适用于 v2rayN 已启动内核、节点有延迟数值，却仍无法浏览网页的情况。先确认浏览器是否把请求交给本地端口，再检查路由、域名解析、时间与远端节点。通过显式代理测试和同一目标的对照结果，可以区分入口故障与出站故障，避免一次修改多组设置后失去判断依据。
一、先区分“内核启动”与“网页可用”
v2rayN 是管理配置与启动代理内核的客户端。界面显示内核已启动，通常只表示本地进程启动成功；节点列表出现延迟，也只证明相应测试在当时得到结果。浏览器请求还要经过本地入口、路由选择、节点连接以及目标网站响应，任何一段出错都可能表现为网页一直加载。
以下以 Windows 桌面环境为例。不同版本的设置分组可能调整，先在「帮助」→「关于」记录版本，再按设置名称定位。端口示例统一使用 127.0.0.1:10808，它不是所有版本的固定值；旧配置可能另设 HTTP 端口 10809，必须以「设置」→「参数设置」中的本地监听配置和启动日志为准。
| 观察到的信号 | 能确认什么 | 还要检查什么 |
|---|---|---|
| 内核启动成功 | 进程已启动并读取配置 | 监听端口、系统代理和出站连接 |
| TCP 延迟有数值 | 测试时服务器端口可达 | 协议握手、认证、TLS 与网站响应 |
| 真连接测试成功 | 指定测试请求能完成 | 浏览器入口、其他网站及分流规则 |
| 浏览器显示代理错误 | 浏览器尝试使用代理但失败 | 实际代理地址、端口与进程状态 |
排查时固定一个节点、一个测试网站和一个网络，记录修改前后的错误。先不要同时开启 TUN、修改 DNS、切换内核和更新订阅，否则即使恢复，也难以判断是哪一步起效。
二、系统代理：确认浏览器请求进入客户端
系统代理决定应用如何进入 v2rayN，路由则决定进入之后如何转发。只选中节点，不会保证所有应用自动使用该节点；有些应用遵循 Windows 系统代理，有些需要独立设置。为缩小问题范围，可先暂停 TUN 模式，只验证普通系统代理路径，并在测试后恢复原设置。
-
启用系统代理
在主界面底部或托盘菜单打开「系统代理」→「自动配置系统代理」。先不要使用 PAC 模式，以免站点规则影响入口判断。
-
核对系统入口
进入 Windows「设置」→「网络和 Internet」→「代理」→「手动设置代理」，查看客户端写入的地址和端口，核对是否与本地 HTTP 或混合监听端口一致。
-
排除浏览器覆盖
临时停用修改代理的浏览器扩展；若浏览器有独立代理设置，改为使用系统代理。关闭后重新打开浏览器，再访问原测试网站。
-
执行显式测试
在 PowerShell 中运行下方命令。它明确指定 HTTP 代理，不依赖浏览器是否读取系统设置；如果本地端口只提供 SOCKS，请改用后文的 SOCKS 测试。
curl.exe --noproxy "" --proxy http://127.0.0.1:10808 --connect-timeout 10 --max-time 20 -I https://example.com/example.com 是测试目标示例，也可替换为当前打不开的网站。--noproxy "" 用于清除本次调用的代理绕过列表影响；收到 HTTP 状态码，说明至少获得了 HTTP 响应，不代表网站所有资源都能加载。若代理本身返回错误页，还要结合响应内容与内核日志判断。
判断：显式代理成功，先修浏览器入口
同一节点、同一目标下，命令行经代理能收到目标响应，而浏览器仍失败时，优先检查系统代理、浏览器独立代理和扩展，不要先更换节点或重写 DNS。
三、本地端口：确认监听进程与代理类型
本地连接被拒绝通常发生在流量尚未到达远端之前。常见原因是内核退出、端口填错，或另一个进程占用了端口。Windows 上可先检查监听，再核对进程；不要看到进程编号就直接结束任务。
Get-NetTCPConnection -State Listen -LocalPort 10808 |
Select-Object LocalAddress, LocalPort, OwningProcess
# 将上一条输出的 OwningProcess 编号代入查询
Get-Process -Id 12341234 仅演示进程编号的填法，实际使用上一条命令返回的值。如果没有监听记录，先回到 v2rayN 日志查看启动失败原因；如果是其他程序占用，优先正常退出冲突程序，或在「设置」→「参数设置」中调整本地监听端口，再重新应用系统代理。
报错：bind: Only one usage of each socket address (protocol/network address/port) is normally permitted.
