节点显示已连接但无法上网怎么排查：从 DNS 到规则模式的 8 步检查
客户端显示节点已连接、延迟正常，浏览器却打不开任何网站。本文按从简单到复杂的顺序给出 8 步排查方法，覆盖系统代理、节点有效性、规则模式、DNS、系统时间、套餐状态与软件冲突，并说明不同客户端的差异。
网络问题 网络问题Clash客户端教程 排查节点显示已连接只说明客户端进程在运行，不代表流量真的经过了节点。先关闭代理确认本地网络正常，再切换节点、切到全局模式、检查 DNS 与系统时间，最后确认套餐未过期、没有其他代理软件冲突，8 步内基本能定位问题。
典型症状
- 客户端显示已连接、节点延迟测试正常，但浏览器打不开任何网站
- 国内网站能打开，国外网站全部超时
- 部分网站能打开、部分不能，没有明显规律
- 刚连上的几分钟正常，之后所有网站逐渐打不开
- 切换到其他节点或重启客户端后短暂恢复，很快又失效
常见原因
- 系统代理或 TUN 模式没有真正生效，流量没有经过客户端
- 当前节点服务端已失效或被阻断，客户端只是完成了本地连接
- 规则模式下规则缺失或分流错误，目标域名被判定为直连
- DNS 配置问题，fake-ip 与 redir-host 模式切换后缓存未清理，或 DNS 被污染
- 系统时间偏差过大，部分协议因时间校验失败而拒绝握手
- 套餐流量用尽或已过期，服务端拒绝转发但客户端仍显示连接
- 其他 VPN、代理软件或浏览器代理插件与客户端冲突
客户端右上角显示”已连接”，节点延迟测试也是绿色的几十毫秒，可浏览器里所有网站都在转圈。这是机场用户遇到最多的问题，也是最容易越修越乱的问题。本文按从简单到复杂、从本地到远端的顺序给出一套固定的排查流程，照着走一遍，绝大多数情况都能定位。
问题：已连接只是客户端的状态，不是网络的状态
“已连接”这个状态由客户端自己决定，含义通常是：核心进程已启动、配置已加载、系统代理已设置。它不验证流量是否真的经过节点，更不验证节点能否把流量转发到目标网站。延迟测试也类似，多数只到入口服务器。
所以”已连接但无法上网”并不矛盾，它只是说明在客户端启动之后、数据到达目标网站之前的某一环断了。排查的任务就是找出断在哪一环。
直接答案
按顺序做这 8 件事：关闭代理确认本地网络正常；确认系统代理或 TUN 已生效；换一个节点；切到全局模式；检查 DNS 并清缓存；校准系统时间；确认套餐未过期、订阅已更新；排查其他代理软件冲突。每做一步就重新打开网页测试，恢复了就停在那一步。
排查前的两个前提
第一，一次只改一个设置。同时换节点、切模式、改 DNS，恢复了也不知道是哪一步起了作用，下次还会再遇到。
第二，准备两个测试网址：一个国内网站、一个需要代理的国外网站。两个网站的表现组合能快速缩小范围：
| 国内网站 | 国外网站 | 问题大致位置 |
|---|---|---|
| 打不开 | 打不开 | 本地网络，或 TUN / 系统代理接管了全部流量但节点失效 |
| 能打开 | 打不开 | 节点失效、规则分流、DNS、套餐状态 |
| 能打开 | 部分能打开 | 规则缺失或 DNS 污染 |
| 打不开 | 能打开 | 规则把国内流量也送进了节点，或 DNS 配置不当 |
常见原因
- 流量没有经过客户端：系统代理没打开、被其他软件改掉，或 TUN 虚拟网卡没有正常创建。
- 节点服务端失效：服务器下线、端口被阻断、IP 被封。客户端本地连接正常，远端却不转发。
- 规则模式分流错误：订阅规则不完整，目标域名被判为直连；或者策略组指向了一个失效的节点。
- DNS 问题：客户端 DNS 没启用，或 fake-ip 与 redir-host 切换后缓存冲突，表现为”域名无法解析”。
- 系统时间偏差：部分协议要求两端时间差在一两分钟内，时间不同步会导致握手被拒。
- 套餐状态：流量用尽或到期后，很多服务端允许握手但不转发数据，客户端看起来一切正常。
- 软件冲突：另一个 VPN、游戏加速器、安全软件的网络防护、浏览器代理扩展，都可能在底层覆盖客户端设置。
8 步排查
-
关闭代理，确认本地网络正常
退出客户端或关闭系统代理，打开一个国内网站。打不开说明问题在路由器或运营商侧，与机场无关；能打开再继续下一步。这一步看似多余，却能排除掉相当比例的”误报”。
-
确认系统代理或 TUN 模式已生效
