加密隧道建立后，是不是所有流量都受保护？

取决于分流规则。分流决定哪些流量进入隧道，未命中的流量仍走本地网络。需要全部流量走隧道时，应检查分流设置而不是默认假设。

为什么有时连接失败提示与证书有关？

握手环节依赖证书校验，系统时间偏差过大会让证书被判定为无效，导致连接失败。校准系统时间后通常即可恢复。

在设置中确认 DNS 防泄漏处于开启状态，并将本机 DNS 改为自动获取；随后在连接状态下访问不同站点，确认解析没有被本地网络接管。

保护环节、作用、失效表现与对应设置
环节	保护什么	失效时的表现	对应设置
握手与证书校验	确认连接的是正确的节点	连接直接失败，提示与证书相关	系统时间准确
传输加密	设备与节点之间的传输内容	同网设备可能读到明文	隧道保持连接
域名解析保护	访问目标不被本地网络看到	连上却打不开，或解析被劫持	DNS 防泄漏开启

建立隧道前，客户端会与节点完成握手并校验证书，确认连的是正确的一端。这一步依赖准确的系统时间：时间偏差过大时，证书会被判定为无效，直接表现为连接失败。这也是五分钟自查中把校准时间放在前段的原因。

隧道建立后，设备与节点之间的流量全程加密。效果是同网设备与本地网络读不到传输内容，这也是公共 Wi-Fi 场景下最关键的一环。需要注意的是：加密覆盖的是进入隧道的流量，哪些流量进入隧道由分流规则决定。

域名解析发生在流量进入隧道之前。如果解析请求仍发给本地网络的解析服务器，即使后续流量已加密，访问目标依然暴露，还可能被劫持。DNS 防泄漏的作用就是让解析也走隧道，与加密隧道共同构成完整边界。