适合 v2rayN 桌面端以及 v2rayNG、v2flyNG 安卓端出现“已经启动，浏览器却无法访问”的情况。先确认请求有没有进入客户端，再确认内核能否连接远端；每次只调整一项，并用相同网址复测。下面给出系统菜单、端口检查命令、DNS 对照方法和日志判断依据，不把连接图标或单次延迟测试当成网页可用的证明。
一、区分连接状态与网页请求
“已连接”在不同客户端里可能表示本地内核已启动，也可能表示安卓 VPN 接口已建立。它不等于远端节点已完成认证，更不等于网页需要的 DNS、TCP 和 TLS 都正常。延迟测试也可能只检查某一地址或某一种连接，不能覆盖所有网站。
先保留当前配置，记录故障发生时间、当前节点、接入方式和失败网址。关闭自动切换节点，避免两次测试实际走了不同出口。不要同时更换 DNS、订阅和内核，否则即使恢复，也无法判断是哪一项起作用。
- 所有网页都失败：优先检查基础网络、本地监听和流量接入状态。
- 只有部分域名失败：优先比较 DNS、路由命中和目标站点状态。
- 浏览器失败，其他应用正常：核对浏览器代理扩展、独立代理与安全 DNS 设置。
- Wi-Fi 正常，移动网络失败：保持节点不变再测试，记录网络差异，不直接认定订阅失效。
二、系统代理与 VPN 接入检查
v2rayN 的系统代理主要让遵循系统代理设置的应用把请求交给本地端口；TUN 则通过虚拟网络接口接入流量。普通浏览器排查可以先只用系统代理，减少变量。已经使用 TUN 的场景，应先保存原设置，再切换接入方式进行对照。
-
确认当前节点
在 v2rayN 主界面确认选中的服务器是准备测试的配置，查看日志是否出现内核退出。选中列表行与实际启用配置可能不是同一个操作，应以当前活动配置及日志为准。
-
设置系统代理
在 v2rayN 托盘菜单「系统代理」中选择「自动配置系统代理」。不同界面版本措辞可能略有区别，目标是把系统代理指向正在监听的本地地址，而不是只启动主窗口。
-
核对系统地址
Windows 11 打开「设置」→「网络和 Internet」→「代理」→「手动设置代理」，核对地址与端口。若客户端采用自动配置脚本，则检查相应的脚本设置，不要再叠加一份手动代理。
-
排除浏览器覆盖
暂时停用修改代理的浏览器扩展，关闭浏览器后重新打开。Firefox 可在「设置」→「常规」→「网络设置」→「设置」中核对是否使用系统代理设置。
-
检查安卓接入
使用 v2rayNG 或 v2flyNG 时，启动配置并确认已授权 VPN 连接。若启用按应用代理，确认浏览器属于接管范围；同时检查是否有另一个应用占用 VPN 连接。
安卓上的 VPN 图标只说明接口存在。若客户端被系统后台限制，接口或界面状态可能不能反映实际转发情况。保持应用前台，用同一网址重试，并观察是否新增连接日志；后台运行权限可在系统「设置」→「应用」→对应客户端的电池管理页面检查，具体名称依设备系统而异。
三、本地端口是否真的在监听
代理地址正确但端口没有监听，浏览器仍然无法连接。下面统一以本地 SOCKS 入站 127.0.0.1:10808 演示。该端口只是测试示例，不是要求所有版本都采用同一默认值；先从客户端当前入站设置或启动日志读取实际端口，再替换命令中的数字。
在 Windows PowerShell 中执行以下命令。第一行列出 TCP 监听与连接，第二行仅检查本地 TCP 连接能否建立。看到 LISTENING 后还要核对最后一列 PID，确认监听者是预期内核，而不是另一个进程。
netstat -ano | findstr ":10808"
Test-NetConnection -ComputerName 127.0.0.1 -Port 10808- 没有监听记录：查看内核启动日志，检查配置是否加载成功，不要反复切换浏览器代理。
- 监听属于其他进程：在任务管理器「详细信息」中按 PID 查找。确认用途后关闭冲突程序，或修改客户端入站端口并同步系统设置。
- 本地 TCP 测试成功：只证明端口接受连接，尚不能证明 SOCKS 协商或远端出口正常。
接着用明确指定代理的请求绕过系统代理设置。Windows 使用 curl.exe，避免命令别名造成参数差异；macOS、Linux 可使用系统中可用的 curl。下面命令要求该端口支持 SOCKS5，不能拿只支持 HTTP 的入站端口替代。
curl.exe --noproxy "" --proxy socks5h://127.0.0.1:10808 --connect-timeout 10 --max-time 20 -I https://example.com/判断：显式代理成功后再查浏览器
如果该命令收到 HTTP 响应而浏览器仍失败，下一步优先检查浏览器代理覆盖和系统代理地址。即使返回 403 或 405，也说明已收到 HTTP 层响应，不应再把它归类为“本地端口未监听”。
四、DNS 解析在哪一段失败
DNS 至少涉及两类地址：节点服务器的域名，以及网页目标的域名。前者解析失败，客户端无法找到远端服务器；后者解析失败，则可能表现为部分网页不可用。不要仅凭浏览器显示“找不到服务器”，就认定需要更换系统 DNS。
先执行本地解析，再做两次 SOCKS 对照。socks5:// 通常由 curl 在本地解析目标域名，socks5h:// 则把目标域名交给代理处理；后者最终使用哪一个解析器，取决于内核 DNS 与路由配置，不一定直接使用远端服务器的系统 DNS。
