适合已经导入配置、却遇到测试超时或网页打不开的用户。先建立“本地入口能否工作”的基线，再检查远端端口、传输与 TLS，最后核对路由和 DNS。以下以 Windows 上的 v2rayN 为操作主线，每次只改一项，并用日志与同一条请求判断结果，避免把测速失败直接当成节点失效。
一、先区分测试超时与连接失败
“超时”只说明某个操作没有在规定时间内完成，不能单独指出故障位置。延迟测试、订阅更新和浏览器访问是三条不同的请求路径：订阅服务器打不开，不代表已导入的节点不能用；测试地址响应慢，也不代表所有网站都打不开。
| 看到的现象 | 优先确认 | 下一步 |
|---|---|---|
| 只有延迟测试超时 | 真实网页能否打开、测试地址是否可达 | 用固定网址发起代理请求 |
| 浏览器打不开，内核没有请求日志 | 系统代理、本地监听端口、浏览器代理扩展 | 先测试本地入口 |
| 日志记录远端连接超时 | 节点域名解析、远端端口、当前网络 | 检查远端可达性 |
| 只有部分网站失败 | 路由匹配、目标站点与 DNS | 查看该域名的出站记录 |
测试前记下当前节点备注、客户端版本、使用的内核和测试时间。v2rayN 是客户端界面，真正建立连接的是内核；界面能打开，不等于内核已成功启动。版本可在「帮助」→「关于」查看；不同版本菜单措辞可能略有差异，记录时以本机显示为准。
二、校准系统时间，建立最小测试环境
本机日期偏差可能影响证书有效期判断，也可能使 VMess 的时间相关认证失败。VLESS 不采用相同的时间认证机制，但使用 TLS 时仍受证书时间检查影响。先把日期、时间同步做好，不要把所有认证错误都归因于协议。
-
同步时间
Windows 11 打开「设置」→「时间和语言」→「日期和时间」，开启「自动设置时间」，在「其他设置」中点击「立即同步」。同时核对日期与时区；仅更换显示时区不能修复错误的系统时钟。
-
固定节点
在 v2rayN 节点列表中右键目标项，选择「设为活动服务器」。排错期间固定这一条配置，暂不使用自动切换，避免前后两次请求实际走了不同服务器。
-
简化入口
先关闭 v2rayN 主界面的「启用 TUN」，退出其他会接管流量的代理或 VPN 程序。这个动作只为减少变量；完成本地代理测试后，再单独验证 TUN。
-
复现一次
打开日志区域，记下当前时间，只访问一个固定网址。保留这一次请求附近的错误，不要连续切换十几条节点后再从混杂日志里猜原因。
三、检查系统代理与本地监听端口
先在 v2rayN「设置」→「参数设置」中查找本地监听端口相关设置，确认实际数值与协议类型。下文用 127.0.0.1:10808 的 SOCKS 入口举例，不代表所有版本、所有安装都使用这个端口。若本机数值不同，命令也要对应修改。
Windows PowerShell 执行下面两条命令。第一条查看监听状态与进程编号；第二条绕过“应用是否读取系统代理”的差异，直接通过本地 SOCKS 发出请求。example.com 只是示例测试站点，一次请求失败时应换另一个已知正常的网址交叉验证。
netstat -ano | findstr ":10808"
curl.exe --proxy socks5h://127.0.0.1:10808 --connect-timeout 10 --max-time 15 -I https://example.com/- 没有 LISTENING：检查内核是否启动、端口是否写错；不要只看客户端窗口是否还在。
- 有监听，但 PID 不熟悉：在「任务管理器」→「详细信息」中核对 PID。IPv4 与 IPv6 的多条监听不一定是冲突，关键是端口归哪个进程所有。
- 命令能返回 HTTP 响应，浏览器失败：优先查系统代理与浏览器扩展。返回 301、403 等状态也表明已收到 HTTP 响应，但不代表目标网站全部功能可用。
- 本地连接立即被拒绝：先修复监听地址、端口或内核启动问题，此时还没有证据说明远端节点失效。
命令通过后，在 v2rayN 底部「系统代理」菜单选择「自动配置系统代理」，再用浏览器重试。Windows 可到「设置」→「网络和 Internet」→「代理」核对代理地址与端口，注意其中端口应对应客户端的 HTTP 或混合入口，不能随意填一个仅支持 SOCKS 的端口。
结论：先证明本地入口可用
显式指定本地代理的请求成功，而浏览器失败时，先修正应用的代理入口；不要继续改节点的 UUID、TLS 或传输路径。
四、沿日志区分 DNS、拒绝与超时
在本地入口正常的前提下，再看内核连接远端时的错误。下面是常见日志片段，实际前后缀会随内核和系统变化。单独一行错误只能确定方向，要结合它对应的目标地址与时间判断。
no such host
原因：相关域名解析失败，可能是节点域名，也可能是目标网站域名。
解法：先确认日志中的域名归属，核对拼写与本机 DNS；不要看到解析失败就直接替换整个节点。
connection refused
原因：连接被明确拒绝，常见于目标端口没有服务监听或被主动拒绝。
解法：核对远端端口与服务状态；若报错地址是本机回环地址，则回到本地监听检查。
i/o timeout
原因：某次网络读写未在期限内完成，可能涉及链路、防火墙、服务端负载或后续握手。
解法：先查错误发生在拨号还是握手阶段，再用另一网络做同配置对照，不要仅凭这句判定账号失效。
address already in use
原因：内核需要绑定的本地地址与端口已被其他监听占用。
解法：用 PID 找到占用程序，关闭重复实例，或修改本地端口并同步调整应用代理设置。
