免费机场无法使用时怎么办？排查流程与低成本替代方案

直接结论：节点大面积不可用时，先在设备与网络、客户端版本、接管配置、订阅拉取、DNS、TCP 握手、TLS 与协议握手、线路与出口、目标站点、账号与权限这十层里定位到一层，再只改这一层的一个变量。连续更换节点会同时改变入口地址、协议参数、出口线路与设备计数，线索会一起消失。大部分“机场挂了”的判断，是在没有分层记录的情况下得出的。

核验日期2026-10-24阅读24 分钟编辑免梯指数编辑部方法说明，不构成对任何具体服务的可用性承诺。

1. 直接结论与适用边界

故障先按现象分三类，三类对应不同的起点层。全部节点失败，起点在订阅拉取与入口可达性；部分节点失败，起点在协议参数与端口；能连上但质量差，起点在线路与出口。分类做错，后面的命令再多也只是重复验证同一个错误假设。

一次定位设一个成本上限。初筛 15 分钟，每层只做一个判定动作，超过上限先补记录，把已排除的层写清楚。产出是一份能复现的记录，一次侥幸恢复不算产出。

本文讨论自管设备上的排障。设备由单位统一管理、系统代理被策略锁定、根证书由管理员下发时，本文的方法只能解释现象，不能用来改配置。涉及规避执法与实名要求的操作不提供，不同司法辖区的规则需自行确认。

本站当前的合格免费资源收录为 0 条，审核日期 2026-10-24，下次复核 2026-11-07。本文不会给出可直接导入的订阅、节点地址或所谓当前可用线路，文中数值与日志均为示例或测算假设，读者可配合免费机场的零结果说明一起看。

你看到的现象	起点层	最常见的错误动作
客户端显示已连接，所有网页打不开	设备与网络、接管配置	连续更换节点
节点列表全红，延迟测试全部超时	订阅拉取、TCP 握手	重装客户端
只有个别网站打不开，其他正常	DNS、目标站点	修改全局 DNS
能打开网页，视频一直缓冲	线路与出口、MTU	换成 UDP 协议再试
昨天能用，今天全部失败，订阅也更新不了	订阅令牌、账号额度	认为服务方跑路
提示证书错误或握手失败	系统时间、TLS 参数	关闭证书校验

2. 为什么频繁换节点会让排查失效

换一个节点，同时改变了四个变量。入口地址变了，传输参数可能从 TCP 换成 QUIC，出口线路与出口 IP 的归属变了，服务端的设备计数也变了。四个变量一起动，任何一次“换完就好了”都无法归因。

时间成本可以算出来。设每月故障 n 次，单次定位 t 小时，时间价值 w 元每小时，月排查成本 C 为：

text

F = n × t            每月排查小时数（小时/月）
C = F × w            每月排查成本（元/月）

n = 6 次/月          测算假设
t = 0.33 小时/次     测算假设，约 20 分钟
w = 40 元/小时       测算假设
C = 6 × 0.33 × 40 ≈ 79.2 元/月

比较两个节点时固定五个条件。同一台设备、同一个网络、同一个客户端与内核版本、同一份配置、同一个目标端点，在同一时间窗内比较。顺序用 A、B、A 三轮，取各自中位数，只换节点这一个变量。节点反复失效的原因不只在本地，供给成本、出口信誉与入口封锁各有解释，见免费节点为什么经常失效。

3. 十层故障矩阵

下面这张表把十层放在同一口径下。第三列是“先看什么”，不是判定阈值；阈值与采样条件在第 14 节给出示例。第五列列出这一层最常见的误判，误判的方向几乎总是把上层问题记到下层。

层	典型现象	一分钟判定	只读观察点	常见误判	处理方向
1 设备与网络	所有站点打不开，客户端显示已连接	手机热点下是否同样失败	另一台设备、直连 IP、系统 DNS 设置	把运营商故障记成节点故障	先修本地网络，暂停代理
2 客户端与内核版本	启动即退出，节点列表空白或配置加载失败	客户端版本、内核版本、系统架构是否匹配	进程列表、版本号、安装来源	重装同一个旧版本	换官方 Release，保留旧配置
3 接管与本地端口	客户端正常，浏览器完全不经过代理	系统代理端口与监听端口是否一致	监听端口、系统代理开关、TUN 状态	只看客户端界面的绿色状态	改端口，改接管模式
4 订阅拉取	更新失败，节点数为 0 或明显减少	订阅 URL 的状态码与内容类型	HTTP 状态、响应首行、响应长度	把 403 当成网络不通	按状态码分类处理
5 DNS 解析	部分域名失败，用 IP 直连却正常	三组解析结果是否一致	解析器地址、返回地址、TTL	把污染记成节点失效	换解析器或改解析策略
6 TCP 握手	全部节点超时，订阅仍能更新	入口端口 20 次探测的成功率	超时与 RST 的比例、路径跳数	把 RST 当成丢包	入口层，等更新或换线路
7 TLS 与协议握手	TCP 通，连接后立刻断开	握手阶段的第一条错误关键字	握手输出、内核日志、系统时间	关闭证书校验求通	修时间、SNI、协议参数
8 线路与出口	能连但慢，晚高峰明显	分时吞吐与出口 ASN 是否稳定	单线程吞吐、丢包、出口 IP	把拥塞记成服务方限速	换时段，换线路
9 目标站点	只有一个站点失败，其他站点正常	换一个目标域名是否恢复	状态码、响应头、验证页面	把 403 记成节点坏了	换出口，调整需求
10 账号与权限	面板显示有额度，但所有节点连不上	到期时间、已用流量、在线设备数	面板数据、令牌状态、权限提示	把超额记成入口封锁	续费、重置令牌、减设备

