网络故障诊断的第一原则是什么？
网络故障诊断的第一原则是由近及远、单一变量测试，避免在未查明故障点之前对系统环境进行多重重构。
很多用户在遇到打不开网页的第一时间，会同时执行“重启路由器、修改本地适配器 DNS、重新下载客户端、找客服重置密码”等一系列操作。这种多变量叠加不仅无法解决问题，反而可能引入新的系统配置死锁。理性的排查必须按物理层、传输层、客户端应用层与远端服务层逐级向下推进。
问题一：所有内容都无法访问（包括国内网站）
当所有国内与国际内容均无法访问时，最常见的原因是本地物理断网或客户端异常退出导致的“系统代理残留死锁”。
处理步骤如下：
- 完全关闭代理客户端：彻底退出 Clash 或其他代理软件的托盘后台进程。
- 测试国内基础网络：在浏览器中访问国内主流门户网站或尝试 ping 本地路由器网关（如 192.168.1.1）。若国内网站依然打不开，说明属于本地 Wi-Fi 断开、光猫欠费或物理网线脱落，需优先恢复基础宽带。
- 排查系统代理残留：在 Windows 中按 Win+I 打开“设置” -> “网络和 Internet” -> “代理”，检查“使用代理服务器”开关是否依然被打开并指向了 127.0.0.1:7890。若处于开启状态，请手动将其关闭并保存，即可立刻恢复正常上网。
DNS异常与节点超时的本质区别
DNS异常可能导致域名解析失败，但节点超时、连接异常或平台不可用并不一定都由DNS造成。
DNS（域名系统）的作用仅仅是将易于记忆的英文域名（如 google.com）翻译成机器可通信的 IP 地址。当遭遇 DNS 污染或本地 DNS 服务器宕机时，浏览器会报错“DNS_PROBE_FINISHED_NXDOMAIN”或“找不到服务器 IP 地址”。但如果能够解析出 IP，而在建立 TCP 握手时持续超时，问题则属于跨境链路阻断或落地节点服务器宕机。
建议：在客户端的配置设置中，开启加密的 DNS 协议（如 DoH / DNS-over-HTTPS），并配置知名的公共解析服务器（如 223.5.5.5 用于国内直连分流，1.1.1.1 / 8.8.8.8 用于代理节点侧解析），可以从根源上降低 DNS 污染与解析死锁概率。
问题二：只有部分节点异常或超时
如果只有部分节点异常，建议切换其他节点进行对比测试。
跨境网络节点分布于不同的物理机房，可能走不同的运营商出境骨干路由。当某一地区的机房进行光缆维护、IP 遭受外部攻击或上游路由调整时，该单点节点可能短时间显示 Timeout。此时并不意味着服务整体不可用。在客户端的策略组中，从香港切换至日本、新加坡或美国节点，通常能立即恢复连接。同时，请在订阅列表上右键点击“更新”，以便拉取运维团队分配的最新备用 IP 列表。
问题三：常规网站正常，特定 AI 或流媒体平台受阻
当常规 Google 搜索完全流畅，但特定 AI（如 Claude/ChatGPT）或流媒体平台（如 Netflix）提示拒绝服务时，属于平台侧的风控策略拦截，而非网络链路故障。
排查要点：
- 核实服务可用地区：确认当前所选节点是否处于平台官方支持的国家名单中（例如切忌使用非开放地区的冷门节点尝试访问特定 AI 服务）。
- 清除浏览器特定 Cookie：打开浏览器开发者工具（F12），在 Application 标签中清空该域名的所有 Cookies 与 SessionStorage，避免旧的受限地区会话残留。
- 防范 WebRTC 真实 IP 暴露：部分严格平台会通过浏览器的 WebRTC API 获取本地物理网卡地址。可安装禁用 WebRTC 泄露的浏览器扩展以增强合规性。
问题四：客户端报错与 TUN 虚拟网卡冲突
客户端无法启动、报错“Core Exited”或启用 TUN 模式后电脑蓝屏/断网，通常与虚拟网卡驱动或第三方安全防护软件冲突有关。
建议按以下方式排查：
- 以管理员身份运行客户端，确保其具备在操作系统中注册本地虚拟网络适配器的权限。
- 若安装了杀毒软件或网络防火墙，尝试将代理客户端所在的安装目录添加至信任白名单，防止其拦截 TUN 驱动的数据注入。
- 检查配置文件语法。若近期自行修改过配置文件规则，可重新下载服务商提供的官方订阅覆盖还原。