节点已连接却打不开网页:逐项检查清单

一、先区分“已启动”和“请求成功”

Android 状态栏出现 VPN 标识，表示系统已经建立本地 VPN 接口，不等于远端节点认证成功。v2rayN 显示内核运行，也只说明本地进程已启动。网页能否打开，还取决于应用接管、域名解析、路由选择、远端连接和目标网站响应。

先固定一个测试动作：使用同一个浏览器，打开同一个完整的 HTTPS 地址。另选一个平时能访问的网站作为对照。不要一边更换节点，一边改 DNS 和浏览器设置，否则恢复后也不知道是哪项起效。

二、核对基础网络与系统时间

先停止 v2rayNG 的连接，或在 v2rayN 的「系统代理」中选择「清除系统代理」。若同时开启了 TUN，也要暂时关闭。仅清除系统代理不会自动停止 TUN 接管。再打开日常可访问的网站，确认 Wi-Fi 或移动数据本身能用。

1. 检查联网

   关闭代理后打开浏览器。公共 Wi-Fi 若弹出登录页，先完成网络认证；若仍不能联网，切换到移动数据再测，不要先修改节点参数。

2. 校准时间

   Android 通常在「设置」→「系统」→「日期和时间」开启自动设置时间。Windows 在「设置」→「时间和语言」→「日期和时间」中开启自动设置并执行同步；手机厂商的菜单名称可能不同。

3. 恢复连接

   回到客户端，选择原节点并重新启动连接。设备时间偏差可能影响证书有效期判断，也可能让 VMess 的时间相关认证失败；只修改时区显示不能修正错误的实际时间。

4. 记录结果

   记下网络类型、节点名称、失败地址和请求时间。后续每次测试沿用这个地址；网络切换后重新连接，避免把旧连接状态当成新网络的结果。

三、确认浏览器流量进入客户端

v2rayNG 要先获得 Android 的 VPN 授权。若设备正在运行另一个占用系统 VPN 接口的工具，先停止该工具，再启动 v2rayNG。v2rayN 则要区分系统代理和 TUN：前者只对遵循系统代理设置的应用有效，终端程序通常还需要单独指定代理。

在 v2rayNG 的侧边菜单进入「设置」→「分应用代理」，检查开关、列表和模式。启用“仅代理选中的应用”时，浏览器必须被选中；使用绕过模式时，被选中的浏览器反而不会经过代理。不同版本的模式文案可能有差异，要以界面描述为准。

• Android 对照：先记下原列表，暂时关闭分应用代理限制，重新建立连接，再用同一浏览器重试。
• Windows 对照：在 v2rayN 的「系统代理」中选择「自动配置系统代理」，检查浏览器是否被代理扩展强制设置为直连或旧端口。
• 查看日志：发起一次请求，寻找对应域名或目标地址。如果访问日志未启用，看不到记录不能直接证明流量没有进入；可短时提高日志详细度后重试。

桌面端还可以显式指定本地代理，绕开浏览器的代理设置做对照。下面是示例端口，不是所有版本的固定默认值。先查看客户端当前的监听设置，再把命令里的端口改成实际值。

# Windows 终端；目标地址替换为需要复现问题的网站
curl.exe --proxy socks5h://127.0.0.1:10808 --connect-timeout 10 --max-time 20 -I https://example.com/
curl.exe --proxy http://127.0.0.1:10809 --connect-timeout 10 --max-time 20 -I https://example.com/

socks5h 表示把目标域名交给代理端处理。若显式代理能返回 HTTP 状态，而浏览器仍失败，优先检查浏览器和系统代理接管。返回 403 或 405 也说明收到了 HTTP 响应，并不等于页面访问权限正常；个别网站不接受 HEAD 请求，可去掉 -I 再试。

