系统代理已开启却不生效：浏览器与终端的分开排查步骤

先把“不生效”拆成三个范围

v2rayN 是管理配置与内核的桌面客户端，Xray 等代理内核负责处理实际连接，Windows 系统代理则只是向部分应用公布一个本地代理地址。开启系统代理不等于把所有网络连接强制送进内核，更不代表路由规则一定会选择代理出口。

第一层是本地监听。客户端启动内核后，通常会在回环地址上监听 HTTP、SOCKS 或混合代理端口。只有监听真实存在，浏览器和终端才有可连接的入口。第二层是应用接入：应用是否读取 Windows 系统代理，或者是否使用自己单独保存的代理设置。第三层才是路由与出站：连接进入内核后，由配置中的域名、IP、协议及规则决定直连、代理或阻断。

因此，“浏览器能用，PowerShell 不能用”往往不是节点突然失效，而是两者的接入方式不同；“浏览器显示代理连接失败”则应先检查本地端口，而不是先修改 VLESS、VMess 或 TLS 参数。按层排查可以避免把入口问题误判为服务器问题。

第一步确认内核与本地监听

先在 v2rayN 中选中一个配置并启动内核，再查看主界面或日志区域是否出现启动失败、端口占用、配置解析错误。订阅只是配置来源；成功更新订阅不代表内核已经运行，也不代表系统代理已经指向正确端口。

接着打开「设置」→「参数设置」，记录当前 HTTP 与 SOCKS 监听端口。若版本界面采用统一的混合端口，也应记录界面实际值。监听地址通常应为 127.0.0.1，它只接受本机连接；除非明确需要局域网接入，不要为了排错随意改成面向所有网卡的地址。

1. 记录端口

   进入 v2rayN「设置」→「参数设置」，抄下 HTTP、SOCKS 或混合监听端口，不要根据旧教程猜测数值。

2. 检查进程

   启动选中的配置，确认客户端没有连续弹出内核退出提示，并在日志中定位第一条错误而不是只看最后一行。

3. 查询监听

   在 PowerShell 中运行 Get-NetTCPConnection，确认目标端口处于 Listen 状态，并记录对应进程标识。

4. 测试入口

   使用 Test-NetConnection 测试回环地址与 HTTP 端口；若 TCP 测试失败，先处理监听问题。

Get-NetTCPConnection -State Listen |
  Where-Object { $_.LocalPort -in 10808, 10809 } |
  Select-Object LocalAddress, LocalPort, OwningProcess

Test-NetConnection 127.0.0.1 -Port 10809

TcpTestSucceeded 为 True 只能证明端口接受 TCP 连接，不能单独证明节点协议、服务器地址或路由规则正确。下一步仍需通过明确指定代理的请求验证完整链路。若查询结果中没有目标端口，返回 v2rayN 日志处理内核启动问题；若端口被其他进程占用，可用 Get-Process -Id 进程标识 确认程序来源。

浏览器按“跟随系统”与“独立设置”分开查

多数基于系统网络设置工作的桌面浏览器会读取 Windows 代理，但浏览器扩展、企业策略、启动参数或浏览器自己的网络设置可能覆盖这一行为。排查时先只保留一种控制来源：要么跟随 Windows 系统代理，要么在浏览器中明确指定本地代理，不要让扩展和系统设置同时改写出口。

在 v2rayN 托盘菜单中选择系统代理相关选项时，应确认采用的是与当前需求一致的模式，例如自动配置系统代理。随后打开 Windows 的「设置」→「网络和 Internet」→「代理」，查看手动代理或自动配置脚本是否反映了当前客户端设置。不同 v2rayN 模式可能通过不同方式写入系统设置，因此不要同时手工覆盖地址。

若只有一个浏览器异常，可先新建临时浏览器配置或停用负责代理切换的扩展，再重新测试。隐私窗口通常不会绕过系统代理，所以它更适合排除缓存和登录状态，不适合证明代理入口已经恢复。浏览器中的安全 DNS 负责域名解析，并不等同于 HTTP 或 SOCKS 代理。

1. 统一来源

   暂时停用浏览器内负责代理切换的扩展，删除测试用启动参数，只保留 Windows 系统代理这一条控制路径。

2. 核对系统

   打开 Windows「设置」→「网络和 Internet」→「代理」，检查地址、端口或自动配置状态是否与 v2rayN 当前模式对应。

3. 重启浏览器

   完全退出所有浏览器进程后重新打开，避免旧进程继续使用启动时读取的代理配置。

4. 逐个对照

   先测试一个普通 HTTPS 页面，再测试原先失败的域名；若只有后者失败，转查路由、DNS、SNI 与服务器配置。

终端程序要显式设置代理环境

PowerShell、命令行下载工具、包管理器和开发工具不一定读取 Windows 系统代理。有些程序只识别大写环境变量，有些同时识别大小写变量，还有些要求在自己的配置文件中指定代理。系统代理已开启而终端仍直连，在这一类程序中属于常见现象。