表注：判定列描述观察顺序，阈值需自行采样后确定；表中不含服务名称、报价与性能数字；“处理方向”只给动作类别，具体操作取决于客户端能力与服务条款。数据性质为编辑整理的排查口径，非实测。

4. 四层决策树（含止损层）

下面这棵树按“范围、通道、握手、止损”四层展开。第一层判断影响范围，第二层判断故障在订阅通道还是节点通道，第三层判断握手停在哪一段，第四层是所有分支共用的止损条件。每个叶子只给一个动作与一个停止条件。

text

开始：订阅里的节点大面积不可用
│
├─ 第 1 层  影响范围
│  ├─ 只有当前设备失败
│  │  ├─ 同一网络下另一台设备正常
│  │  │  ├─ 第 2 层  客户端状态
│  │  │  │  ├─ 进程在、端口在监听
│  │  │  │  │  └─ 第 3 层  三项本地设置
│  │  │  │  │     ├─ 系统时间偏差超过 5 分钟 → 校准后复测
│  │  │  │  │     ├─ 规则把目标判成直连 → 修规则后复测
│  │  │  │  │     └─ 解析结果异常 → 换解析后复测
│  │  │  │  └─ 进程不在或端口未监听
│  │  │  │     └─ 启动失败：查端口占用、权限、配置语法
│  │  │  └─ 结论：本地层，换节点无效
│  │  └─ 另一台设备也失败 → 转到第 2 层通道判定
│  └─ 换到手机热点仍然全部失败
│     └─ 转到第 2 层通道判定
│
├─ 第 2 层  通道判定
│  ├─ 订阅通道
│  │  ├─ 拉取返回 403、404、410
│  │  │  └─ 令牌失效、路径变更或套餐到期，查面板后再决定
│  │  ├─ 拉取返回 200，内容是 HTML 或登录页
│  │  │  └─ 域名被劫持或返回错误页，换网络与解析复测
│  │  ├─ 拉取超时
│  │  │  └─ 订阅域名解析或连接被阻断，先修 DNS
│  │  └─ 拉取正常 → 进入节点通道
│  └─ 节点通道
│     ├─ 第 3 层  握手断点
│     │  ├─ 入口 TCP 不通
│     │  │  ├─ 全部超时 → 入口被阻断或地址变更
│     │  │  └─ 立即被重置 → 中间设备主动干预
│     │  ├─ TCP 通、TLS 失败
│     │  │  ├─ 证书错误 → 时间、证书链、域名不匹配
│     │  │  └─ 握手被重置 → SNI 阻断或参数不匹配
│     │  ├─ TLS 通、认证失败
│     │  │  └─ UUID、密码、时间戳、协议版本四项
│     │  └─ 认证通过、出口异常
│     │     ├─ 出口 IP 与所选地区不符 → 规则或线路调度
│     │     ├─ 出口被目标站点拒绝 → 转目标站点与账号层
│     │     └─ 出口正常但慢 → 转线路与出口层
│     └─ 每层设超时：TCP 3 秒，TLS 5 秒，首字节 10 秒
│
└─ 第 4 层  所有分支共用（止损）
   ├─ 连续两次独立复现同一结论 → 记为故障
   ├─ 只复现一次 → 记为单次观测，不入结论
   ├─ 需要关闭证书校验才能连接 → 停止使用
   ├─ 需要提交身份证、人脸或他人账号 → 停止使用
   └─ 修复时间超过 30 分钟 → 启用备用方案，回头再查

第 4 层不属于技术判断，属于止损规则。前面三层确认问题在哪，第 4 层决定什么时候不再投入时间。免费供给没有服务水平协议，修复时间不受你控制，止损线必须自己划。

5. 完整排查流程图

决策树回答“先查哪一层”，流程图回答“每一层怎么走完”。先看树定位，再按图逐层验证。图里的编号与第 3 节表格的层号一一对应，记录时直接写层号。

text

┌────────────────────────────────┐
│ 0  建立基线                     │
│ 时间 网络 设备 版本 目标 现象    │
└───────────────┬────────────────┘
                ▼
┌────────────────────────────────┐  否   ┌──────────────────────────┐
│ 1  不走代理能打开国内站点吗      │──────►│ 本地网络或 DNS，修完复测  │
└───────────────┬────────────────┘       └──────────────────────────┘
                │ 是
                ▼
┌────────────────────────────────┐  否   ┌──────────────────────────┐
│ 2  进程在、端口在监听吗          │──────►│ 启动失败：依赖 权限 端口  │
└───────────────┬────────────────┘       └──────────────────────────┘
                │ 是
                ▼
┌────────────────────────────────┐  否   ┌──────────────────────────┐
│ 3  代理或 TUN 指向正确吗         │──────►│ 接管未生效：改端口或模式  │
└───────────────┬────────────────┘       └──────────────────────────┘
                │ 是
                ▼
┌────────────────────────────────┐  否   ┌──────────────────────────┐
│ 4  订阅能拉取并解析吗            │──────►│ 订阅层：状态码 令牌 格式  │
└───────────────┬────────────────┘       └──────────────────────────┘
                │ 是
                ▼
┌────────────────────────────────┐  否   ┌──────────────────────────┐
│ 5  目标域名解析正确吗            │──────►│ DNS 层：换解析 清缓存     │
└───────────────┬────────────────┘       └──────────────────────────┘
                │ 是
                ▼
┌────────────────────────────────┐  否   ┌──────────────────────────┐
│ 6  入口 TCP 可达吗               │──────►│ 入口层：封锁 端口 防火墙  │
└───────────────┬────────────────┘       └──────────────────────────┘
                │ 是
                ▼
┌────────────────────────────────┐  否   ┌──────────────────────────┐
│ 7  TLS 与协议握手成功吗          │──────►│ 握手层：证书 时间 参数    │
└───────────────┬────────────────┘       └──────────────────────────┘
                │ 是
                ▼
┌────────────────────────────────┐  否   ┌──────────────────────────┐
│ 8  出口与线路符合预期吗          │──────►│ 线路层：拥塞 绕路 信誉    │
└───────────────┬────────────────┘       └──────────────────────────┘
                │ 是
                ▼
┌────────────────────────────────┐  否   ┌──────────────────────────┐
│ 9  目标站点返回正常内容吗        │──────►│ 目标层：地区 风控 账号    │
└───────────────┬────────────────┘       └──────────────────────────┘
                │ 是
                ▼
┌────────────────────────────────┐
│ 10 记录并做第二次复现            │
└────────────────────────────────┘

