一、第一层排查：节点全绿还是全红？区分局域端与远端问题
当您在 Clash Verge、sing-box 或 Shadowrocket 中打开代理列表并触发测速时，观察结果的第一眼至关重要：
- 情况 A：个别节点显示毫秒数（正常），个别节点显示 Timeout（超时）
这属于典型的部分节点临时维护或特定线路波动。您只需手动将选中节点切换为当前显示正常延迟的节点即可立即恢复，通常无需对本地系统做任何改动。 - 情况 B：所有节点无一例外全部显示 Timeout / -1 / 无法连接
这种情况 95% 以上是本地环境配置阻塞（如系统时间偏差、安全软件拦截、旧版残余代理设置）或账户处于过期断开状态，节点本身发生全部物理宕机的概率极低。
二、系统时间偏差：90%用户极易忽视的“致命盲点”
几乎所有现代加密网络传输协议（包括 Shadowsocks 2022、VMess、VLESS、Trojan 以及各类基于 TLS 1.3 的伪装技术）都在握手数据包中深度嵌入了时间戳校验机制，其目的在于防范黑客的“重放攻击”（Replay Attack）。
严苛的时间窗口规则：如果您的本地设备系统时间（Windows/macOS/手机）与国际标准授时（NTP）的时间偏差超过了 90 秒（1.5分钟），远端节点服务器为了安全会无条件直接拒绝解密并丢弃握手包。从客户端的表象看，就是所有节点测速瞬间全部超时。
在 Windows 系统下：打开“设置” -> “时间和语言” -> “日期和时间” -> 点击“立即同步”按钮，并确认“自动设置时间”保持开启；
在 macOS 系统下：打开“系统设置” -> “通用” -> “日期与时间”，关闭后重新勾选“自动设置时间与日期”。
三、系统代理开关与浏览器接管状态检查
在电脑端（Windows / macOS）使用客户端时，“客户端正在运行”并不等于“流量正在流经客户端”。
很多新手打开了 Clash 客户端，甚至节点测速都显示 60ms 正常，但打开 Chrome 依旧提示“无法访问互联网”。最常见的原因就是没有开启“系统代理”（System Proxy）开关：
- 客户端内部开关：检查 Clash 主界面侧边栏中的
System Proxy（系统代理）滑块是否处于亮起（ON）状态。 - 操作系统注册表被锁死：在 Windows 系统中，偶发性异常退出可能导致 Windows 系统的网络代理配置未被正规修改。检查 Windows 路径：
设置 -> 网络和 Internet -> 代理，查看“使用代理服务器”是否自动填入了127.0.0.1:7897（或 7890 端口）。 - 浏览器插件干扰：如果您在 Chrome 或 Edge 浏览器中安装了类似
SwitchyOmega或其他 VPN 扩展插件，这些插件会强制夺取浏览器的代理控制权。请在插件中将其设置为“使用系统代理”或临时禁用插件排查。
四、代理模式：规则（Rule）、全局（Global）与直连（Direct）
客户端主面板中通常提供了三种工作模式切换，模式选错也会导致“看似连上了却打不开网站”：
| 代理运行模式 | 流量路由逻辑 | 适用场景与潜在故障表象 |
|---|---|---|
| Rule (规则分流) | 国内网站走直连不耗流量，海外网站按域名和IP规则命中代理节点 | 日常最推荐模式。若规则列表过旧，某些新域名未被收录会导致直连失败 |
| Global (全局代理) | 除了局域网IP外，所有对外网络通信强行经过您当前选中的节点 | 排查网络故障的首选对照模式。可彻底排除规则列表匹配错误的影响 |
| Direct (直连模式) | 所有流量彻底绕过节点，直接裸连外部网络 | 相当于关闭代理。若误点为此模式，海外受阻网络将完全无法访问 |
