Roxi先确认客户端与服务不是同一件事
本文以桌面 OpenVPN Connect 的文件导入与连接排查为主；不同版本和手机界面可能不同。OpenVPN Connect 是连接已有服务的客户端，不自带可用节点。OpenVPN for Android 是另一个客户端，不能把它的旧菜单名称直接套在 Connect 上，也不能由某台服务器连不上推断整个协议已经停运。
先向实际服务提供方或单位管理员确认服务器地址、配置获取入口和认证方式。已有可用配置时保留它，给这次导入的新配置起一个便于区分的名称。下载得到的文件不一定就是完整配置：登录页另存为 .ovpn、网页错误文本或缺少附件都可能造成导入失败。
用可信配置完成一次导入
- 从管理员指定入口取得 .ovpn 文件及必要的配套证书，保存在自己控制的位置。配置可能内嵌私钥，不能上传到公开网站检查。
- 在 OpenVPN Connect 的配置列表或 My Profiles 中进入添加配置，选择文件导入入口；Windows 和 macOS 也可按官方说明将文件拖入应用。
- 核对导入后的配置名称与目标服务。支持从 URL 导入时，只使用服务方明确给出的入口，不把任意订阅网址当作通用导入链接。
预期结果是新配置出现在列表中。到这一步只说明客户端接受了配置，尚未验证凭据、服务器证书或网络可达性。若导入成功就立刻删除旧配置，后续连接失败会失去方便的回退点。
导入失败：先检查格式与依赖文件
| 提示或现象 | 应核对的材料 | 合理下一步 |
|---|---|---|
| 无法解析或不是配置 | 文件内容是否为登录页或错误页 | 重新从已登录的官方入口获取 |
| 找不到 ca、crt、key 等文件 | 配置引用与配套文件是否完整 | 让管理员提供完整包或统一内嵌配置 |
| 证书块格式错误 | 文件是否被截断、编辑或转码 | 保留原件，重新导出配置 |
| 不支持某个选项 | 目标客户端版本与服务端导出方式 | 请求兼容配置，而不是随机删行 |
官方 FAQ 提到外部引用的证书和密钥需要与配置一并提供，也支持统一内嵌格式。手工拼接时容易漏掉块边界或 tls-auth 的方向参数，因此普通用户应优先索取服务端正确导出的文件。不要把丢失密钥理解成“把认证关掉就能用”，也不要用聊天软件反复转发私钥附件。
能导入但连不上：按错误决定交给谁处理
认证失败时，核对是不是这项 VPN 服务的账号、是否需要多因素认证以及账号是否仍被授权；不要把设备解锁密码填进去，也不要连续高频尝试。连接超时则先固定配置换网络做对照，再由管理员核对监听地址与传输协议。配置中的 UDP 或 TCP 必须与服务端一致，单独改客户端并不会开启服务器端口。
出现 certificate verification failed 或证书日期错误时，先核对本机时间和实际服务器身份，再将脱敏错误交给管理员检查证书链、有效期与签名。新的证书或配置应通过已确认的渠道取得。不要随意导入陌生根证书，更不要把跳过验证作为默认修复步骤。
升级后遇到算法不匹配，需要结合客户端和服务器版本看日志。Windows 设置文档明确区分 Preferred、Legacy 和 Insecure，Legacy 与 Insecure 不是同义词。不要因名称含“旧”就混为一谈，也不要照旧文章把等级直接降到 Insecure。让管理员优先更新服务端算法和证书；确需兼容设置时，记录理由、影响和恢复条件。
连接后做业务验收，再结束测试
- 分别验证实际需要的内网或互联网目标，并记录域名解析、页面和应用是否正常；公司 VPN 不一定提供全局互联网出口。
- 用正常入口断开，再确认原网络和日常应用恢复。切换网络或重启后仍需重新检查一次必要任务。
- 本轮改动无效时恢复记录过的设置与旧配置，将失败阶段、时间、版本及脱敏日志发给相应管理员。
如果只是已导入的新配置失败，可保留它供对照，不必清空所有配置、重装系统或关闭整机安全软件。导入成功、身份验证成功、业务成功分别留下结果，下一次排查才知道问题发生在哪一层。