机场连接后部分应用无法联网？系统代理与 TUN 排查
浏览器能打开但 Discord、Steam、Telegram 或其他应用无法联网？从系统代理、TUN、规则、DNS 和 UDP 逐层排查。
先确认“部分应用无法联网”的边界
典型现象是浏览器可以打开网页，但桌面消息、游戏、终端、下载工具或某个 AI 应用提示无网络；也可能相反，某个 App 可用而浏览器失败。出现这种差异，通常说明机场节点并非完全不可用，问题更可能在应用是否读取系统代理、分流规则、DNS、UDP 或本地安全策略。
排查前记录四项信息：可用应用、不可用应用、当前模式、所选节点。然后保持节点不变逐项测试。不要同时切换节点、DNS、TUN 和规则，否则很难知道哪一步真正有效。
第一步：建立直连和代理对照
先关闭机场客户端或切到直连，确认原始网络可用。再开启同一个机场节点，用浏览器访问两个常用 HTTPS 网站。若浏览器也失败，应转到 机场无法连接和超时排查，不要继续纠结单个应用。
如果浏览器稳定、只有特定应用失败，可以继续下面的覆盖范围检查。这一判断很关键：它证明订阅、节点握手和基础系统代理大概率已工作。
原因一：应用不读取系统代理
普通系统代理主要影响遵循操作系统 HTTP/HTTPS 代理设置的软件。很多浏览器会自动读取，但游戏、命令行、独立更新器、部分消息或实时通信工具可能使用原生 Socket、UDP，或拥有自己的代理选项。
排查方法
- 查看目标应用的网络或代理设置；
- 如果支持“使用系统代理”，先启用该选项；
- 如果要求填写 HTTP 或 SOCKS 地址，使用客户端显示的本地监听地址与端口，不要照抄网上示例；
- 完全退出并重启目标应用，避免它保留旧连接；
- 检查应用自身是否有“直连”或“绕过代理”开关。
不要把机场订阅链接填进应用的代理服务器地址。订阅用于客户端获取机场节点，本地代理地址才用于同一台设备上的应用连接。
原因二：需要 TUN，但 TUN 不是第一步
TUN 模式通过虚拟网络接口接管更多 TCP/UDP 流量，能覆盖不读取系统代理的应用。但它需要额外权限，也可能与其他 VPN、虚拟机、容器、安全软件和单位网络策略冲突。
安全启用顺序
- 先确认系统代理下浏览器和节点正常；
- 退出其他 VPN 与代理客户端；
- 按当前客户端说明启用服务模式或网络扩展；
- 开启 TUN，只测试原来失败的应用；
- 若全机断网，立即关闭 TUN，回到已验证的系统代理；
- 记录错误摘要，再检查权限或驱动状态。
TUN 开启后成功，说明原应用大概率不读取系统代理；TUN 开启后仍失败，则继续检查规则、UDP 和应用服务本身。Windows 细节见 Windows 机场客户端指南，Mac 可参考 Mac 机场客户端配置指南。
原因三：分流规则把目标判为直连
规则模式会根据域名、IP、进程或规则集决定流量走代理还是直连。新域名、冷门服务、第三方登录与 CDN 可能被分到错误策略组，导致主页面能打开，但登录、图片、语音或更新失败。
用全局模式做短时对照
保持同一节点，把规则模式临时切到全局，再测试目标应用：
- 全局正常、规则失败：重点检查规则、代理组和域名分类；
- 全局仍失败：更可能是应用覆盖范围、节点协议、UDP、DNS 或目标服务；
- 直连也失败：可能是应用自身、账户或服务端故障。
完成测试后恢复规则模式。全局模式不是永久修复，它可能让不必要的国内流量也经过机场，增加延迟和套餐消耗。
原因四：DNS 解析路径不一致
浏览器可能使用安全 DNS 或自身缓存，而桌面应用使用系统 DNS，所以同一域名会得到不同结果。Hosts 残留、多个 DNS 工具并行或代理配置中的 DNS 规则冲突，也会造成“一个软件能用、另一个不能”。
排查方法
- 暂停其他安全 DNS、广告过滤和网络加速工具；
- 检查系统 Hosts 是否存在自己过去添加的相关条目；