先使用 curl.exe 的 --proxy 参数做一次显式测试。这样可以绕过“工具是否读取系统设置”的不确定性，直接验证本地入口到目标站点的完整请求。HTTP 端口示例为 10809；SOCKS 端口示例为 10808，实际测试前仍须替换成 v2rayN 当前值。

curl.exe --proxy http://127.0.0.1:10809 https://example.com/ --max-time 10

curl.exe --proxy socks5h://127.0.0.1:10808 https://example.com/ --max-time 10

socks5h 中的字母 h 表示让代理侧处理目标主机名，适合对照本机 DNS 与代理侧解析差异。如果 HTTP 与 SOCKS 测试都成功，而不带 --proxy 的命令失败或走直连，问题就在终端接入方式，不应继续更换订阅配置。

需要让当前 PowerShell 会话中的多个工具尝试使用代理时，可以临时设置环境变量。会话关闭后这些变量会消失，适合排查；写入用户级或系统级环境前，应先确认相关工具支持该变量以及它对内网地址的影响。

$env:HTTP_PROXY = "http://127.0.0.1:10809"
$env:HTTPS_PROXY = "http://127.0.0.1:10809"
$env:ALL_PROXY = "socks5h://127.0.0.1:10808"
$env:NO_PROXY = "localhost,127.0.0.1"

Get-ChildItem Env:HTTP_PROXY, Env:HTTPS_PROXY, Env:ALL_PROXY, Env:NO_PROXY

接入成功后再检查路由与 DNS

当显式代理请求能到达内核，但特定网站仍失败时，排查重点才从“应用有没有接入”转向“内核如何处理”。v2rayN 管理的路由规则可能按域名、IP 或协议选择直连与代理。VLESS、VMess 是节点协议配置的一部分，它们不会决定终端是否读取 Windows 系统代理。

查看日志时应对应同一次测试请求：先清楚记录测试时间，再发起单个请求，观察是否出现目标域名、匹配规则和出站错误。如果日志完全没有这次请求，说明流量尚未进入内核；如果日志存在请求且明确选择直连，则检查路由规则；如果选择代理后出现解析或握手错误，再处理节点参数和 DNS。

• 订阅更新只负责取得配置列表，不能证明其中每个配置当前都可建立连接。
• 系统代理决定一部分应用如何找到本地入口，路由分流决定进入内核后的流量走向。
• 本机 DNS 先解析与代理侧解析可能得到不同结果，使用 SOCKS 测试时可对照 socks5 与 socks5h。
• 修改规则后应重新发起单一请求，并用新日志验证，不要同时改端口、DNS、节点和路由。

什么时候才需要考虑 TUN

TUN 适合需要覆盖不支持 HTTP 或 SOCKS 代理设置的应用，或者希望统一接管更多网络流量的场景。它通过虚拟网络接口改变流量接入方式，因此覆盖范围通常比系统代理更广，但同时涉及路由表、DNS、管理员权限和其他 VPN 类连接之间的协调。

如果问题只出现在一个支持代理参数的终端工具，优先配置该工具或使用环境变量，通常更容易观察和回退。如果多个应用完全不读取系统代理，并且逐个配置成本较高，再评估 TUN。不要把 TUN 当作本地端口未监听、节点握手失败或错误路由规则的替代修复。

按最小改动顺序完成复查

一次只改变一个条件，才能知道是哪一步恢复了连接。最稳妥的顺序是本地监听、显式代理测试、应用接入设置、路由与 DNS，最后才是 TUN。每一步都保留对应的端口、命令结果和日志时间，避免凭界面开关状态判断。

1. 在 v2rayN「设置」→「参数设置」记录当前监听地址和端口，确认内核已启动。
2. 用 Get-NetTCPConnection 与 Test-NetConnection 验证端口确实处于监听状态。
3. 用 curl.exe --proxy 分别测试 HTTP 或 SOCKS 入口，超时限制设为 10 秒。
4. 浏览器只保留一种代理控制来源，完全退出后重启，再对照其他浏览器。
5. 终端通过命令参数或临时环境变量接入，不假设它会自动读取 Windows 系统代理。
6. 确认请求已进入内核后，再按日志检查路由分流、DNS、节点协议与 TLS。
7. 只有在多个应用无法单独设置代理且确需扩大覆盖范围时，才配置并验证 TUN。