测速正常但网页打不开：先确认流量走没走代理
直接答案：这个现象的本质是测速和浏览器走了两条不同的路。客户端内置测速由客户端自己发起，天然经过代理；浏览器流量必须经过系统代理设置或分流规则才会进入同一条隧道。所以排查顺序是固定的：先确认流量是否进入代理，再确认解析是否正确，最后才怀疑节点。
三十秒定位：出口地址是谁
打开任一 IP 查询服务，看显示的出口地址：
- 显示你本地宽带的地址 → 流量根本没走代理，问题在系统代理或分流，跳到第一节；
- 显示节点所在地区的地址 → 流量走了代理，问题在解析或目标可达性，跳到第二节。
这一步能把排查范围直接砍掉一半，比任何猜测都快。
一、流量没进代理：三个常见断点
系统代理未开启。客户端的"连接"与"设置为系统代理"是两个独立开关，只开前者时隧道建好了却没有应用使用它。检查客户端主界面的系统代理状态，Windows 还可在系统设置的代理页面确认端口是否被写入。
本地端口没在监听。更隐蔽的一种：客户端界面正常，内核其实已经退出，端口空着。一条命令可确认：
connproof doctor端口不在监听列表里，对照 PROXY-003：本地代理端口未监听——多数情况是客户端版本太旧，无法解析订阅里的新协议。
浏览器绕开了系统代理。代理类浏览器插件的优先级高于系统设置，插件里的旧规则会静默覆盖。用隐身窗口（禁用扩展）复测，两者表现不同即可确认。此类现象的完整解释见 CLIENT-003：浏览器能用应用不能用。
二、流量进了代理但仍打不开
先切全局模式复测。全局绕开了分流规则这个变量：全局能用而规则不能用，问题锁定在规则配置（域名被错误分流到直连）；两者都不行，继续往下。
再看解析。域名解析到错误地址时，连接指向一个不可达的目标，而测速走节点 IP 直连、不经过解析，于是出现割裂：
connproof dns 目标域名解析结果异常（返回保留地址、结果与预期地区不符）对照 DNS-004：解析到保留地址 与 DNS 基础。Android 用户还要检查系统的私人 DNS 设置，它会在系统层劫走解析。
最后验证节点本身：
connproof diagnose 节点域名 --port 节点端口三层全过说明节点健康，问题确实在你的本地流量路径；某层失败则回到错误库按错误码处理。
为什么"重装客户端"经常有效却不该是第一步
重装会顺带重置系统代理、清掉损坏的配置、更新内核版本——它同时改动了好几个变量，所以经常"碰巧"修好，但你不知道修好的是哪一个，下次照样复发。先定位再修复，多花的五分钟买的是不再重复踩坑。
责任边界的完整判断方法见是机场问题还是我的问题。