适用于 v2rayN 节点测试超时、浏览器无法打开网页，以及 v2rayNG 已连接却不能访问的情况。先确认测试请求经过客户端，再检查时间、本地监听、服务器端口和握手参数。每次只改一项，用同一目标复测，避免把系统代理问题误判为节点故障。
1. 先分清超时发生在哪一层
界面显示“超时”只是结果，不是原因。一次访问可能经过应用代理设置、本地入站、域名解析、远端连接和协议握手。前一层没有完成，后面的 TLS 参数再正确也不能解决问题。先记录失败时间、节点使用的协议、服务器端口，以及当时启用的是系统代理还是 TUN 模式。
v2rayN 是桌面客户端，具体连接由所选内核执行；v2rayNG 使用 Xray 内核，v2flyNG 使用 v2fly 内核。协议名称、客户端名称和内核名称不是同一层概念。排错时应记录实际使用的内核及版本，而不是只写“V2Ray 不能用”。
- 仅浏览器失败：先检查浏览器代理扩展、系统代理和分流规则，不要直接重装客户端。
- 同一节点在所有应用中失败：检查客户端日志，再沿本地端口、远端地址和握手向外排查。
- 只有延迟测试失败：确认测试类型与测试网址；测试目标不可达，也会使可用节点显示超时。
- 订阅无法更新：这是订阅地址的访问问题，不能直接证明已导入节点全部失效。
2. 校准系统时间，再重试握手
系统日期、时间或时区配置异常，可能影响证书有效期判断，也可能影响 VMess 的时间相关认证。VLESS 本身不采用 VMess 的同类时间认证，但启用 TLS 时仍要校验服务器证书。不能因为节点协议换成 VLESS，就跳过系统时间检查。
-
核对日期时间
Windows 11 打开「设置」→「时间和语言」→「日期和时间」，检查年月日与当前时间，开启「自动设置时间」。时区应与所在地区一致，避免凭任务栏显示的小时数判断系统时间是否正确。
-
执行同步
在同一页面点击「立即同步」。如果失败，检查当前网络是否允许访问时间服务。休眠唤醒、虚拟机恢复快照或主板电池异常后，也应重新确认时间。
-
查看同步状态
打开 PowerShell，运行下面的查询命令，查看时间源和上次成功同步时间。需要重新同步时，以管理员身份运行第二条命令；若服务未启动或没有可用时间数据，应先处理对应提示。
-
重新发起请求
时间修正后，停止再启动客户端连接，用原来的节点和测试目标复测。Android 可在系统设置中搜索“日期和时间”，开启自动时间；具体入口随设备系统变化。
w32tm /query /status
w32tm /resync3. 检查本地端口是否真正监听
启用了系统代理，不代表内核已经启动成功。如果系统代理指向一个无人监听的端口，浏览器通常立即报连接失败；若另一个进程占用了该端口，客户端也可能无法建立入站。先在 v2rayN「设置」→「参数设置」中确认本地监听端口和入站类型，菜单名称随版本可能调整，以当前界面的设置项为准。
下面以本地端口 10808 为例。第一条命令查看监听进程编号，第二条查看对应进程。若客户端配置的是其他端口，请同时修改命令中的数字；没有输出通常表示未发现该端口的 TCP 监听。
Get-NetTCPConnection -State Listen -LocalPort 10808 -ErrorAction SilentlyContinue |
Select-Object LocalAddress, LocalPort, OwningProcess
Get-NetTCPConnection -State Listen -LocalPort 10808 -ErrorAction SilentlyContinue |
ForEach-Object { Get-Process -Id $_.OwningProcess }报错：Only one usage of each socket address (protocol/network address/port) is normally permitted.
原因：常见于 Windows 本地端口被其他进程或重复启动的客户端占用。
解法：先核对日志中的绑定地址和端口，再退出确认无用的重复进程，或更换本地监听端口，并同步更新应用代理设置。
判断：先确认监听，再调整系统代理
本地端口没有监听时，先处理内核启动日志；已经监听且进程正确时，再核对应用使用的是 HTTP、SOCKS 还是混合入站。不要把 HTTP 代理指向只接受 SOCKS 的端口。
4. 分开测试 DNS 与服务器端口
本地监听正常后，再检查节点的服务器地址。服务器地址负责建立连接，TLS 的 SNI 负责握手中的服务器名称，两者可以不同。应从节点编辑窗口读取服务器地址，不能把订阅地址或 WebSocket 路径拿来测试。
以下命令在 Windows PowerShell 中运行。按提示输入自己的服务器主机名或 IP，以及节点配置中的远端端口。输入只在本地用于诊断；不要把包含个人节点信息的完整输出发到公开页面。
$server = Read-Host "输入节点的服务器主机名或 IP"
$port = [int](Read-Host "输入节点的远端端口")
Resolve-DnsName -Name $server
Test-NetConnection -ComputerName $server -Port $port -InformationLevel Detailed- 域名解析失败：核对拼写、订阅是否更新，以及当前 DNS 是否可用。输入为 IP 时，重点看后续端口连接结果，不以域名查询结果判断节点健康。
TcpTestSucceeded : False：继续检查服务器是否在线、端口是否正确、远端防火墙是否放行，以及当前网络是否限制该连接。TcpTestSucceeded : True：仅证明该次 TCP 连接成功，不证明 UUID、传输方式、TLS 或代理出站可用。- 域名同时有 IPv4 和 IPv6：查看实际连接的
