只有一台设备连不上：用变量控制法定位
直接答案：当"其他设备正常、只有这台不行"或"Wi-Fi 能用、流量不能用"时，问题一定不在服务端——同一账号同一订阅，服务端对所有设备是一样的。差异只可能来自三处：设备侧、网络侧、账号侧。两个动作就能定位：换网络（同设备接手机热点）和换设备（同网络用另一台）。
两个动作，一张真值表
| 换网络后 | 换设备后 | 结论 | 去哪一节 |
|---|---|---|---|
| 恢复正常 | — | 原网络有限制 | 网络侧 |
| 仍然失败 | 另一台正常 | 这台设备的配置问题 | 设备侧 |
| 仍然失败 | 另一台也失败 | 账号或服务端 | 账号侧 |
做完这两个动作再动手改配置——先定位后修复，能省下大量无效折腾。责任归属的更完整方法论见是机场问题还是我的问题。
网络侧：原网络限制了什么
Wi-Fi 能用、手机流量不能用：两个网络的差异主要在运营商链路与 DNS 路径。同一节点在不同运营商下的可达性可以不同，尤其是非常规端口。依次尝试：换同地区的其他节点、换使用 443 端口的节点、换协议（QUIC 系在部分移动网络受限，见协议怎么选）。
手机流量能用、Wi-Fi 不能用：这个 Wi-Fi 有限制。公司与校园网络常见的手段是拦截非常规端口、劫持 DNS、限制长连接。用手机热点做对照能立刻确认，随后的取证：
connproof tcp 节点域名 --port 节点端口同一节点在热点下建连成功、在该 Wi-Fi 下超时或被拒绝，对照 TCP-001 与 TCP-002，网络限制的证据就成立了。注意遵守所在网络的使用规定。
设备侧：三处最常见的差异
同一账号下这台设备与正常设备的差异，按命中率排序：
客户端版本落后。旧内核无法解析服务商的新协议，症状是节点列表为空或本地端口未监听。这是"新买的服务只有旧电脑用不了"的头号原因：
connproof doctor系统时间偏差。TLS 证书校验对时间敏感，偏差过大时握手批量失败。双系统、虚拟机休眠恢复、主板电池老化都会造成漂移，对照 SYS-001：系统时钟偏差，开启自动时间同步通常即可解决。
代理配置残留。上一个客户端退出时没有还原系统代理设置，新客户端的流量被指向一个已经不存在的端口。表现是关掉所有客户端后依然无法正常上网，对照 PROXY-002：系统代理残留。
账号侧：两台都失败时
两台设备、两个网络都失败，才轮到账号与服务端。先看面板：流量是否耗尽、套餐是否到期、订阅是否被重置。这三项占了"突然全部连不上"的相当比例，且与网络故障无关。
面板一切正常再验证订阅链路：
connproof subscription "订阅地址"订阅返回登录页或空内容，对照 SUB-003 与 SUB-002。到这一步仍找不到原因，带着脱敏报告找客服，方法见向客服提供哪些信息。
设备数量限制：一种容易误判的现象
如果症状是"连上一会儿就断、反复重连"而不是完全连不上，先查套餐的同时在线设备上限。超限的表现是旧连接被挤下线，看起来很像线路不稳。暂时下线其他设备复测即可确认，各服务的设备策略见排行榜总览。