连接失败的排查顺序：从系统时间、端口冲突到 DNS 污染全面定位

在使用网络代理工具的过程中，“突然打不开网页”、“所有节点测速全红”、“浏览器报错 ERR_CONNECTION_RESET”是几乎每个人都会遇到的烦心事。很多人遇到故障时的第一反应是疯狂在群里追问“机场是不是跑路了？”，或者频繁卸载重装软件，结果往往折腾几个小时依然没有解决问题。

其实，现代网络通信体系具有严密的层级结构。网络不通绝大多数时候并非节点宕机，而是本地操作系统状态、本地端口冲突或安全证书校验出了差错。按照本文整理的“由内而外、由低成本到高成本”的标准自检漏斗，90% 以上的异常都能在 5 分钟内快速排除。

第一步：检查操作系统本地时间（最隐蔽的“元凶”）

故障现象：客户端中节点延迟测速正常，但一打开网页就提示 ERR_CERT_DATE_INVALID、证书不受信任或直接无法完成 TLS 握手。

底层原理：现代加密传输协议（如 VMess、Vless、Trojan、Shadowsocks 2022）在建立安全通道时，普遍依赖时间戳进行防重放攻击校验。如果本地电脑的时间与标准互联网时间偏差超过 60 秒到 90 秒，服务端为了安全会主动拒绝建立会话！

修复方案：

• Windows：右键任务栏右下角时间 ➔ “调整日期和时间” ➔ 确保开启“自动设置时间”，并手动点击 “立即同步” 按钮；
• macOS：进入“系统设置 ➔ 通用 ➔ 日期与时间”，关闭后重新打开“自动设置日期和时间”。

第二步：排查订阅有效性与流量配额

排查清单：

1. 在浏览器中打开百度或国内电商网站，确认本地物理光纤宽带连接正常；
2. 登录闪电猫后台仪表盘，检查套餐是否已到期，当月流量配额是否已用尽；
3. 在客户端的“配置/订阅（Profiles）”列表中，右键点击配置文件执行 “更新订阅（Update）”。如果更新时报错 Invalid URL 或 Fetch failed，说明可能订阅链接已被本地防火墙拦截或复制时遗漏了字符。

第三步：清理残留代理设置与端口占用

常见场景：昨天关机前忘了关闭代理软件，今天开机发现国内国外全部断网，浏览器提示 ERR_CONNECTION_REFUSED。

排查方法：

• 按下快捷键 Win + R，输入 inetcpl.cpl 打开 Internet 属性 ➔ 点击“连接”选项卡 ➔ 点击右下角的“局域网设置”；
• 检查“为 LAN 使用代理服务器”是否处于被勾选状态。如果 Clash 软件并未开启，但此处依然被勾选并指向了 127.0.0.1:7890，就会导致所有系统网络请求被丢进黑洞。取消勾选即可瞬间恢复。

第四步：诊断 DNS 污染与死锁

典型现象：Telegram 或能够直接用 IP 连线的软件正常，但 Chrome 浏览器解析任何域名都无限转圈，随后提示 DNS_PROBE_FINISHED_BAD_CONFIG。

排查三板斧：

1. 刷新本地 DNS 缓存：打开终端输入 ipconfig /flushdns 并回车；
2. 检查 Chrome/Edge 安全 DNS：在浏览器设置中搜索“安全 DNS”，将其暂时关闭。部分浏览器默认开启的私密安全 DNS 会绕过 Clash 的 Fake-IP 模块，造成解析冲突；
3. 重启客户端内核：在 Clash Verge 设置中重启内核，清除内存中陈旧的 Fake-IP 映射表。

第五步：排查杀毒软件与虚拟网卡驱动

部分国产安全卫士（如 360、火绒、各类企业安全端点管理软件）会拦截虚拟网卡驱动加载或私自切断 7890 端口流量。

解决办法：将 Clash 及其核心进程（如 clash-verge.exe、mihomo.exe）加入杀毒软件的信任白名单，并确保 Windows Defender 的专用和公用网络权限均已放行。

六、常见网络错误代码速查表