RemoteAddress。某个地址族的路由异常，可能造成间歇性超时；只在确认差异后调整地址选择策略。
5. 按 TLS、传输、认证顺序核对
远端 TCP 端口可达，但仍然无法代理时，开始核对握手参数。不要凭“都是 443 端口”推断配置相同：同一个端口可以承载不同服务，反向代理还会根据名称、路径或服务名转发流量。
| 检查层 | 具体字段 | 常见误区与处理 |
|---|---|---|
| TLS | 安全类型、SNI、证书名称 | SNI 应按服务端配置填写；证书覆盖的名称与服务器 IP 不一定相同，不能随意互换。 |
| 传输 | TCP、WebSocket、gRPC | 客户端与服务端必须匹配；切换传输方式不是通用的超时修复方法。 |
| WebSocket | Host、路径 | 路径开头的斜杠、大小写与后缀都可能影响反向代理路由；Host 不应直接等同于 SNI。 |
| gRPC | serviceName、ALPN | 服务名应与服务端一致；采用基于 TLS 的 HTTP/2 时，服务端需正确协商 h2。 |
| 协议认证 | UUID、密码、flow | 按实际协议核对身份字段；VLESS 的 flow 需要客户端和服务端配置一致。 |
| REALITY | 公钥、shortId、serverName | REALITY 有独立握手参数，不能只按普通 TLS 证书问题处理。 |
如果节点来自订阅，先保存当前配置，再更新对应订阅，比较变化。手工修改的节点可能被下次更新覆盖，应记录修改项。不要在同一次测试中同时改 SNI、传输方式和服务器地址，否则即使恢复，也无法知道真正原因。
报错：x509: certificate has expired or is not yet valid
原因：本机时间错误，或服务器证书不在有效期内。
解法：先校准本机时间，再让服务端维护者核对证书有效期与证书部署情况。
报错：remote error: tls: handshake failure
原因：对端拒绝 TLS 握手，可能涉及 SNI、协议协商或服务端配置；这条日志本身不能确定唯一原因。
解法：逐项对照 TLS 字段，并结合相同时间点的服务端日志确认拒绝原因。
报错：websocket: bad handshake
原因：未获得预期的 WebSocket 升级响应，常见于路径、Host 或反向代理转发配置不匹配。
解法：核对节点的 WebSocket 字段，再检查服务端升级请求是否转发到正确入站。
6. 用固定请求验证代理链路
参数核对后，用一个固定目标发起请求。以下命令适用于已确认 10808 接受 SOCKS 的本地入站；若端口不同，请按实际配置替换。socks5-hostname 会把目标主机名交给代理处理，避免把本机对目标网站的解析问题混入这次测试。
curl.exe --proxy socks5-hostname://127.0.0.1:10808 --connect-timeout 10 --max-time 20 --head https://example.com/这里的 10 秒与 20 秒是诊断命令设置的连接及总时限，不是节点性能标准。收到正常的 HTTP 响应头，说明这次请求已经经过本地 SOCKS 入站完成访问；返回非成功状态码也不必然代表代理失败，应结合响应内容判断。若失败，立即查看同一时间的内核日志。
- 本地 curl 成功、浏览器失败：检查浏览器扩展是否覆盖系统代理，以及系统代理地址和端口是否正确。
- 浏览器成功、终端失败：终端程序未必读取系统代理；先用显式代理参数测试，再检查环境变量。
- v2rayNG 已连接、应用失败：检查 Android 的 VPN 授权、分应用代理名单，以及是否存在另一个 VPN 连接。
- 只有部分域名失败：检查分流命中、目标 DNS 和目标站点状态，避免把规则造成的直连失败当成整个节点超时。
启用了 TUN 或复杂路由时，请同时确认测试请求实际走哪条出站。显式指定本地代理可以排除应用是否读取系统代理的差异，但不会自动绕过客户端内部的分流规则。需要理解规则优先级时，可查看路由分流说明。
7. 交叉验证后，再判断远端故障
若本地监听、系统时间、远端地址和握手配置都已核对，最后做小范围交叉验证。保持同一设备和节点，换一个允许使用的网络；再保持同一网络，测试另一个已知可用的节点。只改变一个条件，结果才有解释价值。
报错：i/o timeout
原因：某次读写没有在规定时间内完成，可能发生在连接、握手或传输阶段，必须结合前后日志确定位置。
解法：先确认日志中的目标地址属于远端节点还是最终网站，再对相应一层做端口测试或交叉验证。
报错：connection refused
原因：目标端口没有监听，或连接被主动拒绝；它与长时间无响应的超时不同。
解法：核对被拒绝的是本地入站还是远端端口，分别检查内核启动状态或服务端监听与防火墙策略。
判断：把问题缩小到可复现的一层
同一节点换网络后恢复，优先检查原网络路径；同一网络只有一个节点失败，优先核对该节点配置和远端状态。两种结果都只是定位线索，应结合日志确认，不宜直接归因为限速或封锁。
- 记录环境：操作系统、客户端版本、实际内核及版本、系统代理或 TUN 模式。
- 记录现象：失败时间、测试方式、是否所有应用都失败，以及最近修改过的配置项。
- 提交必要日志：保留失败前后几行，并遮盖订阅令牌、UUID、密码及个人服务器信息。
- 恢复诊断设置：排查完成后恢复正常日志级别，撤销临时代理变量，删除不再需要的测试规则。
仍无法定位时，可按疑难解答中的排查入口继续检查。先拿到“哪一层、什么错误、怎样复现”这三项信息，比反复更新订阅、切换内核或重装客户端更有助于修复。