Windows 11 节点连不上网怎么排查？按分层步骤定位
简答：先关闭代理客户端，确认 Windows 11 直连能否打开普通网站；直连也失败，优先查 Wi-Fi、网关、DNS 和系统代理。直连正常但节点失败，再区分单个节点、全部节点、订阅、TCP 端口、TLS 或客户端模式问题。最后才考虑网络重置或重装，并提前保存订阅、日志和配置。
定义：Windows 11 节点连接失败排查，是把本机网络、订阅数据、节点端口、DNS、TLS、系统代理和 TUN 虚拟网卡按故障阶段逐层分开的诊断过程。
先试这一步：关闭代理，判断是不是 Windows 11 本机网络问题
本文是缥缈墟的第三方使用参考，不是任何客户端或服务的官方页面。遇到“节点连不上网”“全部节点 Timeout”或“connect failed”，不要先反复换节点，先关闭客户端的系统代理和 TUN，使用浏览器直连访问一个平时能打开的普通网站。
| 直连测试结果 | 更可能的范围 | 下一步 |
|---|---|---|
| 直连也打不开网页 | Wi-Fi、网关、DHCP、DNS、驱动或 Windows 代理 | 执行 ipconfig、网关 ping、nslookup，先修复本机网络 |
| 直连正常，只有一个节点失败 | 单节点地址、端口、证书或线路问题 | 换同一订阅中的另一个节点，对照日志失败阶段 |
| 直连正常，全部节点失败 | 订阅、客户端核心、系统代理、TUN、时间或安全软件 | 先更新订阅并重启核心，再检查代理端口和冲突软件 |
| 订阅能更新，但节点都失败 | 订阅下载路径可用，不代表节点数据或节点端口可用 | 检查节点数量、地址端口是否变化，以及日志中的 dial、TLS 或认证错误 |
Microsoft 建议 Windows 11 用户先在“获取帮助”应用中运行网络和 Internet 疑难解答，并按 Wi-Fi、IP 地址、DNS、代理和网络重置的顺序检查。可参考 修复 Windows 中的网络连接问题。
第一层：用 Windows 11 命令确认 IP、网关和 DNS
打开“开始”菜单，搜索“命令提示符”，选择“以管理员身份运行”。先保存结果，不要一开始就重置网络。
- 查看网卡和地址：运行
ipconfig /all。找到正在使用的 Wi-Fi 或以太网适配器，记录 IPv4 地址、默认网关和 DNS 服务器。 - 判断 DHCP 是否正常：如果地址接近
169.254.x.x，通常说明 Windows 没有从路由器获得正常地址；先重新连接 Wi-Fi、重启路由器，必要时再运行ipconfig /release和ipconfig /renew。 - 测试网关：把下面的示例地址替换成你在
ipconfig中看到的默认网关：ping 192.168.1.1。如果网关都无法连通，问题还没有到节点层，先检查 Wi-Fi、网卡、路由器或驱动。 - 测试域名解析：运行
nslookup example.com。如果提示超时、找不到服务器或没有响应，优先检查 DNS 路径；如果能返回地址，DNS 至少完成了基本解析。 - 刷新本机缓存：确认已记录证据后，可运行
ipconfig /flushdns，重新打开浏览器或客户端测试。
这些命令分别用于查看地址、网关和 DNS 状态；Microsoft 的 Windows 网络排查文档也建议使用 ipconfig、网关 ping、释放和续订 IP，以及刷新 DNS 缓存。不要把能 ping 通网关误判为节点端口一定可用。
第二层：从日志判断是 DNS、TCP、TLS 还是认证失败
在客户端日志中找到一次完整失败记录，记录发生时间、节点名称和错误关键词。不要公开完整订阅链接、节点密码、UUID、Token 或带认证信息的日志。
| 日志关键词 | 通常表示的阶段 | 可执行处理 |
|---|---|---|
lookup、no such host | 域名解析阶段失败 | 先运行 nslookup 节点域名；检查 DNS、系统时间和订阅中的地址是否已变化 |
dial tcp、i/o timeout、connect failed | 尝试建立 TCP 连接时超时或被拒绝 | 用同一节点的主机和端口执行 Test-NetConnection；换另一个节点交叉验证 |
