本页目录（9）
一句话结论：代理已连接但打不开网页，客户端的「已连接」只代表软件在运行，不代表流量真的走了代理；按节点可用性、系统代理、模式与规则、DNS、软件冲突的顺序排查，绝大多数问题十分钟内能定位。
先分清是哪一种「代理已连接但打不开网页」
同样是打不开，不同表现指向的原因完全不同。先花一分钟观察，后面能少走很多弯路：
| 表现 | 优先怀疑 |
|---|---|
| 境外网站全打不开，国内正常 | 节点不可用、系统代理没生效、处于直连模式 |
| 国内外都打不开 | 系统代理指向了错误端口、软件冲突、DNS 异常 |
| 大部分境外网站正常，个别打不开 | 规则分流、该网站拒绝节点 IP |
| 浏览器打不开，其他软件正常 | 浏览器插件或浏览器自己的代理设置 |
| 开代理后速度极慢、频繁转圈 | 节点拥堵或协议被干扰，见晚高峰与敏感时期的排查 |
下面的步骤基本按「最常见、最容易检查」的顺序排列，建议从第一步开始逐个排除。
第一步：确认节点真的能用
客户端界面上的「已连接」「运行中」，只说明代理内核启动了，并不保证你选中的节点可以连通。
- 做一次延迟测试：在节点列表里点测速，显示超时（timeout）或红色的节点就是不通的。全部超时，说明问题不在单个节点。
- 手动换几个不同地区的节点：如果只是部分节点不通，换一个能测出延迟的节点即可。
- 全部超时时：先确认账号没到期、流量没用完；再尝试更新订阅，节点地址可能已经调整过，参见 订阅更新失败怎么办。如果正值敏感时期、大量用户同时失联，参考 敏感时期机场连不上怎么办。
第二步：检查系统代理是否生效
这是电脑上最常见的问题来源。代理内核在本地开一个端口，浏览器要通过「系统代理」把流量送到这个端口，任何一环断了都会打不开。
确认系统代理开关已打开
Clash Verge Rev 等客户端里有一个「系统代理」开关，必须打开。打开后，可以到系统设置里核对：Windows 在「设置 → 网络和 Internet → 代理」，macOS 在「系统设置 → 网络 → 当前网络 → 详细信息 → 代理」。这里显示的地址应是 127.0.0.1，端口要和客户端设置里的端口一致。
端口不一致或残留的代理设置
如果你换过客户端、改过端口，或客户端曾经崩溃退出，系统代理可能还指向一个已经没有程序监听的端口，结果就是连国内网站也打不开。解决办法：在客户端里关掉再重新打开系统代理开关，让它重新写入正确设置；或者手动在系统设置里关闭代理，再由客户端重新开启。
浏览器插件覆盖了系统代理
SwitchyOmega 等代理插件、Firefox 自带的网络设置，都可以不跟随系统代理。如果只有浏览器打不开，先停用代理插件，或者把 Firefox 的连接设置改为「使用系统代理设置」。
程序不遵守系统代理
命令行工具、游戏客户端和一些桌面软件不会读取系统代理。这类程序要么在软件里手动填代理地址，要么开启 TUN 模式，让客户端用虚拟网卡接管全部流量。手机上的 Shadowrocket 等客户端本身就以 VPN 方式运行，一般不存在这个问题，但要留意它的全局路由模式，见 Shadowrocket 使用教程。
第三步：检查模式与分流规则
Clash 系客户端一般有三种模式：规则、全局、直连。
- 直连模式下所有流量都不走代理，境外网站自然打不开。不小心切到直连是很常见的情况。
- 规则模式下按规则分流。如果规则把某个网站分到了 DIRECT，或者规则集太旧没有收录新域名，这个网站就会走直连而打不开。
- 全局模式下所有流量都走代理，适合用来做对照测试。
判断方法：切到全局模式，选一个确认可用的节点再打开网站。全局能打开、规则打不开，就是规则问题。可以在客户端的「连接」页面查看这个网站命中了哪条规则、走了哪个策略组；必要时更新订阅以获取机场最新的规则，或者手动添加一条规则让它走代理。测试完记得切回规则模式，否则国内网站也会绕道境外。
第四步：排查 DNS 问题
DNS 负责把域名解析成 IP。境外网站的 DNS 查询在国内经常被污染，返回错误地址，导致连接失败。正常情况下代理客户端会接管 DNS 或把域名交给远端解析，但以下几种情况会出问题：
- 浏览器开启了安全 DNS（DoH）：Chrome、Edge、Firefox 都有「安全 DNS」选项，开启后浏览器会自己去解析域名，可能和客户端的 DNS 处理冲突，尤其在 TUN 模式下。打不开时可以先关掉这个选项测试。
- 系统 DNS 缓存了错误结果：在开代理之前访问过某个网站，错误的解析结果可能还缓存着。清除缓存后重试：
# Windows（管理员命令提示符）
ipconfig /flushdns
# macOS
sudo dscacheutil -flushcache
sudo killall -HUP mDNSResponder浏览器自身也有 DNS 缓存，最简单的做法是完全退出浏览器再重新打开。路由器上的 OpenClash 用户，还要检查 DNS 劫持是否开启、设备是否绕过了路由器的 DNS，相关设置见 OpenClash 教程。
第五步：排查软件冲突
同一台设备上运行多个「接管网络」的软件，很容易互相打架：
- 多个代理客户端同时运行：比如旧版 Clash 没退出又开了 Clash Verge Rev，或者同时开着 v2rayN。它们会争夺系统代理设置和端口，只保留一个。
- 游戏加速器、公司 VPN：这些软件也会改路由表或安装虚拟网卡，与 TUN 模式冲突。用代理时先关掉它们。
- 安全软件拦截：部分杀毒软件或防火墙会拦截代理内核联网，表现为所有节点都超时。把客户端和内核程序加入信任或放行列表。
- 残留的虚拟网卡：卸载过的代理或 VPN 软件可能留下虚拟网卡，必要时在网络设置里禁用多余的网卡后重启。
其他容易忽略的原因
- 系统时间不准：TLS 证书校验和 VMess 等协议都依赖正确的系统时间，时间偏差较大时会出现连接失败。把系统时间设为自动同步。
- 客户端版本太旧：旧内核不支持订阅里的新协议，这些节点可能看起来存在却始终连不通，换用仍在维护的客户端，见 代理软件推荐。
- 网站本身拒绝了节点 IP：如果只有 ChatGPT、Netflix 之类的特定网站提示无法访问或要求验证，那不是连接问题，而是 IP 被风控或地区不支持。
按以上顺序都检查过仍然不行，就把客户端日志里的报错信息截图发给机场客服，并说明你用的客户端、系统和网络环境，这样定位会快很多。更多基础问题可以先翻一下 机场常见问题汇总。