四条规则。每步只回答一个是非题，不确定时先补做判定。每步设超时，TCP 3 秒、TLS 5 秒、首字节 10 秒。只有“否”分支可以改配置，“是”分支只记录。走完一遍把结论写成一行，复现时对照。

流程图看的是排查顺序，数据流看的是请求经过哪里。两张图对照，能确认某一层在整条路径上的位置。

text

[应用] ──► 系统代理或 TUN ──► [客户端界面] ──► [内核]
                                      │
                        订阅通道 ─────┤ 清单与令牌，独立于流量
                                      │
域名 ──► DNS 解析 ──► TCP 握手 ──► TLS 握手 ──► 协议认证
                                      │
              入口 ──► 中转 ──► 落地出口 ──► 目标站点
                                      │
                        响应沿原路返回 ──► 应用

6. 设备与网络层：先把本地排除干净

本地故障的典型特征是“所有站点都打不开”，包括国内站点。判断只需要三个动作，换一台设备、换手机热点、用 IP 直连一个已知可用的地址。三者都指向本地时，先修网络并暂时关掉代理。

系统 DNS 是最常见的本地变量。路由器通过 DHCP 下发运营商解析器，解析器故障、限速或被劫持时，表现与节点失效几乎一样。检查方法是看网卡当前使用的解析器地址，再与手动指定的公共解析器对比。两者结果不同，问题在解析；两者都失败，问题在链路。

本地故障	表现	判定动作	处理
解析器异常	域名解析失败或返回异常地址	换解析器对比结果	改 DNS 或改用加密解析
IPv6 路径不通	首次访问慢，刷新后正常	关闭 IPv6 后复测	调整优先级或禁用 AAAA
门户认证未完成	只有认证页能打开，其他超时	用浏览器打开一个 http 站点	完成认证后再连接
虚拟网卡抢占路由	连接成功但没有任何流量	查看默认路由指向	调整网卡优先级或卸载残留
安全软件拦截	证书错误、连接被重置	临时关闭扫描复测	加白名单或更换客户端
路由器连接数耗尽	多设备同时故障，重启路由恢复	看 NAT 会话数与设备数	减少并发或更换路由

表注：这张表只列本地层可自查的项目，判定动作均为只读操作，处理列不含任何绕过网络管理的做法。

7. 客户端版本与配置：三个版本号要对上

排障时需要区分三个版本号。图形界面、内核、规则与地理数据集。三者更新节奏不同，界面升级而内核未升级时，新协议字段可能无法解析；规则集过期时，分流结果会与预期不符。记录里三个版本号都要写。

端口冲突是“客户端正常但浏览器不走代理”的常见原因。两个代理工具同时运行，后启动的那个抢不到默认端口，界面显示运行中，实际监听在另一个端口。系统代理仍指向旧端口，流量自然不通。检查方法是列出本机监听端口，再与系统代理设置里的地址端口逐字比对。

检查项	正确状态	异常表现	只读命令或位置
客户端版本	与官方发布页一致	版本号缺失或被改写	关于页面、安装包属性
内核版本	与客户端要求匹配	配置加载失败、字段被忽略	内核日志首行
规则集	有明确更新时间	分流结果与规则不符	客户端规则页
监听端口	与系统代理端口一致	浏览器完全不走代理	端口列表
接管模式	系统代理或 TUN 只有一种生效	双重接管、回环	系统代理设置、网卡列表
运行权限	与模式匹配	TUN 启动失败、DNS 改不动	权限提示、服务状态

表注：只读命令的具体写法见第 14 节；不同系统的端口列表工具不同，判断标准相同。

8. 订阅拉取：两条通道要分开看

订阅链接与节点入口是两条独立通道。订阅负责下发清单，节点负责承载流量。订阅拉不动时，已经导入的节点通常还能用到下一次更新；节点入口被封时，订阅仍然能正常更新，只是清单里的地址全部不可达。先确认坏在哪条通道，能省掉大量重复导入。

订阅拉取的失败按状态码分类，比按“能不能打开”分类有用得多。

状态码	常见含义	需要确认	处理方向
200	正常返回	内容类型与首行格式	解析内容，判断格式是否匹配
301 或 302	跳转	跳转目标是否仍是同一域名	跟随跳转复测，记录最终地址
400 或 401	请求格式或凭据缺失	链接是否被截断、令牌是否完整	重新复制完整链接
403	拒绝访问	令牌失效、UA 限制、IP 限制	换网络复测，查面板状态
404 或 410	路径不存在或已下线	服务方是否更换了路径	查官方说明，停止反复重试
429	请求过多	自动更新间隔是否过短	降低频率，等待恢复
5xx	服务端错误	是否所有网络都失败	记录时间，等待恢复

