梯子怎么用，多数教程讲到「导入订阅、点连接、图标变绿」就结束了，而多数问题恰恰从这里开始。连上了，浏览器能开境外网站，于是以为一切正常，实际上 DNS 还在直连，运营商照样拿到你打开的每个域名；或者系统代理只管了浏览器，手机上的其他应用根本没走隧道；或者用的是群里领的免费节点，流量正经过一台谁也不知道是谁的服务器。这篇按新手最常踩的顺序列七个错误，每个都给出「怎么发现」和「怎么改」。
基础概念先补齐：节点、订阅、客户端各是什么，在机场是什么和科学上网教程里。
错误一：只开系统代理，以为全设备都走了隧道
系统代理模式只接管遵守系统代理设置的程序，主要是浏览器。很多应用、游戏、系统自身的请求会直连。怎么发现：在某个非浏览器应用里打开我的 IP 是什么的等价页面，或者看客户端的连接日志里有没有那个应用。怎么改：开 TUN 模式（虚拟网卡），让所有流量都经过客户端；手机客户端多数默认就是这种方式。
错误二：DNS 没进隧道
流量走了隧道，「这个域名对应哪个 IP」这一步却发给了本地运营商的 DNS。内容看不见，去了哪里一清二楚。怎么发现：客户端里 DNS 设置是「系统」或「本地」，或者在线检测站显示了本地运营商的 DNS 服务器。怎么改：开启远程 DNS、fake-ip 或等价选项，再测一次。详细方法在DNS 泄露是什么意思。
错误三：用来路不明的免费节点
几乎人人中招，因为它免费。可流量经过谁的服务器，谁就处在运营商的位置：看得到域名、时间、流量，某些配置下还能做更多。免费节点的运营方连一个名字都没有。怎么发现：不用发现，你知道它是免费的。怎么改：换成有明确运营方、有付费套餐、写明限制的服务，或者自建。免费节点的风险在免费节点和免费机场的风险。
错误四：从不测泄露
连上就用，从没看过 IP、WebRTC、IPv6 显示的是什么。怎么发现：现在就测。我的 IP 是什么应显示节点地址，WebRTC 泄露检测和IPv6 泄露检测不应出现真实地址。怎么改：换客户端、换协议或改系统设置后，重测一遍，养成习惯。
错误五：一个订阅链接到处发
订阅链接就是账号本身，拿到链接的人和你共用节点、共用流量，行为也算在你头上。怎么发现：流量莫名消耗快，机场后台显示的在线设备数超过你自己的设备数。怎么改：重置订阅链接，以后只在自己的设备之间传，用二维码而不是群聊。订阅失效的排查在订阅失败怎么办。
错误六：客户端半年不更新
协议在演进，Reality、Hysteria 2 这些都要求较新的内核，旧客户端会报「不支持」或者能连但不稳。怎么发现：客户端里查看内核版本，对照发布页。怎么改：更新，更新前导出订阅和配置。各协议的差别在Hysteria 2 是什么。
错误七：把梯子当隐身衣
梯子换的是你的 IP 和流量路径，不换你的身份。登录了实名账号，网站就知道你是谁；浏览器指纹在隧道里照样传给网站；你自己填进表单的信息隧道也不会拦。怎么发现：换了 IP 网站还能认出你，见浏览器指纹是什么意思。怎么改：分清「从哪来」和「是谁」两层，需要匿名的事用独立的浏览器身份去做，不要指望隧道包办。
正确的顺序
- 选有名有姓的服务或自建。
- 客户端开 TUN 或等价的全局接管，DNS 进隧道。
- 连上后测 IP、WebRTC、IPv6。
- 开 Kill Switch 或「阻止非隧道流量」。
- 订阅链接只留在自己设备里。
- 客户端定期更新，更新后重测。
- 记住它管路径，不管身份。
法律层面需要知道的事实
在中国大陆，国际联网须使用国家公用电信网提供的国际出入口信道，个人使用未经批准的渠道属于违反相关规定，实践中的处理以行政处罚为主，公开报道的案例多涉及经营和传播行为。在香港、台湾、新加坡、马来西亚以及海外，使用代理和 VPN 本身不受限制。使用与否由你自己判断并承担责任，本文是技术说明，不构成法律意见。
404 VPN 的客户端默认把 DNS 放在 VLESS 或 WireGuard 隧道内解析，带 Kill Switch，一个应用管全部流量，不需要自己配 TUN 和 DNS，隐私政策写明不保存访问记录。它是隐私工具，我们不承诺从中国大陆任何网络都能连上。开始使用请到首页。