原因：Windows 上同一监听地址与端口已被占用，内核无法绑定。
解法：查询占用进程，关闭重复运行的客户端实例，或更换监听端口并同步更新系统代理。
报错：ERR_PROXY_CONNECTION_FAILED
原因：浏览器无法建立到配置代理的连接，可能是端口未监听或代理地址过期。
解法：核对 Windows 代理中的地址与端口，再用显式代理命令测试；先处理本地入口，不急于更换协议。
四、路由预设：检查请求是否走了预期出站
本地入口可用后，再看请求被分配到哪里。路由规则一般按顺序匹配，先命中的规则决定出站；自定义规则可能让某个域名直连，也可能将其送入阻断出站。切换“绕过”类预设后只有部分网站失败，尤其值得检查规则，而不是把现象全部归为节点问题。
- 保存当前配置：记录底部「路由」当前选中的预设，以及是否启用了自定义规则，方便恢复。
- 做临时对照：若客户端提供全局代理预设，临时选中它，等待配置生效后重新测试同一目标。这里调整的是路由，不是系统代理开关。
- 观察连接日志：确认测试请求进入内核，查看可见的目标地址与出站标签。标签由配置定义，不一定就叫
proxy或direct。 - 缩小规则范围：如果全局代理可用而原预设不可用，恢复原预设后逐项检查目标域名、IP 规则以及所引用的规则数据文件。
不要只看“全局”两个字就认定所有流量已接管：它通常只作用于进入内核的请求，未使用系统代理的应用仍可能直连。域名规则与 IP 规则的表现还受内核的 domainStrategy 等设置影响；排查时先保留默认策略，避免为解决单一网站问题而改变整套路由行为。
五、DNS：区分本机解析、内核解析与节点地址解析
DNS 故障不只有“网站域名解析失败”一种。节点服务器本身如果使用域名，也要先解析才能建立连接；而浏览器安全 DNS、系统解析器、内核 DNS 配置可能走不同路径。清空 Windows 缓存只能影响相关本机缓存，不能同时清空浏览器和代理端的所有解析结果。
# 检查系统解析路径，不能替代内核 DNS 检查
Resolve-DnsName example.com
# 通过 SOCKS 让代理侧处理目标域名
curl.exe --noproxy "" --proxy socks5h://127.0.0.1:10808 --connect-timeout 10 --max-time 20 -I https://example.com/
# 对照：由本机解析目标域名，再通过 SOCKS 连接
curl.exe --noproxy "" --proxy socks5://127.0.0.1:10808 --connect-timeout 10 --max-time 20 -I https://example.com/
# 修改相关设置后，按需清理 Windows DNS 缓存
ipconfig /flushdns上面两条 SOCKS 命令要求端口支持 SOCKS。socks5h 将目标域名交给代理侧处理，socks5 由本机先解析；前者成功、后者失败时，应优先调查本机解析路径。但两条命令也可能因域名与 IP 匹配到不同路由而产生差异，因此还需结合日志确认，不能只凭一次结果下结论。
报错：Could not resolve host
原因：curl 当前使用的解析路径无法得到目标地址；这条报错本身不能说明节点协议有问题。
解法：先执行系统解析查询，再对照两种 SOCKS 测试，定位失败的是本机还是代理侧解析。
报错：no such host
原因：日志中对应的域名未能解析，可能是节点服务器域名，也可能是目标网站域名。
解法：先查看错误附近的完整域名，再检查节点地址拼写及实际使用的 DNS 配置；不要直接把域名替换成临时查询得到的 IP。