表注：状态码含义按 HTTP 语义整理，具体服务可能自定义返回；表中不含任何服务地址。

内容比状态码更容易骗人。返回 200 但内容是登录页、公告页或一段 HTML 错误信息时，客户端解析会失败，界面只显示“更新失败”。判断方法是看响应首行与内容类型。Clash 系配置通常以 proxies 或 proxy-providers 开头，sing-box 配置以花括号开头，Base64 列表是连续字符。首行是 <!DOCTYPE 时，拿到的不是订阅。

令牌要当作密码管理。泄露会带来额度消耗与出口共用，重置会让旧链接立即失效。设备绑定与 IP 白名单是另外两个变量，短时间内跨网络、跨设备拉取可能触发限制。遇到 403 时，先确认是不是自己触发了限制，再判断服务方是否变更。

9. DNS：用三组结果定位解析路径

DNS 决定你连的是哪个地址。解析错误时，TCP 与 TLS 都会失败，现象与入口封锁相同。区分两者的方法是对同一个域名做三组解析，比较结果是否一致。

第一组用系统当前解析器。第二组指定一个公共解析器。第三组跳过解析，直接用已知地址连接。三组一致且都能连，问题不在 DNS；两组不同，问题在解析路径；三组都失败，问题在链路或目标。

需要先理解 fake-ip 与真实解析的区别。fake-ip 模式下，内核给域名分配一个假地址，通常取自 198.18.0.0/15 网段，连接被引回内核再按域名转发。此时用 ping 测试，“通”与“不通”都不代表真实可达。看到 198.18 开头的地址，先确认当前是哪种模式。

污染的特征比较固定。返回 0.0.0.0、127.0.0.1、局域网地址，或者返回一个与域名无关的地址，都属于异常。TTL 异常短、同一域名在不同解析器上返回完全不同的网段，也值得记录。反过来，CDN 域名在不同地区返回不同地址属于正常调度，不能一律当成污染。

加密解析有一个循环依赖。DoH 与 DoT 需要先解析解析器自己的域名，这一步通常走系统解析或内置地址。系统解析被污染时，加密解析可能建不起来。排查时先看客户端是否配置了引导地址，再确认查询确实从加密通道发出。

观察结果	更可能的原因	下一步
三组一致，连接正常	解析不是故障点	进入 TCP 层
系统解析异常，公共解析正常	本地解析器或链路污染	改用可信解析器复测
两组都异常，IP 直连正常	域名级干扰	记录域名与时间，改用其他入口
三组都失败	链路或目标不可达	进入 TCP 层，检查路径
返回 198.18 网段	fake-ip 模式	按模式解释结果，不当作真实地址

表注：表格描述判定方向，不构成对任何域名或服务的结论；解析结果会随时间与网络变化。

10. TCP 握手：端口可达只说明一半

TCP 三次握手是最外层的可达性证据。SYN 发出后没有回应，表现为超时；收到 RST，表现为立即失败；收到 ICMP 不可达，表现为网络不可达。三种结果指向的原因不同，记录时必须分开写，只写“连不上”会丢掉最有用的信息。

超时通常意味着包被丢弃。可能是入口地址失效、端口被封、路径中间设备过滤，也可能是本地防火墙拦截了出站连接。RST 通常意味着有设备明确拒绝，常见于端口没有服务监听、中间设备主动重置、或服务端限流。ICMP 不可达相对少见，多出现在路由不可达或策略路由配置错误时。

端口选择会影响结果。443 与常见高位端口在不同网络里的待遇不同，部分网络对非常用端口限速或直接阻断，部分网络只对 UDP 限速。同一入口换端口后结果变化，说明策略在中间设备，不能据此判断服务端故障。

路径探测要用对工具。ICMP 的 traceroute 在中间设备屏蔽 ICMP 时会显示一串星号，看起来像在某跳断了，实际链路可能是通的。遇到这种情况，改用 TCP 探测方式，向目标端口发探测包，看能否穿过同一路径。星号只说明那一跳没有回应，不说明流量到不了。

MTU 黑洞是握手成功但传输失败的典型原因。小包能过，大包被丢弃，表现为网页能打开、下载卡住、视频停在缓冲。判断方法是逐步增大不分片的探测包，找到能通过的最大尺寸。PPPoE 拨号、隧道封装与部分移动网络都会降低可用 MTU，路径 MTU 探测依赖 ICMP 反馈，反馈被屏蔽时就会黑洞。

TCP 层通过只证明端口可达。它不证明 TLS 能协商，不证明认证能通过，也不证明出口可用。把 TCP 成功当成“节点正常”，是后续反复误判的起点。下一层才是握手与认证。

11. TLS 与协议握手：错误关键字指向不同原因

TLS 握手在 TCP 之后发生。TLS 1.3 把完整握手压缩到一个往返，ClientHello 里携带 SNI 与 ALPN，证书链由服务端发回，客户端按信任锚与有效期校验。握手阶段的错误信息比界面状态精确得多，第一条错误关键字通常就能定位到原因。

错误关键字	可能原因	先查什么	不要做什么
certificate expired	证书过期或本机时间偏差	系统时间、证书有效期	不要关闭校验
unknown authority	信任锚缺失或中间人证书	系统证书库、安全软件	不要安装来源不明证书
hostname mismatch	SNI 与证书域名不一致	入口域名、SNI 参数	不要强行忽略
handshake failure	协议版本或密码套件不匹配	客户端版本、服务端配置	不要反复重试同一组合
connection reset	中间设备干预或参数被识别	握手时机、路径	不要连续切换协议
EOF 或断开	认证失败或服务端主动关闭	密码、UUID、时间戳	不要归因于线路