timeout、延迟全红 | 可能是目标端口无响应、网络路径受限或客户端等待超时 | 先区分单节点和全部节点；不要只依据一次测速下结论 |
TLS handshake、x509、证书错误 | 加密握手或证书校验阶段失败 | 校准日期、时间和时区，检查节点配置是否过期；不要直接关闭证书校验 |
authentication failed、401、403 | 认证信息、权限或服务端返回状态异常 | 重新更新订阅并核对账号状态；具体服务状态需以其公开说明为准，未核实的信息不要自行判断 |
TCP 端口测试不能证明 UDP 或 QUIC 一定可用，它只适合验证指定主机的 TCP 连接。Windows PowerShell 的 Test-NetConnection 文档说明了使用端口号测试远程主机连通性的方式。
第三层：测试节点主机和端口，不要只看客户端测速颜色
打开 PowerShell，使用节点配置中实际的主机名和端口替换示例值：
Test-NetConnection example.com -Port 443Test-NetConnection 203.0.113.10 -Port 443
重点看 TcpTestSucceeded：True 表示从当前 Windows 网络到该 TCP 端口完成了连接测试，不能代表认证、TLS、规则或网页访问一定成功；False 表示该 TCP 测试失败，原因可能是主机、端口、路径、防火墙或目标端未响应。
判断方法如下：
- 只有一个节点的端口测试失败：先换同一订阅中的其他节点，不要立即重置 Windows。
- 同一地区或同一组节点都失败：检查订阅是否更新、节点地址端口是否发生变化，并查看是否使用了错误的配置文件。
- 所有节点的端口测试都失败，但直连网页正常：检查客户端核心是否启动、系统时间是否正确、第三方安全软件是否拦截，以及本机是否有多个代理或 VPN 程序争用端口。
- 端口测试成功但客户端仍失败：继续看 TLS、认证、规则模式、代理入站端口或 TUN 日志；不要把端口开放等同于节点可用。
第四层：检查 Windows 11 系统代理、客户端端口和 TUN 冲突
进入“设置 → 网络和 Internet → 代理”，查看“手动代理设置”和自动配置脚本。排查期间可以暂时关闭不需要的手动代理，测试结束后再按原记录恢复。系统代理和客户端内部代理不是同一个开关：客户端显示“已连接”，不一定代表浏览器或目标应用正在使用它的本地端口。
在客户端设置页确认本地 HTTP、SOCKS 或 mixed 入站端口，以当前版本界面显示为准。可用下面的命令确认某个本地端口是否正在监听：
Get-NetTCPConnection -State Listen | Sort-Object LocalPortnetstat -ano | findstr LISTENING
如果知道端口号，可以进一步查占用进程，例如：
Get-NetTCPConnection -LocalPort 7890 -ErrorAction SilentlyContinuetasklist /FI "PID eq 1234"
把 7890 和 1234 替换为实际端口与 PID。若端口被其他程序占用，按客户端设置页改用未占用端口，或关闭冲突程序后重启客户端。TUN 模式还涉及虚拟网卡、路由、DNS 和驱动；如果关闭 TUN 后系统代理正常，问题范围就缩小到 TUN、虚拟网卡、路由或 DNS 接管，不要直接修改不确定的内核字段。
如果同时安装了多个代理客户端、VPN、虚拟机网络、容器网络或安全软件，建议一次只保留一个程序接管系统代理或 TUN，并记录关闭前后的结果。遇到 TUN 失效时，可参考站内的 Windows 11 TUN 模式分层排查；该页面只适用于对应客户端场景，不能据此推断其他客户端的菜单或字段。
第五层：低风险修复后，再考虑网络重置
建议按风险从低到高执行：重新选择节点 → 更新订阅 → 重启客户端核心 → 校准系统时间 → 暂停冲突的代理或安全软件 → 检查系统代理 → 检查虚拟网卡和驱动 → 最后再重置网络。
- 先保存证据：保存订阅来源页面、当前配置备份、失败时间、客户端日志和
ipconfig /all输出。订阅链接可能包含敏感 Token，保存和分享时应打码。 - 重置 Winsock 和 TCP/IP：只有在基础网络异常且已保留证据时，以管理员身份依次运行