若仅浏览器失败，可在浏览器设置中搜索「安全 DNS」，记录原值后临时关闭该功能进行对照。若节点域名解析失败，应先修复建立代理所依赖的基础解析路径，避免让这次解析依赖尚未建立的代理连接。
六、系统时间与节点：排除握手和服务端故障
系统日期严重错误会影响 TLS 证书有效期判断，部分协议认证也与时间有关。Windows 时间设置中显示的时区名称不是唯一判断依据，关键是系统实际时刻是否准确。先同步时间，再处理证书错误，不要用跳过证书验证代替修复。
-
同步系统时间
进入 Windows「设置」→「时间和语言」→「日期和时间」，开启「自动设置时间」，核对时区后点击「立即同步」。同步失败时先检查基础网络与时间服务。
-
核对节点字段
打开当前节点编辑窗口，对照服务方配置检查服务器地址、端口、用户标识、传输类型、TLS 服务器名称，以及所用协议要求的参数。不要把不同节点字段拼接使用。
-
对照另一节点
保持系统代理、路由和 DNS 不变，只换同一订阅中另一条已知可用节点。若只有原节点失败，再查看服务方的到期时间、可用流量与线路状态。
-
切换接入网络
仍无法区分时，用手机热点对同一节点和同一目标再测一次。不同网络结果明显不同时，检查当前网络的接入限制、门户认证或链路问题。
报错：x509: certificate has expired or is not yet valid
原因：本机时间不准确，或对端提供的证书确实不在有效期内。
解法：同步系统时间后重试；仍出现时核对节点 TLS 名称，并由服务方检查证书部署。
报错：i/o timeout
原因：某个网络操作在时限内未完成，可能发生于连接、握手或读取响应阶段。
解法：结合错误前后的目标地址确定阶段，再做换节点与换网络对照，不要把超时直接等同于 DNS 失败。
如果使用 VLESS 与 REALITY，客户端所选内核必须支持相应配置，并正确填写服务方给出的公钥、服务器名称和短标识等字段。不要仅因同属 V2Ray 生态就假定不同内核支持完全一致。TCP 端口可达也不代表这些握手参数正确。
判断：只换节点就恢复，保留本地设置
相同入口和目标下，替换节点后能稳定获得响应，应先保留现有本地配置，集中核查原节点参数、服务状态与线路，不再同时改端口和 DNS。
七、常见追问与恢复检查
节点有 80ms 延迟，为什么网页还是打不开？
80ms 只是一个延迟读数示例，不是完整网页可用性的证明。先确认所用测试是 TCP 延迟还是真连接测试，再用显式代理访问当前失败的网站，同时观察内核日志有没有收到请求。
退出 v2rayN 后，普通网页也打不开了？
可能是系统还保留着指向本地端口的代理。重新运行客户端，在「系统代理」中选择「清除系统代理」；也可进入 Windows「网络和 Internet」→「代理」，关闭残留的手动代理，再验证直连。
只有一个网站打不开，要重装客户端吗？
先用同一节点访问另一个 HTTPS 网站，再检查该域名的路由命中、解析结果和返回状态。如果得到 403 或 429，说明已有 HTTP 响应，应进一步检查站点访问策略或限流，而不是先重装。
打开 TUN 就恢复，系统代理还有必要修吗？
两种入口路径不同，TUN 可用并不能证明系统代理配置正确。若日常使用系统代理，就暂停 TUN 后重做端口和显式代理测试；若决定使用 TUN，也应避免与其他流量接管程序同时生效。
排查结束后恢复临时修改的路由、浏览器 DNS 和日志级别，删除不再需要的测试设置。如果仍未解决，整理客户端与内核版本、故障发生时间、代理入口端口、测试目标以及脱敏后的错误片段。分享截图前遮住订阅地址、节点凭据和个人网络信息；这些资料比一句“显示已连接”更有助于定位问题。