表注：错误字符串随客户端与内核版本变化，表中为常见类别，不保证逐字匹配；示例格式，非实测。

SNI 在默认配置下是明文。TCP 握手成功后、TLS 握手过程中连接被重置，常见原因是中间设备根据 SNI 或握手特征做了干预。同一入口换一个域名参数后行为变化，可以佐证这个判断。REALITY 一类方案借用其他站点的握手特征，参数里的目标地址、域名与密钥必须与服务端一致，版本不支持时表现为握手失败，配置本身不一定报错。

协议认证失败的表现各不相同。Trojan 密码错误通常在 TLS 之后立即断开；Shadowsocks AEAD 密码错误表现为解密失败；VMess 的时间戳超出窗口会被拒绝。三者都与线路质量无关，换节点不会解决。传输层的路径与主机名也要对上，WebSocket 的 path、gRPC 的 serviceName 写错，服务端会返回 404 或直接断开。

UDP 与 QUIC 需要单独判断。部分网络对 UDP 限速或完全阻断，表现为 QUIC 握手超时，回退 TCP 后网页能打开但速度一般。判断方法是分别用两种传输连接同一入口，比较握手时间与首字节时间。回退本身是正常机制，不能因为回退就认定节点坏了。

证书校验不能关闭。提示证书错误时，正确动作是核对域名、有效期与签发者，或者停止使用。关闭校验会让链路中间的任意一方替换证书并读取内容。服务方要求关闭校验才能连接时，这个要求本身就是风险信号。

12. 线路与出口：慢与不通是两类问题

线路由入口、中转、落地三段组成。入口是你连接的地址，中转负责转发，落地才是目标站点看到的来源。三段可能位于不同地区，任何一段拥塞都会让速度下降。traceroute 的跳数与 ASN 归属能大致看出路径走向，但看不到运营方的内部调度。

绕路是跨境链路的常态。物理距离近不代表路径短，流量可能经过第三地中转。判断方法是比较不同时段的往返时间与跳数，路径稳定而延迟高，属于绕路；路径频繁变化，属于调度不稳定。两者都不在用户侧解决。

出口 IP 的归属比国家更重要。目标站点会看 ASN 类型、地址段历史与滥用记录。同一国家的机房地址与住宅地址，风控结果可能完全不同。免费供给多使用共享机房地址，被大量用户共用后信誉下降，表现为验证码变多、登录被拒。

分时对比能区分拥塞与限速。白天正常、晚高峰持续下降，更像出口拥塞；任何时段都稳定在某个上限，更像限速。连续记录三天，每天两个时间窗，比单次测速有说服力。

13. 目标站点与账号权限：最后两层

目标站点有自己的地区策略与风控。403、429、451、503 是四个不同信号，403 多为拒绝访问，429 为请求过多，451 为法律原因不可用，503 为服务暂不可用。只看“打不开”会把四种情况混成一种。响应头里的地区信息、验证页面与跳转地址都能帮助判断。

同一出口对不同账号的结果也可能不同。账号注册地、支付地区、登录历史与设备指纹都参与风控。换一个目标站点测试能快速区分范围，目标站的静态资源域名通常不设地区限制，如果静态资源能加载而主站接口失败，问题更可能在接口策略。

账号层的证据在面板里。到期时间、已用流量、倍率消耗、在线设备数、令牌状态，五项能解释大部分“突然全部失败”。试用到期与流量耗尽的表现几乎一样，区别只在面板数字。被判定滥用时，面板可能显示正常，但节点全部拒绝，此时需要联系服务方，换节点无效。

权限层常被忽略。TUN 模式需要创建虚拟网卡与修改路由的权限，Windows 上需要管理员或服务模式，macOS 上需要网络扩展授权，Linux 上需要相应能力。权限不足时，客户端界面可能显示已连接，实际没有接管任何流量。系统代理改不动、DNS 设置被拒绝，也属于同一类问题。

14. 可复制的只读诊断命令

下面命令只做观察，不修改远端配置，不进行端口扫描，不针对第三方资产做高频探测。执行前把示例域名替换成自己的订阅或入口域名，并确认目标服务允许这类请求。对公开站点高频探测会触发限流，也会污染结果。

Windows PowerShell 一组：

powershell

# 1 解析对比：系统解析器与指定解析器
Resolve-DnsName example.com -Type A
Resolve-DnsName example.com -Type A -Server 1.1.1.1

# 2 端口可达性，连续 20 次统计成功次数
1..20 | ForEach-Object {
  (Test-NetConnection example.com -Port 443 -WarningAction SilentlyContinue).TcpTestSucceeded
}

# 3 分阶段计时，走本地代理
curl.exe -x http://127.0.0.1:7890 -sS -o NUL -w "code=%{http_code} dns=%{time_namelookup} tcp=%{time_connect} tls=%{time_appconnect} ttfb=%{time_starttransfer} total=%{time_total}`n" https://example.com/

# 4 订阅拉取只看状态码与响应头
curl.exe -sS -o NUL -D - --max-time 10 "https://sub.example.com/api/v1/client/subscribe?token=REDACTED"

# 5 路径与跳数
tracert -d -h 20 example.com

# 6 本机监听端口
Get-NetTCPConnection -State Listen | Where-Object LocalPort -in 7890,7891,1080,2080

# 7 系统时间同步状态
w32tm /query /status

macOS 与 Linux 一组：

bash

# 1 解析对比
dig +short example.com A
dig @1.1.1.1 example.com A +stats

# 2 端口可达性，20 次间隔 1 秒（需要 nc 或 tcping）
for i in $(seq 20); do nc -vz -w 3 example.com 443; sleep 1; done

# 3 分阶段计时
curl -x http://127.0.0.1:7890 -sS -o /dev/null \
  -w 'code=%{http_code} dns=%{time_namelookup} tcp=%{time_connect} tls=%{time_appconnect} ttfb=%{time_starttransfer} total=%{time_total}\n' \
  https://example.com/

