结论先说：设置代理后“没网”通常不是整条宽带断开，而是代理端点不可达、协议或端口填错、407鉴权失败、DNS解析位置不对，或系统把不支持代理的流量也送进了代理。先关闭刚添加的代理确认直连恢复，再用单个测试客户端逐层验证，避免在全系统代理开启状态下反复改参数。
本文更新于 2026 年 8 月 25 日，面向已获得网络与目标系统授权的开发、测试和企业接入场景。软件版本、平台规则与供应商能力会变化，上线前请核对官方文档，并在测试环境完成回归。
按现象快速定位故障层
| 现象 | 优先检查 | 常见原因 | 安全动作 |
|---|---|---|---|
| 所有网页都打不开 | 端点、端口、系统代理 | 地址填错或端点离线 | 关闭代理恢复直连 |
| 出现407 | 账号、密码、白名单 | 代理未接受凭据 | 核对鉴权说明 |
| HTTP能开HTTPS失败 | CONNECT、TLS、证书 | 协议不匹配或证书链问题 | 保留错误并核对CA |
| 域名失败IP可访问 | DNS与SOCKS5H | 解析位置或污染 | 分别测试本地和远端解析 |
| 浏览器正常其他应用失败 | 代理生效范围 | 应用不读系统代理 | 按应用官方方式配置 |
第一步先恢复可用网络，并保存原始错误
在Windows、macOS、iPhone或Android中关闭刚添加的手动代理，重新打开一个已知可用的网站。如果直连马上恢复，说明本地宽带和Wi-Fi大概率正常，问题集中在代理路径；如果直连仍失败，应先排查路由器、DNS或运营商，暂时不要继续改代理。
记录屏幕上的完整错误、状态码、发生时间、客户端和目标网址。不要只写“没网”。浏览器的ERR_PROXY_CONNECTION_FAILED、HTTP 407、连接超时、证书错误和DNS失败属于不同层，后续动作完全不同。
第二步只测代理端点：主机、端口、协议逐项核对
从供应商控制台重新复制代理主机和端口，确认没有把出口IP当成连接入口，也没有把HTTP端口填到SOCKS客户端。先用一个支持详细日志的客户端测试，不要同时开启系统代理、浏览器扩展和第三方网络工具。
连接超时通常表示端点不可达、防火墙阻断或端口错误；立即拒绝通常表示服务没有监听或访问策略不允许；连接成功后才进入鉴权和目标请求。若端点限定来源白名单，确认当前本地公网IP是否已登记，并考虑本地公网IP会变化。
第三步处理407：它是代理鉴权，不是目标网站登录
RFC 9110定义的407表示客户端没有向代理提供有效凭据，代理会通过Proxy-Authenticate说明挑战。检查用户名、密码、套餐状态、IP白名单和允许协议；含有@、冒号、#等字符的凭据放进URL时要正确编码。
不要把407当成目标网站的401或403。浏览器页面里登录业务账号不会修复代理407。也不要把真实凭据粘贴到公共测速站、截图、工单标题或命令历史；调试输出应保留状态码和代理主机，同时对用户名和密码脱敏。
第四步区分DNS、SOCKS5与HTTPS隧道
如果直接访问IP可以、访问域名失败，重点检查DNS。SOCKS5既可让客户端先解析域名，也可把域名交给代理端处理，许多工具用socks5h表示远端解析。两种模式的结果可能不同，应以客户端官方说明为准。
HTTPS目标通常通过HTTP代理的CONNECT方法建立隧道，并不意味着代理入口一定使用https://。证书错误要区分目标站证书、代理入口证书和企业TLS检查证书。不要长期关闭证书校验，因为这样会把可诊断问题变成中间人风险。
第五步控制代理范围，避免“全局一开全断”
系统代理通常只影响遵循系统设置的HTTP应用；游戏、邮件、Git SSH、部分命令行工具和UDP应用可能完全不读取。反过来，把内网、打印机、路由器管理页和健康检查也送进代理，会造成看似“全部没网”的连锁故障。
先让一个浏览器或curl命令通过代理成功，再按应用逐个扩展。使用NO_PROXY、绕过列表或PAC让localhost、内网域名和必要私网地址直连。完成后验证两组证据：外部出口是预期地址，内部服务仍然直连。若要回滚，只需关闭单客户端配置，而不是重置整台设备网络。
常见问题（FAQ）
设置代理后微信正常但网页打不开，说明什么？
可能只有遵循系统HTTP代理的应用受影响，底层网络未断。应检查代理端点、端口和浏览器错误。
407和403有什么区别？
407来自代理鉴权层；403通常来自目标网站或中间安全策略。要结合响应头和请求路径判断。
为什么SOCKS5能连上但域名打不开？
可能是DNS仍在本地解析且失败，或客户端不支持远端解析。可按官方说明测试SOCKS5H或等效选项。
关闭TLS证书校验能不能临时解决？
不建议。应先确认哪一段证书链失败并安装受信任CA或修正代理配置，长期关闭会带来安全风险。