netsh winsock reset、netsh int ip reset、ipconfig /flushdns，然后重启 Windows。 - 检查 WLAN 证据：如果 Wi-Fi 本身不稳定，运行
netsh wlan show interfaces和netsh wlan show wlanreport。Microsoft Learn 说明，WLAN 报告会汇总近期无线会话、断开原因、适配器信息和相关事件，可用于区分 Wi-Fi 故障与节点故障，详见 无线网络连接问题疑难解答。 - 最后使用网络重置：进入“设置 → 网络和 Internet → 高级网络设置 → 网络重置”。Microsoft 提醒，网络重置会删除已安装的网络适配器及其设置，使用 VPN、虚拟交换机或其他网络虚拟化软件时，之后可能需要重新安装或配置，因此不应作为第一步。
按场景快速归类：你应该先查哪里
| 现象 | 优先检查 | 暂时不要做 |
|---|---|---|
| 手机能用，Windows 11 不能用 | Windows 直连、系统代理、DNS、客户端核心、端口占用和安全软件 | 不要直接判断所有节点失效 |
| 浏览器直连能打开，客户端测速失败 | 客户端日志、节点端口、核心状态、系统时间和本地入站端口 | 不要只反复刷新测速 |
| 订阅更新成功，所有节点失败 | 订阅内容是否变化、节点地址端口、客户端核心、代理模式和 TUN | 不要把订阅下载成功等同于节点连接成功 |
| 只有一个节点失败 | 该节点的 DNS、TCP 端口、TLS 或认证阶段 | 不要先重置整个 Windows 网络 |
| 关闭客户端后普通网站也打不开 | 网关、DHCP、DNS、Wi-Fi 驱动和 Windows 代理 | 不要继续调整节点参数 |
如果还需要处理客户端层面的连接问题，可以继续阅读站内的 连接问题排查指南、VPN 配置问题分层排查 和 Windows 系统代理设置与回滚。选择与当前客户端和故障层级相符的页面，不要跨客户端照搬菜单名称。
常见误操作与版本差异提醒
- “系统代理已打开”不等于所有应用都会走代理；应用可能使用自己的代理设置、WinHTTP、QUIC 或独立 DNS。
netsh winhttp show proxy查看的是 WinHTTP 配置，不等于客户端的 HTTP、SOCKS 或 mixed 入站。Microsoft 的 netsh winhttp 文档说明了 WinHTTP 代理的查看和重置命令。- 不同客户端、内核和版本的 TUN 菜单、DNS 字段、服务模式和日志格式可能不同。本文不提供未经核实的通用配置字段；请以当前客户端设置页和对应项目文档为准。
- Windows 更新、网卡驱动、虚拟网卡和安全软件更新后，故障表现可能改变。记录故障发生时间和最近变更，比直接删除配置更有助于定位。
常见问题
Windows 11 节点全部 Timeout，是不是节点都失效了？
不能直接这样判断。先关闭客户端测试普通网站：如果直连也失败，优先查 Windows 本机网络；如果直连正常，再区分单节点、同组节点和全部节点，并结合 DNS、TCP、TLS 和认证日志判断。
订阅可以更新，但节点为什么仍然连不上？
订阅更新只说明下载订阅内容的请求完成，不代表每个节点的地址、端口、认证和 TLS 都能连接。请检查更新后的节点数量和地址端口，再对一个节点运行 Test-NetConnection，并查看客户端日志。
Test-NetConnection 显示 TcpTestSucceeded 为 True，就说明节点能用吗？
不说明全部链路都正常。它主要验证指定主机和 TCP 端口是否完成连接，不能证明认证、TLS、规则、UDP、QUIC 或网页访问一定成功。
Windows 11 浏览器能直连，但客户端测速全部失败怎么办？
先确认客户端核心正在运行，再检查节点主机和端口、系统时间、客户端本地入站端口、系统代理以及是否有其他程序占用端口。若关闭 TUN 后系统代理可用，问题范围通常应转向 TUN、虚拟网卡、路由或 DNS 接管。
什么时候可以使用 Windows 11 的网络重置？
应放在低风险检查之后。先保存订阅、配置、日志和网络信息，因为网络重置会删除网络适配器及其设置，之后可能需要重新配置代理、虚拟交换机或其他网络软件。