# 4 跳过解析直连指定地址，验证解析影响
curl --resolve example.com:443:203.0.113.10 -sS -o /dev/null -w 'code=%{http_code}\n' https://example.com/

# 5 TLS 握手与证书链
openssl s_client -connect example.com:443 -servername example.com -brief </dev/null

# 6 路径与逐跳丢包
traceroute -n -w 1 -q 1 example.com
mtr -rwzc 20 example.com

# 7 路径 MTU 探测，1472 加 28 字节头部等于 1500
ping -M do -s 1472 example.com
ip route get 1.1.1.1

命令里的参数含义要写进记录。-o NUL 与 -o /dev/null 丢弃响应体，-w 输出计时字段，--max-time 是总超时。--resolve 把域名固定到一个地址，用于验证解析影响，示例地址取自文档保留段，不能替换成真实入口。-M do 禁止分片，-s 1472 是载荷长度加 28 字节头部刚好 1500。-q 1 是每跳一次探测，-w 1 是等待 1 秒。参数不同，结果不可比。

命令	看什么	判读	注意
`Resolve-DnsName` 或 `dig`	返回地址、TTL	三组是否一致	缓存与 CDN 会造成差异
`Test-NetConnection` 或 `nc`	端口是否可达	成功率高但后续失败，问题在握手	单次结果不构成结论
`curl -w`	dns、tcp、tls、ttfb 四段时间	哪一段耗时异常	目标站点处理时间也计入
`curl -D -`	状态码与响应头	200 但类型不对，内容有问题	不要保存含令牌的完整 URL
`traceroute` 或 `mtr`	跳数与丢包位置	星号不代表断点	中间设备可能屏蔽 ICMP
`openssl s_client`	证书链与握手结果	证书域名、有效期、签发者	只对自己有权测试的端点使用
`ping -M do -s`	最大可通过包长	逐步递减找边界	依赖 ICMP 反馈

表注：命令输出字段随系统与版本变化，判读标准以本机实际输出为准；示例域名为占位符。

15. 记录模板与日志示例

记录的目的，是让第二个人按你写的内容复现同一个结果。字段固定下来，两次故障之间才有比较基础。

字段	填写口径	示例
记录 ID	日期加序号	FANW-20261024-001
时间与时区	精确到秒，带偏移	2026-10-24T20:41:07+08:00
网络与环境	接入方式、签约带宽、是否双栈	家宽有线 300 Mbps，双栈
设备与版本	系统、客户端、内核、规则集	Windows 11，客户端 1.x，内核 1.x
层号	第 3 节的 1 到 10	6
判定动作	命令与参数，次数与间隔	端口探测 20 次，间隔 1 秒
结果与单位	成功次数、分位数、单位	成功 3/20，P50 超时
证据与结论	文件名、结论、下一步	FANW-001-tcping.txt，入口不可达

表注：示例值为占位数据，非实测。前四项记录环境，后四项记录过程与证据。

单条记录可以直接存成 JSON，方便脚本汇总：

json

{
  "id": "FANW-20261024-001",
  "time": "2026-10-24T20:41:07+08:00",
  "network": "家宽有线 300 Mbps，IPv4 与 IPv6 双栈",
  "device": "Windows 11，客户端 1.x，内核 1.x，规则 2026-10-20",
  "layer": 6,
  "action": "tcping entry-a.example.net:443，20 次，间隔 1 秒",
  "result": "成功 3/20，P50 超时，RST 0 次",
  "evidence": "FANW-001-tcping.txt",
  "conclusion": "入口层不可达，等待更新",
  "next": "2026-10-25 同一时间窗复测一次"
}

日志只保留原始行，不改写措辞。下面六行是字段示例，示例格式，非实测，节点名与地址都是占位符。

text

2026-10-24 20:41:07 [sub] fetch https://sub.example.com/... status=200 type=text/html head=<!DOCTYPE
2026-10-24 20:41:22 [dns] lookup entry-a.example.net via 192.168.1.1: no such host
2026-10-24 20:41:35 [tcp] dial entry-a.example.net:443 error=i/o timeout elapsed=3.0s
2026-10-24 20:41:51 [tls] handshake failed: remote error: tls: handshake failure sni=entry-a.example.net
2026-10-24 20:42:04 [auth] vmess: invalid user id (time skew 412s) uid=REDACTED
2026-10-24 20:42:19 [http] GET https://target.example.org/ status=403 challenge=yes

六行分别指向六个位置：订阅返回 HTML、解析失败、入口超时、TLS 失败、认证与时间偏差、目标拒绝。真实日志格式随版本变化，以官方文档为准。阅读时从第一条错误读起，后面的错误多是连锁反应。

16. 低成本替代方案：只给方法，不给名单

替代方案的目标是把需求、成本与退出条件放在同一张表里，这比找到更便宜的服务更重要。下面四种方法可以组合使用，所有数字都是测算假设，不代表任何服务的报价。

text

c   = P ÷ Q                    单位流量成本（元/GB）
M   = min(Q ÷ U, D)            流量包可用月数（月）
C_m = P ÷ M                    月等效成本（元/月）
T   = n × t × w                月排查时间成本（元/月）

参数	符号	取值	单位	性质
月付价格	P_m	15	元/月	测算假设
周付价格	P_w	5	元/周	测算假设
流量包价格	P	30	元	测算假设
流量包额度	Q	100	GB	测算假设
包有效期	D	2	月	测算假设
月用量	U	20	GB/月	测算假设

方法一，短期套餐。周付按 4.33 周折算，5 元每周的月等效为 21.65 元，高于 15 元月付。用满一个月时月付更省，只用十天左右时周付更省。判断标准是需求天数。需求在两周以内，短期套餐的现金支出更低；超过三周，月付的月等效成本更低。