若已获知服务端地址与端口，可用 PowerShell 的 Test-NetConnection 检查 TCP 连通性。例如下面只演示命令形式，example.com:443 不是你的节点；实际诊断需替换为订阅提供方给出的服务器和端口。
Test-NetConnection -ComputerName example.com -Port 443TcpTestSucceeded: True 只证明 TCP 连接建立，不证明 TLS、VMess 或 VLESS 认证成功。对于基于 UDP 的传输，这项 TCP 检查也不能验证其数据通道。若同一配置在手机热点可用、在当前网络失败，应优先排查网络限制；仍需结合服务端日志，避免把一次网络对照当作最终结论。
五、逐项对照传输与 TLS 参数
远端端口可连但握手失败时，打开节点的编辑窗口，与提供方的原始配置逐项核对。不要把“端口是 443”理解成“一定应该开启 TLS”，也不要为了消除报错而随意关闭证书验证。
| 检查项 | 需要一致的内容 | 常见误区 |
|---|---|---|
| 协议与认证 | VMess 或 VLESS、UUID，以及配置要求的其他认证字段 | 只改协议名称，保留另一协议的字段 |
| 地址与端口 | 服务器地址、远端监听端口 | 把本地 10808 填成远端端口 |
| WebSocket | 传输选择、路径、Host | 漏写路径前的斜杠，或把 Host 当成 SNI |
| gRPC | 传输选择、serviceName，以及服务端要求的 TLS 设置 | 把 serviceName 按 WebSocket 路径随意补斜杠 |
| TLS | 是否启用、serverName/SNI、证书信任与有效期 | 连接地址换成 IP 后，连 SNI 也一起改成 IP |
| REALITY | 配套的 serverName、公钥、shortId、指纹与 flow 等要求 | 当成普通 TLS，混用不同配置的参数 |
x509: certificate has expired or is not yet valid
原因：证书有效期检查失败，可能是本机时间错误，也可能是服务端证书到期。
解法：先同步系统时间；时间正确仍失败时，请服务提供方核对证书部署与续期。
websocket: bad handshake
原因：WebSocket 升级握手没有得到预期响应，常见于路径、Host 或反向代理规则不匹配。
解法：对照原始配置还原路径与 Host，并请服务端检查对应站点的转发规则。
VMess、VLESS 是代理协议，WebSocket、gRPC 是传输方式，TLS 是安全层，三者不是可以互相替换的选项。更新订阅后若字段看起来不完整，优先重新导入提供方确认过的配置，并核对当前内核是否支持该组合，而不是手动拼接几条节点的参数。
六、最后检查路由、DNS 与 TUN
同一节点能访问部分网站，通常比“所有请求都失败”更需要关注分流。v2rayN 底部的路由选择与系统代理是两件事：系统代理决定应用把请求送到哪里，内核路由决定收到请求之后走哪个出站。应用绕过本地入口时，改内核规则不会生效。
- 先看匹配结果：访问失败域名，查看日志是否出现该请求，以及它实际走代理还是直连。必要时短暂提高日志级别，复现后恢复，避免长期记录过多访问细节。
- 临时做单变量对照：选择将测试流量送往代理出站的路由预设，重新执行相同请求。若恢复，再核对原规则的顺序和匹配范围，不必长期保留测试预设。
- 区分两种解析：节点服务器域名的解析决定能否拨号；目标网站域名的解析参与访问与分流。修好其中一种，不保证另一种正常。
- 检查规则资源：
geosite是域名集合，geoip是地址集合。资源缺失或规则引用错误可能导致加载失败；先看内核启动日志，再考虑更新对应资源。
本地代理已经通过后，再开启「启用 TUN」测试不读取系统代理的应用。TUN 通常涉及虚拟网卡、路由和 DNS 接管，也可能需要相应权限。若一开就断网，先关闭 TUN，确认网络恢复，再检查权限、其他 VPN 的路由和虚拟网卡冲突，不要同时改传输参数。
结论：用同一请求隔离 TUN 问题
同一节点在显式本地代理下成功、仅开启 TUN 后失败，应转查虚拟网卡、路由与 DNS 接管，而不是先更换远端协议。
七、常见追问与停止排查的条件
延迟全是超时，但网页能打开，还要换节点吗？
先不用。确认网页确实走代理，再检查测试地址、测试方法与超时设置。用同一网址重复验证实际访问，不能拿单一测试结果代替连接状态。
订阅更新超时，应该开启通过代理更新吗？
先确认订阅地址有效，以及当前是否已有可用代理。直连订阅站失败、代理访问成功时，再选择对应的代理更新方式；所有节点都不可用时，强制依赖代理更新可能形成循环。
电脑能连，安卓上同一条配置不行？
先让两台设备使用同一网络，核对时间、活动配置和日志。v2rayNG 使用 Xray 内核，v2flyNG 使用 v2fly 内核，配置能力要以各自内核为准；依赖 Xray 特定功能的配置不能仅凭分享链接成功导入就认定兼容。
把超时从 5 秒改成 30 秒会修好吗？
只可能给较慢的响应更多等待时间，不能修复错误端口、认证字段或证书。先用固定的等待上限完成前后对照；若请求最终仍失败，应继续定位日志中的失败阶段。
可以停止反复调整的条件是：本地端口正常、配置已与来源核对、系统时间正确，同一节点在两种独立网络下仍于相同阶段失败。此时向服务提供方提交脱敏后的时间、内核版本、错误片段与远端端口测试结果，比继续随机切换 DNS 更有效。
- 保留一条失败请求的完整时间线，不发送整份私人配置。
- 说明失败发生在本地监听、远端拨号、TLS 握手还是目标访问阶段。
- 排查完成后，恢复原来的路由、日志级别与需要的代理模式。