回到客户端，检查系统代理开关是否打开。在操作系统的网络设置里确认代理地址指向客户端监听端口（Clash 系列默认 7890 或 7897）。使用 TUN 模式的，确认虚拟网卡已创建、客户端有管理员或系统扩展权限。
-
切换到另一个节点测试
换一个不同地区的节点，重新打开国外网站。立即恢复，说明原节点服务端失效或被阻断，这是最常见的原因，等待服务商修复或暂时避开该节点。所有节点都不行，继续下一步。
-
临时切换到全局模式
把客户端从规则模式切换到全局模式。全局模式下正常，问题就在规则：订阅规则不完整、策略组指向了失效节点、或者某些域名被错误地判为直连。回到规则模式后，检查对应策略组的节点选择，必要时重新拉取订阅。
-
检查 DNS 设置并清理缓存
确认客户端 DNS 功能已启用。如果最近切换过 fake-ip 与 redir-host 模式，清空系统 DNS 缓存（Windows 执行 ipconfig /flushdns，macOS 重启 mDNSResponder），并重启浏览器。网页报错是”找不到服务器”或”域名无法解析”时，优先怀疑这一步。
-
校准系统时间
Shadowsocks AEAD、VMess 等协议对时间敏感，两端相差超过一两分钟就会握手失败。打开系统的自动时间同步并手动同步一次，然后重新连接节点。虚拟机、长期休眠后唤醒的电脑特别容易出现这个问题。
-
确认套餐状态与订阅是否最新
登录服务商面板，确认流量未用尽、套餐未到期。流量耗尽时节点通常仍能握手，但不转发任何数据。同时更新一次订阅，排除节点地址或端口已变更而本地配置未同步的情况。订阅更新本身失败的，见 订阅更新失败怎么办。
-
排查其他代理软件与浏览器插件冲突
关闭其他 VPN、游戏加速器、安全软件的网络防护模块，禁用浏览器里的代理类扩展。多个软件同时接管网络时会互相覆盖代理设置或路由表，表现为客户端显示正常但流量根本没有经过它。
不同客户端的差异
| 客户端 | 常见的”已连接但无法上网”原因 | 对应检查点 |
|---|---|---|
| Clash 系列（Windows / macOS） | 系统代理未开、TUN 权限不足、fake-ip 缓存 | 第 2、5 步 |
| Clash 系列（Android） | 省电策略杀掉后台、VPN 权限被撤销 | 第 2 步，并检查系统电池与 VPN 设置 |
| Shadowrocket（iOS） | 节点失效、规则配置为直连、分流模式误选 | 第 3、4 步 |
| v2rayN（Windows） | 系统代理模式选错、核心进程未启动、时间偏差 | 第 2、6 步 |
各客户端的详细设置见 Clash 使用教程、Shadowrocket 使用教程 与 v2rayN 使用教程。Windows 用户选择哪个 Clash 客户端可以参考 Windows 用哪个 Clash 客户端。
总结
“已连接”只是客户端的本地状态，不是网络真的通了。遇到无法上网时，不要凭感觉乱改设置，按本地网络、代理生效、节点、规则、DNS、时间、套餐、冲突这个顺序逐一排除，每步只改一个变量。如果 8 步走完发现问题总是出在节点本身，而且频率越来越高，那就不再是排查的问题，而是该重新评估服务商了，判断标准见 2026 年稳定机场怎么选。
常见问题
节点延迟测试正常，为什么还是上不了网？
延迟测试多数只检测客户端到入口服务器的连通性，不验证完整转发链路。节点服务端失效、被阻断、流量耗尽，都可能表现为延迟正常但不转发数据。换一个节点对比是最快的验证方法。
为什么国内网站能开，国外网站全部打不开？
这说明客户端的分流在工作，国内流量走了直连，但走节点的国外流量没有出去。问题几乎可以锁定在节点本身、订阅过期或流量耗尽上，按本文第三步与第七步检查即可。
切换 fake-ip 模式后所有网站都打不开，怎么回事？
fake-ip 模式会给域名返回虚拟 IP，系统或浏览器缓存了之前的真实 IP 就会冲突。清空系统 DNS 缓存、重启浏览器，必要时重启客户端或系统，一般就能恢复。
重启客户端能恢复几分钟，然后又不行了，是什么原因？
常见于两种情况：节点处于被间歇性阻断的状态，或本地有另一个软件在反复改写代理设置。先换节点排除前者，再检查是否有安全软件、加速器或其他代理工具在后台运行。
TUN 模式和系统代理模式有什么区别，该用哪个？
系统代理只接管支持代理设置的程序，很多命令行工具和游戏不读取它；TUN 模式在虚拟网卡层接管全部流量。日常浏览两者都可以，需要让所有程序走代理时用 TUN。排查时建议先用系统代理，简单可控。