方法二，流量包。30 元 100 GB 的名义单位成本是 0.30 元每 GB。月用量 20 GB 时，流量可用五个月，月等效 6 元。若包只有两个月有效期，M 取 2，月等效变成 15 元，剩余流量作废，实际单位成本按已用 40 GB 计算变成 0.75 元每 GB。流量包是否划算，取决于有效期内能否用完，标称额度只决定上限。

方法三，降低需求。网页浏览每小时约 100 MB 到 300 MB，标清视频每小时约 0.7 GB 到 1 GB，高清约 1.5 GB 到 3 GB。每月看 30 小时视频，从高清降到标清，月用量可减少约 20 GB 到 60 GB。关闭自动播放、限制后台同步、只代理必要域名、把大文件放到非高峰时段，都能把需求压下来。

方法四，保留备用。备用方案要满足四个条件：供给方与主用不同，入口与协议不同，配置有可回退的快照，支付方式与主用隔离。四条都满足时，主用故障的切换时间可以压到几分钟。每月做一次切换演练，五分钟，确认备用真的能用。

17. 安全、隐私与合规边界

排障过程会产生新的暴露面。命令输出可能有订阅令牌，日志可能有入口地址，截图可能有账号信息。分享求助前先脱敏，删掉令牌、地址、UUID 与邮箱。

风险	触发条件	后果	缓解
令牌随截图泄露	截图含完整订阅地址	额度被消耗，出口被共用	打码，重置令牌
日志暴露入口	日志含节点地址与端口	入口被扫描、被举报	只保留错误行，地址替换为占位符
关闭证书校验	按教程忽略证书错误	链路中间人可读内容	停止使用，核对证书
备用方案同源	两条线路来自同一供给方	同时失效	选独立供给与独立入口
账号关联	同一邮箱、同一支付方式	风控联动	测试账号与主账号分开

代理改变的是出口 IP，账号、支付信息与设备指纹仍然可见，本文不承诺匿名。

不同司法辖区对代理工具、加密服务与跨境访问的规则不同。使用前需要自行确认当地法律、服务条款与可接受使用政策。本文不提供规避执法、规避实名制或绕过服务地区限制的操作方法。

18. 常见问题

订阅能更新，但所有节点都超时，先查哪一层？

先查入口的 TCP 可达性，再查账号状态。订阅能更新说明订阅通道正常，节点通道可能整体不可达。做 20 次端口探测，全部超时且换网络仍超时，问题在入口地址或中间设备；探测有成功、随后握手失败，问题在 TLS 或协议参数；探测与握手都正常但认证失败，问题在账号、密码或时间。不要在这个阶段重装客户端，重装不改变远端状态。

为什么同一个节点手机能用，电脑不能用？

差异在设备层，不在节点层。逐项对比四处：系统时间、客户端与内核版本、接管模式、DNS 设置。手机与电脑最常见的时间偏差、TUN 权限与规则集版本差异，都会造成一边能用一边不能用。把两台设备的这四项写成两列对照，不同的那一项就是嫌疑。不要用手机能用去证明电脑的节点没坏，两台设备走的路径可能不同。

连续换了三个节点都不行，是不是服务方跑路了？

证据不足。三个节点可能共用同一个入口域名、同一套中转或同一个账号额度，换节点没有换掉共同变量。先确认订阅是否还能拉取、面板是否还有额度、到期时间是否已过。三项都正常而全部节点不可达，更可能是入口层或账号层问题。连续换五个以上节点仍无记录，通常只是把半小时花掉了。

客户端提示证书错误，能不能关掉证书校验？

不能。证书错误说明客户端无法确认对端身份，关闭校验等于放弃这层确认，链路上的任意一方都可以替换证书并读取内容。正确动作是核对系统时间、证书有效期、证书域名与签发者，或者停止使用这个入口。服务方明确要求关闭校验才能连接时，这个要求本身就是风险信号，不需要再测试。

只有视频卡，网页正常，是哪一层的问题？

先分清单个站点还是所有视频站点。只有一个站点卡，问题在目标侧的策略或该站点的 CDN；所有视频都卡而网页正常，问题在带宽、MTU 或 UDP 限速。做两件事：换一个视频站点对比，用单线程下载测一次持续吞吐。网页能开说明握手与认证正常，卡顿发生在数据传输阶段。

白天正常、晚上不能用，怎么判断是拥塞还是限速？

按时段记录同一目标的吞吐与丢包，白天 10 时到 12 时，晚间 20 时到 23 时，连续三天。晚间持续下降、白天恢复，更像出口拥塞或路径拥塞；任何时段都停在同一上限，更像限速。两种情况的处理不同，拥塞可以换时段，限速只能换线路或降低需求。单次测速无法区分。

订阅链接打不开，但旧节点还能连，怎么办？

这属于订阅通道故障，节点通道仍然可用。先记录拉取状态码，再换网络拉一次，确认是本地解析还是服务端问题。旧节点能用到下一次更新，这段时间不要清空配置。订阅长期拉不动时，节点清单会逐渐过期，需要准备备用入口。不要在订阅故障时反复重置客户端，那会连旧节点一起丢掉。

系统时间不准会影响连接吗？

会。证书校验依据本机时间判断有效期，偏差过大时有效证书会被判为未生效或已过期。部分协议认证带时间戳，偏差超出服务端允许窗口时认证失败。检查系统时间与标准时间的偏差，开启自动同步后复测。这一类故障的表现与证书过期、密码错误很像，先校准时间能排除一整类原因。

