V2Ray 已连接但无法上网：代理端口、路由模式与 DNS 逐项排查清单

先确认“已连接”具体代表什么

客户端托盘图标变色、运行日志出现启动完成，只能说明核心进程已经加载配置。它不等于浏览器流量已经经过代理，也不等于远端节点完成了有效转发。完整链路至少包含应用、系统代理或 VPN 接口、本地监听端口、路由规则、DNS、出站节点六个环节，任一环节中断都会形成“界面正常、网页打不开”的表象。

先做一个最小化判断：关闭所有额外代理工具，只保留一个 V2Ray 客户端；选中一个已知可用节点；用同一个浏览器分别访问普通网页和需要代理的网页。普通网页也打不开，优先检查本地端口、系统代理和 TUN；普通网页正常而特定网站失败，则重点检查路由、DNS、节点协议参数和远端可达性。

第一步：核对系统代理与本地监听端口

桌面端最常见的问题是核心已经运行，但系统代理仍为关闭状态。v2rayN 的本地端口负责接收浏览器或应用发来的请求；系统代理则负责告诉支持系统代理的程序把请求送往这个端口。两者必须指向同一组实际监听值，不能只凭默认端口猜测。

如果浏览器安装过独立代理配置，先确认它没有继续指向旧端口。例如客户端已经改为 127.0.0.1:10818，浏览器扩展仍写着 127.0.0.1:10808，请求就会落到不存在的监听器。企业网络工具、调试代理和旧版客户端也可能占用相同端口。

1. 查看运行状态

   在 v2rayN 主窗口确认当前服务器已选中，核心日志已经完成启动，没有连续重启或立即退出。

2. 检查监听端口

   打开「设置」→「参数设置」→「基础设置」，记录本地 SOCKS 或混合代理端口。常见值是 10808，但应以当前界面显示为准。

3. 开启系统代理

   在主窗口「系统代理」菜单选择「自动配置系统代理」，再确认系统设置中的代理服务器指向 127.0.0.1 和当前端口。

4. 排除端口占用

   退出其他代理与网络调试程序，重新启动 v2rayN。若日志仍提示绑定失败，把本地端口改为 10818 后再次启动。

5. 重开应用测试

   完全退出浏览器后重新打开，避免旧连接池继续复用直连连接。先测试普通网页，再测试需要代理的目标地址。

第二步：把路由模式切回可验证状态

路由规则决定一个请求走代理、直接连接还是阻断。规则集过期、自定义域名写错、规则优先级颠倒，都可能让目标网站落入错误出站。故障排查期间不宜同时修改多组规则，应该先切到边界清楚的模式，再通过日志观察目标域名最终匹配了哪条规则。

在 v2rayN 中进入「设置」→「路由设置」，暂时选用客户端提供的基础规则方案，并停用刚添加的自定义规则。若“全局代理”能访问，而“绕过本地网络及常见直连域名”不能访问，说明节点和端口大概率正常，问题集中在分流规则、域名分类或 DNS 返回结果。

• 全局代理可用、规则模式失败：检查目标域名是否被错误分到直连出站，尤其要检查自定义后缀规则和正则表达式。
• 全局代理也失败：返回本地端口、节点协议参数、TLS 时间和远端网络继续排查，不要反复调整路由。
• 只有局域网地址失败：确认私有地址是否被送进代理。打印机、路由器后台和共享设备通常应保持直连。
• 只有部分子域名失败：网页可能同时调用多个接口域名，需要从核心日志找出失败的具体主机名，而不是只添加主站域名。

第三步：检查 DNS 解析与系统时间

DNS 故障通常有三种表现：域名完全解析失败、解析到不可达地址、DNS 请求被错误分流。直接输入服务器地址能够建立连接，但输入域名失败，基本可以把范围缩小到 DNS。节点服务器本身如果使用域名，DNS 失败还会让核心在建立出站之前就终止。

先检查系统日期、时区和自动校时。时间偏差不仅会影响 TLS 证书验证，也可能让订阅中的有效配置表现为握手失败。随后清理系统 DNS 缓存，暂时关闭浏览器内单独设置的加密 DNS，确保测试请求使用同一条解析链路。

