v2rayN 显示已连接却打不开网页:系统代理、路由与 DNS 逐项排查

一、确认系统代理，而不是只看连接状态

先检查「系统代理」是否为「自动配置系统代理」。客户端正在运行、节点名称已显示，甚至延迟测试有结果，都不等于浏览器已经使用代理。v2rayN 是配置与管理界面；真正接收本地请求、连接远端服务器的是内核。排查需要同时确认应用入口和内核状态。

以下菜单使用常见中文界面名称。不同桌面版本可能调整入口位置；找不到底栏选项时，可右键任务栏通知区域的 v2rayN 图标，查看同名菜单。先记录原设置，暂时关闭 TUN 模式，只检查系统代理这一条路径，避免两种接管方式叠加。

1. 检查直连

   在 v2rayN 的「系统代理」中选「清除系统代理」，打开平时可以直接访问的网站。如果此时也失败，先处理电脑联网、无线网络认证或上游网络问题。

2. 设置活动节点

   在主界面选中目标节点，右键选择「设为活动服务器」。等待内核启动；如果底部日志立即出现启动失败，先进入下一节检查端口。

3. 开启系统代理

   点「系统代理」→「自动配置系统代理」。在 Windows「设置」→「网络和 Internet」→「代理」中，确认代理地址指向本机，端口与客户端入站设置一致。

4. 排除独立代理

   检查浏览器扩展与浏览器自身的代理设置。若使用了单独指定的代理，先停用该配置，再完全退出并重新打开浏览器，用同一网址复测。

二、检查本地端口与内核是否监听

系统代理中的端口必须与内核实际监听的端口一致。在 v2rayN 打开「设置」→「参数设置」，找到本地入站的监听地址、端口和协议类型；不同版本可能将其放在「Core:基础设置」或入站相关页签。不要把远端节点的服务器端口填到系统代理里。

下面命令适用于 Windows PowerShell。假设客户端的 HTTP 或混合入站端口为 10808；如果实际值不同，先替换命令中的数字。只有 SOCKS 入站时，不要直接使用这里的 HTTP 代理测试。

Test-NetConnection 127.0.0.1 -Port 10808
netstat -ano | findstr ":10808"
curl.exe -I --connect-timeout 10 --max-time 20 -x http://127.0.0.1:10808 https://www.example.com/

• TcpTestSucceeded : True 只说明本地端口能连接，不代表远端节点、DNS 或目标网站可用。
• netstat 中查看 LISTENING 行与最后一列 PID，再到任务管理器「详细信息」页核对进程。不要仅凭端口号结束未知进程。
• 代理请求收到 HTTP 状态码，说明请求已得到响应。403 也可能是网站策略，不应归类为本地端口故障；仅出现 200 Connection established 还不足以证明后续 TLS 与网页请求成功。
• 若端口未监听，返回客户端日志查找启动错误。若监听者是另一套本地代理进程，先退出重复进程，或修改入站端口并重新设置系统代理。

三、检查路由分流是否把请求送错出口

本地端口正常后，再看「路由」。路由分流的含义是：内核按规则将请求送往代理、直连或阻断出口。浏览器请求进入内核，不代表该请求一定经过所选节点；自定义规则也可能让某个域名直连或被阻断。

1. 记下当前路由配置名称。若界面提供「全局」或「全局代理」预设，临时切换后，用同一个失败网址再测试一次。这里改变的是路由，不是改成 TUN 模式。
2. 若全局代理正常、原模式失败，回到原配置，检查目标域名是否命中自定义直连、阻断或过宽的域名后缀规则。
3. 在日志支持显示路由信息时，按请求时间定位目标域名，核对实际出站标签。日志没有相关字段时，不要仅凭列表中的节点名称判断出口。
4. 修正规则后恢复原模式，再测试一个应直连的网站和一个应代理的网站，确认没有把局部故障变成新的分流错误。

四、区分系统 DNS、内核 DNS 与节点域名解析

DNS 是把域名转换为 IP 地址的过程。至少要区分两类名字：远端节点服务器的域名，以及要打开的网站域名。前者解析失败，内核可能根本无法建立节点连接；后者失败，则可能只影响某些网站。系统 DNS 和内核 DNS 也未必使用同一套配置。

Windows 可先用下面两条命令查看系统解析结果、清理系统缓存。第二条只清理本机系统 DNS 缓存，不会重置内核配置，也不会自动清理浏览器自己的解析缓存。

Resolve-DnsName www.example.com
ipconfig /flushdns

• 系统解析成功：只能证明当前系统解析器给出了结果，不能证明内核采用了相同解析路径，也不能证明结果适合当前网络。
• 节点域名解析失败：先确认节点地址没有拼写错误，再检查用于建立代理连接的 DNS 路径。若解析器本身只能经由尚未建立的代理访问，会形成启动依赖循环。
• 切换 DNS：在「设置」→「DNS 设置」中核对当前内核对应的选项；若该版本将 DNS 放入「参数设置」，进入对应页签。先保存原值，只修改一组设置，再按界面要求保存并重启内核。
• 不要用 IP 硬替换网址：HTTPS 网站通常依赖域名完成证书验证与站点选择，访问 IP 失败并不能作为 DNS 故障的可靠证据。

如果已确认存在 SOCKS 入站，还可以用下列方式让 SOCKS 代理接收目标域名，由代理链路处理解析。命令中的 10808 仍须与实际 SOCKS 或混合入站端口一致。它与系统直连解析的结果可用于对照，但不能单独确定所有解析环节的位置。

curl.exe -I --connect-timeout 10 --max-time 20 --socks5-hostname 127.0.0.1:10808 https://www.example.com/

五、按日志原文定位节点与握手故障

入口、端口、路由和 DNS 都检查后，再验证节点。先看客户端底部日志或「日志」入口，清楚记录一次请求的时间，再复现一次故障。下面是可能出现的错误片段；具体前后文会随内核和系统变化，不能只截取最后一个单词就下结论。

切换节点时，保留相同路由和测试网址，只改变活动节点。TCP 延迟有结果，通常只说明某次端口连接有响应；它不证明协议认证、TLS 握手和网页请求全部成功。使用客户端提供的可用性或真连接测试时，也要注意测试目标可能与实际访问的网站不同。

• 若仅某条节点失败，核对订阅是否更新，以及账号流量、到期状态和服务通知。
• 若所有节点突然失败，用另一网络作一次对照，例如电脑临时连接手机热点；对照时不要同时更改内核和 DNS。
• VLESS、VMess 的配置字段不同；使用 REALITY 的节点还需匹配相应公钥、服务器名称及其他提供方参数。不要把未知字段留空或靠猜测填写。
• 在「设置」→「参数设置」中的内核类型相关选项核对所用内核是否支持该配置。切换内核不是万能修复，先记录原选项，再查启动日志。

六、常见现象与恢复检查

修复完成后，用相同浏览器重新打开原先失败的网址，再验证一个应直连的网站。若需要继续求助，整理客户端与内核版本、系统类型、失败时间、测试方法和对应错误行；分享前遮住订阅地址、用户标识和认证参数。不要公开整份订阅或完整配置来换取排查建议。

• 系统代理指向正确的本机地址与端口。
• 本地端口存在正确进程监听，显式代理请求有结果。
• 原路由下目标网站走向符合预期。
• DNS 与节点握手错误已按日志分别处理。
• 临时设置已恢复，正常退出后网络状态符合预期。