- Windows 可在管理员命令环境中刷新 DNS 缓存；
- 重启目标应用，让它放弃旧解析结果；
- 使用规则与全局对照，判断 DNS 请求是否走不同路径。
不要为普通解析问题安装陌生根证书，也不要同时开启多套 Fake-IP、DoH 和系统 DNS 接管。先恢复最简单配置再逐项添加。
原因五：UDP、QUIC 或实时通信不可用
语音、视频通话、在线游戏和部分现代应用依赖 UDP。节点可以打开网页，并不代表 UDP 一定可用。某些网络会限制 UDP，某些机场线路也可能因维护或策略暂时不支持相应流量。
如何判断
- 文本消息正常，但语音和通话失败；
- 网站能打开，但游戏匹配或登录超时；
- 浏览器关闭 QUIC 后表现变化；
- 同一应用换另一个机场节点后恢复；
- 使用手机热点后恢复，说明当前网络路径值得检查。
选择两个不同地区节点和两种网络交叉测试，再向机场工单确认 UDP 支持情况。不要根据节点名称自行断言协议能力。
原因六：应用、账户或地区限制
目标服务可能正在维护，账户可能触发验证，应用版本可能需要更新，内容也可能有地区要求。只有一个网站或一个账户异常时，先查看其官方状态和登录提示，不要把所有问题归因于节点梯子。
地区限制场景中，节点地区、账户注册地区、支付资料和历史登录环境都可能参与判断。换一个地区节点只能作为测试，不能保证解决账户策略问题。
Windows 专项检查
- 系统代理是否指向当前客户端监听端口；
- 是否同时运行 Clash、v2rayN 或其他 VPN；
- 防火墙是否只拦截目标应用；
- TUN 虚拟网卡是否与虚拟机、容器网络冲突；
- 客户端异常退出后是否留下系统代理；
- 应用是否需要重启后才读取新代理设置。
若使用 Clash 节点，配置导入可参考 Clash 机场订阅教程。
Mac、Android 与 iOS 专项检查
Mac 上检查网络扩展权限和应用是否读取系统代理；Android 检查分应用代理名单、电池优化与唯一 VPN 通道；iOS 小火箭用户检查规则、所选节点以及 Wi-Fi/蜂窝数据差异。
对应教程：
四组测试矩阵
| 测试 | 浏览器 | 目标应用 | 结论方向 |
|---|---|---|---|
| 直连 | 成功/失败 | 成功/失败 | 基础网络与应用状态 |
| 系统代理 + 规则 | 成功/失败 | 成功/失败 | 应用是否读取系统代理 |
| 系统代理 + 全局 | 成功/失败 | 成功/失败 | 分流规则影响 |
| TUN + 规则 | 成功/失败 | 成功/失败 | 流量覆盖范围与 UDP |
不一定需要完成所有测试。一旦某一行明确定位，就应停止扩大改动，针对性修复。
提交工单前核验清单
- 原始网络与浏览器基础访问正常；
- 机场套餐有效，订阅已更新；
- 目标应用完全重启过；
- 规则与全局做过同节点对照；
- 系统代理与 TUN 分开测试；
- 更换过一个节点和一种网络；
- 检查了分应用代理与应用自身设置；
- 截图和日志已遮挡订阅与认证信息。
常见问题
开 TUN 会让速度更快吗？
不一定。TUN 改变的是流量接管方式，不是线路带宽。只在系统代理覆盖不到目标应用时使用更合理。
浏览器能用是否说明机场完全正常？
说明基础节点和部分代理链路正常，但不能证明 UDP、规则、DNS 和所有应用都正常。
为什么重启应用后突然恢复？
应用可能在启动时读取系统代理并长期复用连接。代理设置改变后，不重启就仍走旧路径。
更换机场能立刻解决吗？
如果问题来自应用不读取系统代理，换机场通常无效。先定位客户端与系统层，再判断线路是否需要更换。
总结
机场连接后部分应用无法联网，最常见的分界是系统代理覆盖范围、规则分流、DNS 与 UDP。按直连、规则、全局、TUN 的顺序测试，并保持节点和网络不变，就能把问题从“机场不行”缩小到具体层级。一次只改一个变量，既能更快修复，也能避免引入新的系统代理和网络冲突。