1. 核心回答：连上无网的五阶递进排查法定律
客户端显示连接成功但实际无法打开网页，核心根因通常在于“流量未正确导向本地代理端口”或“握手过程被本地环境阻断”。规范排查顺序为：① 确认客户端系统代理开关已写入系统设置；② 检查浏览器扩展未劫持代理；③ 验证 TUN 虚拟网卡驱动状态；④ 排查 DNS 解析与 Fake-IP 缓存；⑤ 校验系统时间误差与本地端口占用。
2. 第一阶：检查系统代理开关与浏览器扩展接管状态
第一步必须确认操作系统的网络代理设置是否被客户端正确修改。在 Windows“设置 → 网络和 Internet → 代理”或 macOS“系统设置 → 网络 → 代理”中，系统代理地址应正确指向 127.0.0.1 及对应端口（如 7890）。
若系统设置未被修改，说明客户端权限不足；若已开启但浏览器仍无法访问，请检查浏览器是否安装了第三方代理插件（如 SwitchyOmega）造成了规则覆盖。
3. 第二阶：TUN 虚拟网卡驱动与路由接管冲突排查
TUN 模式通过在系统底层创建虚拟网卡拦截全局流量。若开启 TUN 后出现断网，常见原因包括：未安装 Wintun 驱动、未以管理员身份运行客户端，或旧版 VPN 网卡驱动发生冲突。
建议先关闭 TUN 模式，仅保留系统代理模式测试连通性。模式选型逻辑可参考新手全流程配置指南。
4. 第三阶：DNS 污染阻断与 Fake-IP 模式解析检查
现代分流核心普遍采用 Fake-IP 技术防范本地 DNS 污染。某些本地安全杀毒软件可能将 Fake-IP 保留网段误判为异常并实施拦截。
此时可在客户端设置中清理 DNS 缓存，或临时切换为 Redir-Host 模式比对排查。
5. 第四阶与第五阶：端口冲突与本地时钟核对
第四阶排查本地端口占用。若存在其他后台进程占用了混合端口，客户端日志会出现 address already in use 提示，需更换端口号。
第五阶必须核对设备系统时间。正如我们在《首次使用订阅服务前需要准备什么》中所强调的，系统时钟偏差超过 30 秒会导致 TLS 加密握手被直接阻断。此外，请点击进入服务入口确认账户状态未停用。
6. 连上但无网故障快速排查对照表
遇到此类现象时，请按表内优先级逐项排查：
| 排查梯次 | 核验位置 | 正常标准状态 | 异常修复指引 |
|---|---|---|---|
| 1. 系统代理状态 | 系统“网络与 Internet”代理设置 | 开关开启，指向 127.0.0.1:端口 | 赋予客户端管理员权限，关闭冲突插件 |
| 2. 运行模式选择 | 客户端主面板模式切换 | 选择“规则模式 (Rule)” | 切勿常驻“全局模式”，避免死锁 |
| 3. 节点健康状态 | 客户端节点选择列表 | 切换到同区域备用节点测试 | 排除单一出口服务器维护影响 |
| 4. TUN 驱动状态 | 设备管理器网络适配器 | 无感叹号冲突，驱动安装完好 | 重装 Wintun 驱动或退回系统代理 |
| 5. 订阅有效性 | 服务入口控制台仪表盘 | 套餐有效期与流量配额充足 | 按《订阅更新失败排查》同步最新数据 |
若电脑端正常而手机端出现断流或卡顿，建议阅读跨端分析专文：《手机和电脑体验不同应该检查什么》。
7. 常见疑问 (FAQ)
为什么在客户端测速显示绿色延迟（如 80ms），但网页依然打不开？
因为客户端的节点测速通常只发起一次轻量的 ICMP Ping 或单次 HTTP 握手探针，只能证明您的设备到节点前置服务器入口连通。如果节点内部转发服务异常、本地浏览器未成功走系统代理端口，或者本地系统时间存在偏差导致 TLS 完整握手失败，就会出现“测速正常但实际无网”的假象。
打开客户端的系统代理后，为什么连百度和微信都断网了？
此现象多由于将运行模式误选为了“全局模式 (Global)”且当前选中的节点本身异常，导致全部内外网流量强行撞向失效节点；或者客户端内核启动崩溃导致本地 7890 代理端口无服务响应。解决方法是：切换为“规则模式 (Rule)”，并重启客户端核心服务。