nslookup example.com
curl.exe --noproxy "" --proxy socks5://127.0.0.1:10808 --connect-timeout 10 --max-time 20 -I https://example.com/
curl.exe --noproxy "" --proxy socks5h://127.0.0.1:10808 --connect-timeout 10 --max-time 20 -I https://example.com/- 本地解析失败，socks5h 成功：优先检查本机解析链路。Windows 修改解析设置后可执行
ipconfig /flushdns，但清缓存不能修复不可达的 DNS 服务。 - 两种代理请求均超时：继续查路由和远端连接，不要只围绕 DNS 调整。
- 系统解析正常，浏览器单独失败：检查浏览器安全 DNS。它可能使用独立解析链路，与系统查询结果不同。
- 日志指向节点域名：用
nslookup后接实际节点域名检查。不要把节点域名和正在访问的网站域名混为一谈。
五、路由分流与节点可用性
如果本地端口和 DNS 都能工作，就查看失败请求匹配了哪个出站。V2Ray/Xray 路由通常按规则顺序匹配，优先命中的规则决定流向；过宽的直连、阻断规则或应用排除项，可能让请求完全绕开预期代理。
- 记录当前路由模式及自定义规则，保留可恢复的副本。查看客户端提供的连接或访问日志，确认测试域名是否进入内核。
- 临时切换到客户端提供的全局代理路由模式，用同一域名重试。这里是改变内核出站选择，不是再次打开系统代理开关。
- 若全局模式成功、分流模式失败，恢复原模式后检查该域名的规则顺序、直连出站及域名/IP 匹配条件。
- 若全局模式仍失败，保持其他设置不变，换到另一个已知可用配置对照。只有某个配置失败时，再检查它的服务器地址、端口、认证信息与有效期。
VMess、VLESS 是协议类型，不是接入开关。配置要求的传输方式、TLS、SNI 或 REALITY 参数必须与服务端一致，不能通过随意改协议“修复”。v2rayNG 使用 Xray 内核，v2flyNG 使用 V2Fly 内核；订阅能够导入，并不代表其中所有参数都被当前内核支持。需要选型时可查看客户端选型指南。
订阅更新成功只证明订阅内容可以取得，不代表里面每条配置当前都能访问。节点 TCP 端口可连接，也不等于协议认证成功。测试时先固定一个节点，确认完整 HTTPS 请求能返回，再恢复自动选择或复杂分流。
六、日志报错与下一步动作
在触发一次失败请求后，按时间查看最先出现的相关错误。下列是常见错误片段，不同内核可能附带地址、端口或更深层原因；不能只凭最后一行统一归咎于节点。分享日志前，应移除订阅链接、认证字段和个人网络信息。
报错：connection refused
原因：目标端口拒绝连接，可能发生在本地代理端口，也可能发生在远端服务器端口。
解法：先看错误里的地址；若为 127.0.0.1，查本地监听；若为节点地址，核对服务端端口及服务状态。
报错：no such host
原因：某个域名未能解析，具体对象要从同一行或相邻日志确定。
解法：先检查域名拼写，再区分节点域名与网页域名，按上一节方法验证对应解析链路。
报错：context deadline exceeded
原因：操作超过等待时限，可能涉及 DNS、远端连接或握手等待，并非单一故障结论。
解法：结合之前的日志确定卡在哪一步，再用同节点换网络或同网络换节点做单变量对照。
报错：address already in use
原因：内核准备绑定的本地地址和端口已被占用，导致相关入站无法启动。
解法：用端口命令定位 PID，处理冲突后重启内核，并再次确认系统代理指向新的实际端口。
如果出现证书过期、证书主机名不匹配或握手失败，先检查系统日期、时间与时区，再核对订阅提供的 TLS 参数。不要把跳过证书验证当作常规修复。恢复后应关闭临时详细日志，避免不必要地持续记录访问细节。
七、恢复访问后的常见问题
为什么测速有结果，网页还是超时？
测速可能只验证指定地址的连接。用本文的显式代理命令检查实际 HTTPS 请求，再比较浏览器与命令结果；只有浏览器失败时，优先排查其独立代理和安全 DNS。
开启 TUN 就能解决所有应用不联网吗？
不能。TUN 改变流量接入方式，不会自动修正失效节点或错误认证。先在系统代理模式验证出口；确实需要接管不遵循系统代理的应用时，再按客户端要求启用 TUN 并检查权限、路由与 DNS。
关闭客户端以后，浏览器反而也打不开了？
检查是否残留指向本地端口的系统代理。在 Windows「设置」→「网络和 Internet」→「代理」中撤销该手动代理，或先重新打开 v2rayN，再通过「系统代理」→「清除系统代理」退出。
排查结束后要保留哪些改动？
只保留经过对照确认有效的修改。恢复临时全局路由，关闭调试日志，确认浏览器代理方式与当前接入方式一致。记录修复项、测试网址及时间，后续复发时先检查同一位置。
仍无法定位时，整理客户端名称、内核类型、接入模式、脱敏日志以及“显式代理是否成功”这几项信息。它们比单独一张已连接截图更能说明故障边界。基础配置可继续查阅安装配置教程，相关概念见术语表。