四、分开排查节点域名与网站 DNS

DNS 有两个容易混淆的对象：节点服务器地址，以及准备访问的网站地址。如果节点地址本身是域名，客户端必须先找到它的 IP 才能建立出站。此时把所有 DNS 请求都送进尚未建立的代理，可能形成依赖环路。

另一种情况是节点可连接，但网站域名解析失败。浏览器自己的安全 DNS、Android 的私人 DNS、客户端 DNS 规则可能参与不同的解析路径。Android 通常可在「设置」→「网络和互联网」→「私人 DNS」查看当前状态；厂商界面可能放在「连接与共享」内。

• 先记录原值：保留自定义 DNS 地址与相关规则，不要直接覆盖整份配置。
• 短时对照：若私人 DNS 使用了自定义主机名，暂时切回自动，再重连测试；浏览器自定义安全 DNS 也单独测试一次。
• 判断对象：日志里失败的是节点域名，就先修复节点地址的解析；失败的是网站域名，再检查网站流量使用的 DNS 路径。
• 避免误判：不要简单用网站 IP 替代 HTTPS 域名测试，证书名称和虚拟主机匹配会改变结果。

五、核对路由顺序与分流命中

如果只有部分网站失败，先看它们实际走了哪个出站。V2Ray/Xray 的路由规则按顺序匹配，前面的规则命中后，后面的规则通常不会再决定该连接。宽泛的直连规则若放在前面，可能让原本准备代理的网站走了直连。

v2rayNG 可从侧边菜单进入「路由设置」，检查当前规则与模式；v2rayN 从「设置」→「路由设置」核对所用规则集。界面中的模式名称可能随版本变化，重点是确认测试请求使用的出站，而不是只看模式标题。

1. 保存当前路由配置，或截图记录当前模式，方便恢复。
2. 短时使用把普通网站流量送往代理的测试模式，保留局域网必要的直连规则。
3. 重新建立连接，再访问原来失败的网站，避免旧连接复用影响判断。
4. 如果恢复访问，回到自定义规则，按从上到下的顺序核对域名、IP、出站标签及规则数据库。

geosite:cn 是域名集合条件，geoip:private 是私有地址集合条件，两者不是一回事。引用规则数据库时，文件缺失、集合名称错误可能导致加载失败，应以启动日志为准。也不要把含有域名条件和 IP 条件的同一条规则，想当然地理解成任意满足一个就匹配。

六、最后验证节点与服务端参数

流量已经进入客户端、DNS 也有结果，仍无法建立远端连接，再查节点本身。先更新订阅，确认当前选中的条目没有被旧配置替代。订阅更新只表示取回配置，不代表服务端一定在线，也不代表账户额度仍可用。

• 服务器与端口：对照服务提供方的当前配置，别把网站常用的 443 当作所有节点的固定端口。
• 协议与认证：VMess、VLESS 的协议类型及用户标识要与服务端一致，不能只改协议名称沿用其他参数。
• 传输与安全：核对 WebSocket 路径、Host、TLS 服务器名称；使用 REALITY 时还要核对公钥和 shortId 等对应参数。只检查节点实际启用的项目。
• 内核支持：v2rayNG 使用 Xray 内核，v2flyNG 使用 V2Fly 内核；不同内核支持的功能并非完全相同，复制节点前要核对协议与安全设置的支持情况。

做两组对照就够：同一网络换另一个已知可用节点，同一节点换另一种本地网络。如果其他节点能用而这个节点始终失败，重点查节点配置、服务端状态和账户；如果所有节点只在某个 Wi-Fi 下失败，重点查该网络的限制和解析路径。对照结果是定位线索，不是单次测试就能确认的最终结论。

七、恢复设置与常见追问

找到原因后，把用于对照的临时设置逐项恢复。尤其是全量代理模式、私人 DNS 和浏览器安全 DNS，不应因为测试时改过就一直搁置。先确认原失败地址恢复，再测试一个直连网站和需要访问的局域网服务，避免修好一处又改变了另一处的路径。