排查技巧：在遇到特定网站无法打开时，将模式从 Rule 临时切换为 Global，并在节点列表里选中一个延迟正常的香港或日本节点。如果全局模式下网站秒开，证明问题出在规则分流策略上；如果全局模式下依然打不开，证明是底层链路或端口阻断。
五、DNS污染、劫持与虚拟网卡（TUN模式）冲突
在跨区域网络访问中，DNS 是连接的第一道门槛。当您在浏览器中输入网址时，如果系统把域名解析请求发送给了本地运营商的默认 DNS 服务器，极易返回被篡改的错误 IP 地址，从而导致客户端拿到错误地址后根本无法建联。
- 开启客户端内置 Fake-IP / 智能 DNS：成熟的 Clash / sing-box 客户端均内置了加密 DNS（DoH / DoT）解析模块。请确认客户端配置中未擅自禁用加密 DNS。
- 开启 TUN 虚拟网卡模式（增强模式）：传统的系统代理仅能代理支持 HTTP/SOCKS 协议的浏览器应用，对于某些桌面命令行终端、聊天客户端或游戏客户端无效。在客户端中开启
TUN Mode，客户端会接管整机所有网络协议栈的 IP 包，从而彻底规避系统代理层面的各种漏包与 DNS 污染。
六、账户与订阅状态本身的核对
有时候，最复杂的故障往往源于最简单的原因：
- 流量配额耗尽：请登录飞机云用户中心后台，核对当前账户的已用流量是否达到了 100%。如果流量用尽，节点服务端会即时停止转发，但在本地客户端中旧的节点配置依旧存在，造成“有节点但全超时”的现象。
- 套餐到期未续费：检查套餐有效截止日期。
- 节点配置发生变更未同步：服务端可能进行过节点出口 IP 轮换或端口升级，而您的客户端若未开启“每日自动更新订阅”，本地保存的依旧是数周前的旧 IP，导致握手失败。此时在客户端的“配置”（Profiles）界面，右键点击当前订阅并选择“刷新 / 更新”（Update），拉取最新配置即可瞬间恢复。
七、标准全流程诊断决策树（Step-by-Step）
1. 查时间：先看电脑/手机时间是否精确到秒并完成 NTP 同步；
2. 测回源：点击客户端的连通性测速，看是否有节点返回有效延迟；
3. 开开关：确认“系统代理”已打开发亮，浏览器无第三方代理插件截胡；
4. 切全局：切换为 Global 全局模式测试特定节点；
5. 更订阅：在配置栏手动点击更新订阅，拉取服务商最新解析。
八、常见疑问与解答（FAQ）
Q1：为什么在公司 Wi-Fi 下能连，回到家换了宽带就全超时？
答：不同家庭宽带运营商（如移动、联通、广电）对跨境协议和 UDP 端口的封锁策略不同，有时家庭路由器的光猫开启了极其严格的防火墙阻断。可尝试在客户端中关闭 QUIC 协议支持，或开启 TUN 虚拟网卡模式绕过端口审查。
Q2：更新订阅时提示“Network Error”或“Fetch Failed”怎么办？
答：更新订阅失败通常是因为拉取订阅的 API 域名受到本地宽带 DNS 污染。解决方法：先开启已有其他正常可用网络临时连上，或切换为手机热点后再在客户端点击更新订阅；更新成功后再切回家用宽带。
Q3：客户端提示“Port 7890 occupied”（端口被占用）如何解决？
答：这代表后台有另一个代理进程（如旧版 Clash 未彻底关闭退出）霸占了该端口。打开任务管理器结束所有相关进程，或者在客户端设置中将 Mixed Port（混合端口）改为任意未被占用的四位数字（例如 7898）。
九、结语：沉着诊断，排除故障并不困难
任何复杂的网络通信系统，其每一跳数据路由都有迹可循。面对连接问题时，告别无目的的焦虑与频繁重装，遵循从本地系统时间、代理接管、分流模式到订阅更新的标准化排查链条，绝大部分连接问题都能在几分钟内迎刃而解，让您的网络世界重新保持畅通无阻。