果 |
|---|---|
| 只開系統代理 | 別的軟體仍直連 |
| DNS 沒進隧道 | 域名照樣暴露 |
| 用來路不明的免費節點 | 流量給了陌生人 |
| 從不測洩露 | 以為安全其實不 |
| 客戶端半年不更新 | 協議被識別 |
錯誤一：只開系統代理，以為全裝置都走了隧道
系統代理模式只接管遵守系統代理設定的程式，主要是瀏覽器。很多應用、遊戲、系統自身的請求會直連。怎麼發現：在某個非瀏覽器應用裡開啟我的 IP 是什麼的等價頁面，或者看客戶端的連線日誌裡有沒有那個應用。怎麼改：開 TUN 模式（虛擬網路卡），讓所有流量都經過客戶端；手機客戶端多數預設就是這種方式。
| 系統代理和 TUN | 覆蓋範圍 |
|---|---|
| 系統代理 | 只有遵守設定的程式 |
| TUN 模式 | 整臺裝置 |
| 不遵守設定的程式 | 系統代理下直接裸奔 |
錯誤二：DNS 沒進隧道
流量走了隧道，「這個域名對應哪個 IP」這一步卻發給了本地電信業者的 DNS。內容看不見，去了哪裡一清二楚。怎麼發現：客戶端裡 DNS 設定是「系統」或「本地」，或者線上檢測站顯示了本地電信業者的 DNS 伺服器。怎麼改：開啟遠端 DNS、fake-ip 或等價選項，再測一次。詳細方法在DNS 洩露是什麼意思。
錯誤三：用來路不明的免費節點
幾乎人人中招，因為它免費。可流量經過誰的伺服器，誰就處在電信業者的位置：看得到域名、時間、流量，某些配置下還能做更多。免費節點的運營方連一個名字都沒有。怎麼發現：不用發現，你知道它是免費的。怎麼改：換成有明確運營方、有付費套餐、寫明限制的服務，或者自建。免費節點的風險在免費節點和免費機場的風險。
| 七個錯誤 | 後果 |
|---|---|
| 只開系統代理 | 部分程式直連 |
| DNS 沒進隧道 | 域名清單外洩 |
| 用來路不明的免費節點 | 全部流量交給陌生人 |
| 從不測洩露 | 以為安全其實沒有 |
| 訂閱連結到處發 | 額度被別人用掉 |
| 半年不更新 | 新節點連不上 |
| 當成隱身衣 | 期待落空 |
錯誤四：從不測洩露
連上就用，從沒看過 IP、WebRTC、IPv6 顯示的是什麼。怎麼發現：現在就測。我的 IP 是什麼應顯示節點地址，WebRTC 洩露檢測和IPv6 洩露檢測不應出現真實地址。怎麼改：換客戶端、換協議或改系統設定後，重測一遍，養成習慣。
錯誤五：一個訂閱連結到處發
訂閱連結就是帳號本身，拿到連結的人和你共用節點、共用流量，行為也算在你頭上。怎麼發現：流量莫名消耗快，機場後臺顯示的線上裝置數超過你自己的裝置數。怎麼改：重置訂閱連結，以後只在自己的裝置之間傳，用QR Code而不是群聊。訂閱失效的排查在訂閱失敗怎麼辦。
錯誤六：客戶端半年不更新
協議在演進，Reality、Hysteria 2 這些都要求較新的核心，舊客戶端會報「不支援」或者能連但不穩。怎麼發現：客戶端裡檢視核心版本，對照發布頁。怎麼改：更新，更新前匯出訂閱和配置。各協議的差別在Hysteria 2 是什麼。
錯誤七：把梯子當隱身衣
梯子換的是你的 IP 和流量路徑，不換你的身份。登入了實名帳號，網站就知道你是誰；瀏覽器指紋在隧道里照樣傳給網站；你自己填進表單的資訊隧道也不會攔。怎麼發現：換了 IP 網站還能認出你，見瀏覽器指紋是什麼意思。怎麼改：分清「從哪來」和「是誰」兩層，需要匿名的事用獨立的瀏覽器身份去做，不要指望隧道包辦。
| 三項檢查 | 期望結果 |
|---|---|
| 出口地址 | 變成節點所在地 |
| DNS | 查詢走隧道 |
| WebRTC | 不暴露真實地址 |
正確的順序
- 選有名有姓的服務或自建。
- 客戶端開 TUN 或等價的全域性接管，DNS 進隧道。
- 連上後測 IP、WebRTC、IPv6。
- 開 Kill Switch 或「阻止非隧道流量」。
- 訂閱連結只留在自己裝置裡。
- 客戶端定期更新，更新後重測。
- 記住它管路徑，不管身份。
| 這篇是什麼、不是什麼 | 判斷 |
|---|---|
| 使用方法的技術說明 | 是 |
| 法律意見 | 不是 |
| 規定會變 | 是 |
涉及後果的事情，請以當前官方文字為準。
法律層面需要知道的事實
在中國大陸，國際聯網須使用國家公用電信網提供的國際出入口通道，個人使用未經批准的渠道屬於違反相關規定，實踐中的處理以行政處罰為主，公開報道的案例多涉及經營和傳播行為。在香港、臺灣、新加坡、馬來西亞以及海外，使用代理和 VPN 本身不受限制。使用與否由你自己判斷並承擔責任，本文是技術說明，不構成法律意見。
404 VPN 的客戶端預設把 DNS 放在 VLESS 或 WireGuard 隧道內解析，帶 Kill Switch，一個應用管全部流量，不需要自己配 TUN 和 DNS，隱私政策寫明不儲存訪問記錄。它是隱私工具，我們不承諾從中國大陸任何網路都能連上。開始使用請到首頁。
自查結果對不上，就把看到的東西連同你的環境一起交給 AI。
幫我判斷我的配置有沒有漏洞。
出口地址檢測顯示：（節點所在地 / 我自己所在地）。
DNS 洩露檢測：（隧道的解析器 / 電信業者的 / 兩者都有）。
WebRTC 檢測：（什麼都沒有 / 顯示了真實地址）。
IPv6：（有 / 沒有 / 不清楚）。
斷開隧道時流量是否停止：（是 / 否 / 沒測過）。
告訴我哪些是真漏洞、哪些是正常表現，先修哪個。
不要讓我貼出任何金鑰或訂閱連結。