代理連線失敗排查：出口、鏈路、應用層三層順序

代理填好了，帳號密碼也填對了，點檢查卻提示連線失敗。多數人這時候直接去找代理服務商，換節點、改連接埠、催客服。效率通常很低，因為失敗原因分布在整條鏈路上，代理只是其中一環。

與其挨個亂試，不如固定一個從外到內的順序：先確認出口有沒有真的生效，再看鏈路通不通，之後才輪到應用層的驗證和協定。這三層走完，大部分問題都能定位。

出口有沒有真的生效

這一步最容易被跳過，因為設定看起來是成功的。但設定成功和流量真的從代理走，是兩件事。

判斷出口是否生效，看兩個東西。一是 IP 有沒有變：記下不走代理時的公網 IP，掛上代理再看一次，兩者一樣就說明流量根本沒出去，後面查什麼都是白費。二是歸屬地對不對：代理詳情一般會給到國家、地區、州、省、城市，還有精確到小數點後六位的經緯度以及郵遞區號，把這些跟購買時的地區資訊對一遍。出口地區的系統時區如果明顯對不上，也是隱患。

出口不生效，原因常常不在服務商那邊，而在本機殘留的設定。之前用過的網路工具退出時如果沒清理乾淨，系統層可能還留著 HTTP_PROXY、HTTPS_PROXY 這類環境變數，或者 macOS 的網頁代理、SOCKS 代理開關沒有關閉。這種情況下用戶端以為自己在按系統代理走，實際請求卻繞開了。把這些殘留清掉再測，比重配一遍代理更有用。

鏈路層常見的三類錯誤

出口確認沒問題，接著看請求有沒有真正到達目標。

網域解析是第一個卡點，表現為解析失敗，或者解析出來的結果明顯不對，本該指向目標服務的網域落到了一個奇怪的位址上。換一個公共 DNS 重新解析，或者清掉本機解析快取，再看是否恢復。

連線逾時是第二種。連接埠被防火牆或安全軟體攔住時，表現就是一直轉圈然後逾時，這時候要確認連接埠放行規則，也順便留意是不是企業內網、公共 Wi-Fi 這類環境本身有限制。有個判斷很省事：不用代理直連，如果也打不開任何網站，那問題在基礎網路，跟代理無關，重新啟動路由器或切到手機熱點驗證一遍就能確認。

憑證錯誤要單獨說。提示憑證不受信任、握手失敗，很多人第一反應是流量被解密或憑證被替換。這種可能確實存在，但還有一類更隱蔽的原因：本機時間不準。不少驗證與工作階段機制依賴時間戳，本機時間與伺服器時間差距超過 5 分鐘，簽章驗證就會失敗，表現出來是連線被拒；落在 HTTPS 上，就是憑證驗證過不去。看到憑證錯誤，順手看一眼系統時間同步狀態，異常就開啟自動同步並立即校準，校準完重新啟動用戶端再試。

驗證和協定別填錯

能連到代理伺服器卻仍然不通，問題多半在應用層。

最常見的是驗證資訊。代理的使用者名稱、密碼、驗證方式要跟服務商給的一致，改過密碼沒同步到設定裡也很常見。手動設定模式下，還要確認填進去的連接埠號和代理工具自己監聽的連接埠一致，這兩個數字長得很像，填錯就完全連不上。

協定不匹配是第二類。HTTP、HTTPS、SOCKS5 不能混著填：服務商給你的是 SOCKS5，設定裡填成 HTTP，檢查必然失敗。另外代理是否允許存取目標網站和目標連接埠也要確認，部分代理會限制目標或協定。

判斷是節點問題還是設定問題，最快的辦法是換一個節點再測。換完能用，就是原節點的問題；換完照樣不行，方向回到設定和鏈路。這時候別反覆改參數，一次只變一個變數，改完記錄結果，否則問題會被自己的操作掩蓋掉。

連上了，不等於環境可用

補一個常見的坑。代理顯示連線正常，帳號卻還是頻繁觸發風控，問題往往不在能不能連，而在這條出口看起來像不像一個正常使用者。

要核對的還是那幾項：出口歸屬地和帳號註冊地區是否一致；IP 類型是否合理，資料中心 IP 和住宅 IP 在平台側的信任度不一樣；這條 IP 之前有沒有被目標網站標記過，同一條 IP 上如果跑過大量異常行為，會連累後來的使用者。連線測試通過之後，再確認一次出口的乾淨程度，這一步花不了幾分鐘。

如果一台裝置上要跑多個環境，出口最好一對一：一個環境配一條自己的出口，出問題能單獨定位，某條出口被標記也只會影響對應的那一個，而不是全部一起斷。PurpleMark 在多環境管理裡就是按環境分別設定出口和隔離的，邏輯正是這個。

排查方法僅供技術交流，相關工具與服務請在合法合規的前提下使用。