换一个协议就能连上，问题在节点还是本地网络？

两者都可能。换协议能连上，说明入口与线路仍可达，问题更可能在传输方式，比如 UDP 被限速、TLS 握手被干预、端口策略变化。若换协议后仍然失败，问题回到入口或账号层。记录两次尝试的时间、协议与端口，才能区分。不要在几分钟内连续切换协议，服务端可能按频率限流。

什么时候该放弃免费方案？

三个条件满足任意两个就可以考虑。每月排障时间超过两小时；连续两次严重故障的修复时间超过 30 分钟；关键用途（办公、上课、支付）被中断过。把这三个条件写成退出线，放在开始使用之前。免费方案适合做有期限的验收，验收流程见免费机场试用怎么判断是否真实可用。验收不通过就停，不必等到下一次故障。

19. 数据来源与更新记录

协议机制、状态码语义与命令参数来自公开规范与官方文档。表中不含任何服务报价、节点数量与测试数据。引用规范是为了让读者能自行核对字段与握手过程。

来源	用于核对的内容	链接
RFC 8446	TLS 1.3 握手、证书与 SNI	rfc-editor.org/rfc/rfc8446
RFC 9000	QUIC 连接与流复用	rfc-editor.org/rfc/rfc9000
RFC 8484	DoH 请求格式	rfc-editor.org/rfc/rfc8484
RFC 8305	Happy Eyeballs 双栈回退	rfc-editor.org/rfc/rfc8305
RFC 8899	路径 MTU 探测	rfc-editor.org/rfc/rfc8899
RFC 1928	SOCKS5 协商与请求	rfc-editor.org/rfc/rfc1928
RFC 9110	HTTP 语义与 CONNECT	rfc-editor.org/rfc/rfc9110
MDN HTTP 状态码	状态码语义	developer.mozilla.org
curl 手册	`-w`、`--resolve`、`--max-time` 参数	curl.se/docs/manpage
Mihomo、Xray-core、sing-box	配置字段、日志与版本差异	Mihomo、Xray-core、sing-box

更新记录

日期	变更	说明
2026-10-24	建立页面	十层矩阵、决策树、流程图、命令与模板首次发布
2026-11-07	计划复核	核对命令参数、状态码说明与外部链接

本页只记录可追溯的变更，不补写不存在的历史版本。命令与参数会随工具版本变化，执行前以本机帮助输出为准。

20. 下一步

三条路径，按当前状态选择：

第一次配置就卡住，先读新手帮助的系统代理、TUN 与 DNS 部分，把概念对齐。
想把结论做成可复核的记录，按资源检测方法的字段与采样口径执行。
判断该继续等免费资源还是转向低价方案，先看免费机场的零结果说明，再按第 16 节算一遍自己的三个数字。

免费机场无法使用时怎么办？排查流程与低成本替代方案 ​

1. 直接结论与适用边界 ​

2. 为什么频繁换节点会让排查失效 ​

3. 十层故障矩阵 ​

4. 四层决策树（含止损层） ​

5. 完整排查流程图 ​

6. 设备与网络层：先把本地排除干净 ​

7. 客户端版本与配置：三个版本号要对上 ​

8. 订阅拉取：两条通道要分开看 ​

9. DNS：用三组结果定位解析路径 ​

10. TCP 握手：端口可达只说明一半 ​

11. TLS 与协议握手：错误关键字指向不同原因 ​

12. 线路与出口：慢与不通是两类问题 ​

13. 目标站点与账号权限：最后两层 ​

14. 可复制的只读诊断命令 ​

15. 记录模板与日志示例 ​

16. 低成本替代方案：只给方法，不给名单 ​

17. 安全、隐私与合规边界 ​

18. 常见问题 ​

订阅能更新，但所有节点都超时，先查哪一层？ ​

为什么同一个节点手机能用，电脑不能用？ ​

连续换了三个节点都不行，是不是服务方跑路了？ ​

客户端提示证书错误，能不能关掉证书校验？ ​

只有视频卡，网页正常，是哪一层的问题？ ​

白天正常、晚上不能用，怎么判断是拥塞还是限速？ ​

订阅链接打不开，但旧节点还能连，怎么办？ ​

系统时间不准会影响连接吗？ ​

换一个协议就能连上，问题在节点还是本地网络？ ​

什么时候该放弃免费方案？ ​

19. 数据来源与更新记录 ​

更新记录 ​

20. 下一步 ​

免费机场无法使用时怎么办？排查流程与低成本替代方案

1. 直接结论与适用边界

2. 为什么频繁换节点会让排查失效

3. 十层故障矩阵

4. 四层决策树（含止损层）

5. 完整排查流程图

6. 设备与网络层：先把本地排除干净

7. 客户端版本与配置：三个版本号要对上

8. 订阅拉取：两条通道要分开看

9. DNS：用三组结果定位解析路径

10. TCP 握手：端口可达只说明一半

11. TLS 与协议握手：错误关键字指向不同原因

12. 线路与出口：慢与不通是两类问题

13. 目标站点与账号权限：最后两层

14. 可复制的只读诊断命令

15. 记录模板与日志示例

16. 低成本替代方案：只给方法，不给名单

17. 安全、隐私与合规边界

18. 常见问题

订阅能更新，但所有节点都超时，先查哪一层？

为什么同一个节点手机能用，电脑不能用？

连续换了三个节点都不行，是不是服务方跑路了？

客户端提示证书错误，能不能关掉证书校验？

只有视频卡，网页正常，是哪一层的问题？

白天正常、晚上不能用，怎么判断是拥塞还是限速？

订阅链接打不开，但旧节点还能连，怎么办？

系统时间不准会影响连接吗？

换一个协议就能连上，问题在节点还是本地网络？

什么时候该放弃免费方案？

19. 数据来源与更新记录

更新记录

20. 下一步