1. 同步系统时间

   打开系统「设置」→「时间和语言」→「日期和时间」，启用自动设置时间与时区，然后立即同步一次。

2. 查看解析日志

   重新连接节点并打开核心日志，搜索 lookup、DNS、no such host 或 timeout，记录失败域名。

3. 清理缓存

   以普通故障处理流程刷新系统 DNS 缓存，再退出并重开浏览器，避免继续使用缓存中的旧地址。

4. 统一解析入口

   排查期间保留一套 DNS 配置，不要同时启用客户端 DNS、浏览器独立 DNS 和其他网络工具的 DNS 接管。

ipconfig /flushdns
nslookup example.com
netstat -ano | findstr 10808

第一条命令清理 Windows DNS 缓存；第二条验证当前系统解析器能否返回地址；第三条检查 10808 是否处于监听状态。若客户端实际端口不是 10808，应替换为「参数设置」中显示的数值。命令有输出不代表链路一定正常，但可以把“没有监听”和“解析失败”快速区分开。

第四步：排除 TUN、VPN 接口与防火墙冲突

TUN 模式会创建虚拟网络接口，把不读取系统代理的程序也纳入转发。覆盖范围更广，也更容易与其他 VPN 接口、虚拟机网卡、企业安全软件或防火墙规则发生冲突。典型现象是开启系统代理可以浏览网页，一开 TUN 就全部断网，或者关闭客户端后系统仍保留异常路由。

排查时先关闭 TUN，只保留普通系统代理。如果访问恢复，说明节点配置并非首要问题。随后检查虚拟接口是否成功创建、默认路由是否被重复接管、DNS 是否仍指向已经停止的虚拟接口。不要同时开启两个能够修改默认路由的网络工具。

• 退出其他会建立虚拟网卡或修改默认路由的程序，只保留当前客户端。
• 在 v2rayN 中关闭 TUN 模式，重新启用「自动配置系统代理」，验证浏览器基础访问。
• 检查防火墙是否允许 v2rayN 主程序及其当前核心访问专用网络和公用网络。
• 若刚升级客户端，重新启动系统，让旧的虚拟接口、路由表与占用进程完整释放。
• 恢复 TUN 后再次观察日志，确认入站类型已变化，并检查失败是否发生在 DNS 转发阶段。

第五步：安卓端检查 VPN 权限与应用分流

v2rayNG 使用 Xray 内核，v2flyNG 使用 v2fly 内核；两者在安卓端通常通过系统 VPN 接口接管流量。状态栏出现 VPN 标识，只说明接口已申请，不代表所有应用都被正确纳入。若浏览器可用但某个应用不可用，先看应用分流；若所有应用都不可用，则检查 VPN 权限、节点参数、DNS 和电池后台限制。

VMess、VLESS 等配置必须保持服务器地址、端口、用户标识、传输方式、TLS 与路径参数一致。订阅更新后如果服务端参数已变化，旧配置仍可能保留在列表中并显示可选，但连接会在握手阶段超时。此时应更新订阅并重新选择更新后的条目，而不是复制旧节点继续修改。

1. 重建 VPN 接口

   停止当前连接，等待状态栏 VPN 标识消失，再重新启动连接并确认系统授权对话框已允许。

2. 关闭应用分流

   进入客户端「设置」→「分应用代理」，排查期间暂时停用白名单或黑名单规则，让浏览器和测试应用使用一致路径。

3. 更新订阅

   从订阅分组执行更新，确认新节点数量和名称已经刷新，再选择更新后的节点进行连接测试。

4. 核对节点参数

   检查服务器端口、传输方式、TLS、SNI、Host 与路径，确保没有把另一条节点的参数混入当前配置。

5. 允许后台运行

   在系统应用设置中允许客户端保持后台活动，避免熄屏后 VPN 进程被电池策略暂停。

十分钟排查顺序：一次只改一个变量

最快的处理方式不是反复换节点，而是保持节点不变，按流量路径从近到远检查。每完成一步就重新测试并记录结果；一旦恢复，回看刚修改的唯一变量，就能确定故障位置。若同时更换节点、端口、DNS 和路由，即使恢复也无法知道真正原因，下次还会重复整套操作。

1. 第 1 分钟：关闭其他代理工具，确认只运行一个客户端实例。
2. 第 2 分钟：核对系统代理地址、客户端本地监听端口与浏览器代理端口。
3. 第 3 至 4 分钟：切换全局代理做对照，根据结果判断是否为路由分流问题。
4. 第 5 至 6 分钟：同步系统时间，查看日志中的 DNS、lookup 和 timeout 信息。
5. 第 7 至 8 分钟：关闭 TUN 或分应用代理，用最简单的系统代理或 VPN 路径测试。
6. 第 9 分钟：更新订阅，核对 VMess 或 VLESS 的端口、传输、TLS、SNI 与路径。
7. 第 10 分钟：重启客户端和测试应用，保存关键日志，再决定是否更换节点。