节点全红超时排查手册：3 分钟定位本地 / DNS / 端口与阻断问题
客户端节点全部标红超时或显示 -1ms 时，绝大多数初学者会误以为服务商已经跑路，但实测中超过 65% 的案例均由本地环境异常引起。按照「本地 NTP 时钟同步 → 纯净 DoH 加密 DNS → 7890/7897 端口冲突杀进程 → TUN 虚拟网卡模式权限修复 → 官方应急备用域名提取」这套 5 步决策树，90% 以上的假性死机问题都能在 3 分钟内彻底解决。
📑 点击展开本文章节目录 (5 节)
一、NTP 时间漂移排查：最易被忽视的 0ms/超时元凶
很多用户在重装系统、双系统切换或长期休眠唤醒笔记本后，会突然发现客户端所有节点全部无法使用，测速直接返回“Timeout”、“Handshake Failed”或“Server Time Out”。
现代前沿加密代理协议（尤其是 VMess 与结合 TLS 的 VLESS / Trojan）为了防止针对通信流量的恶意重放攻击（Replay Attacks），在底层握手协议中硬性规定了极严苛的时间戳验证窗口：
如果客户端系统的本地时间与代理服务器的 UTC 时间偏差超过 60 秒（部分高安全级别服务器设定为 30 秒），服务端会直接拒绝建立 TLS 会话并静默丢弃所有数据包，在客户端表现就是节点全面标红超时！
w32tm /config /syncfromflags:manual /manualpeerlist:"ntp.aliyun.com,time.windows.com"
net stop w32time
net start w32time
w32tm /resync /force
Get-Date二、运营商 DNS 污染破解：配置干净 DoH / DoT 上游
当客户端解析机场的订阅链接、或者代理客户端解析节点的中转入口域名时，默认会使用本地宽带（电信/联通/移动）分配给家用路由器的 53 端口明文 UDP DNS。
在网络敏感期，部分省份的运营商 DNS 服务器会对机场常见入口域名进行故意丢包或投毒解析，返回类似 127.0.0.1 或不可达的保留私网 IP，导致客户端根本找不到服务器入口。
解决方案是彻底弃用运营商默认 DNS，在操作系统与 Clash 内核中强制启用基于 HTTPS 的加密 DNS（DoH）：
dns:
enable: true
enhanced-mode: fake-ip
nameserver:
- https://doh.pub/dns-query
- https://dns.alidns.com/dns-query
fallback:
- https://1.1.1.1/dns-query
- https://dns.google/dns-query
fallback-filter:
geoip: true
ipcidr:
- 240.0.0.0/4三、本地 7890 / 7897 端口冲突与残留进程绝杀
在 Windows 与 macOS 系统中，Clash 客户端默认需要绑定本地的 7890（混合代理端口）或 7897（Clash Verge 新默认端口）以及 9090（外部控制面板端口）。
当客户端发生意外强制退出、崩溃重启或与迅雷、虚拟机（VMware/VirtualBox）、Docker Desktop 冲突时，系统底层的核心代理进程（mihomo.exe 或 clash-core）可能依然在后台僵死并死锁该端口。此时再次启动客户端，内核将无法成功监听端口，导致所有流量穿透失败。
# 1. 查找占用 7890 端口的进程 PID
Get-NetTCPConnection -LocalPort 7890 -ErrorAction SilentlyContinue | Select-Object LocalAddress, LocalPort, OwningProcess
# 2. 一键强制终止所有冲突的 Clash 与 Mihomo 后台残留僵尸进程
Stop-Process -Name "clash*", "mihomo*", "verge*" -Force -ErrorAction SilentlyContinue
Write-Host "已清理残留代理进程，请重新启动 Clash 客户端！" -ForegroundColor Green四、Clash.Meta / Mihomo 核心权限与 TUN 模式修复
TUN 虚拟网卡模式是目前体验最佳的全局代理模式，能彻底接管终端命令行、游戏以及所有不遵循系统代理解析的独立应用程序。然而 TUN 模式在系统底层创建虚拟网卡需要极高的操作系统驱动级权限（Admin / Root）。
如果遇到开启 TUN 模式后电脑无法联网、或者显示“Failed to start TUN device”：
- 检查 Clash Verge Rev 是否已安装最新的【服务模式（Service Mode）】并处于激活运行状态（Active）
- 右键点击客户端图标，选择“以管理员身份运行”启动程序
- 检查 Windows 网络适配器中是否存在名为 Meta 或 Clash 的虚拟网卡，若显示禁用，手动右键选择“启用”
- 在客户端设置中将 TUN 核心堆栈由 gVisor 切换为 Mixed 或 System 模式，提高针对不同 Windows 版本的兼容性
五、官方应急备用域名与防失联订阅提取
有实力的规范品牌（以光速云为例）通常拥有独立于官网主域名的【抗封锁多活订阅分发集群】与【紧急发布页】。即使官网主域名遭到临时 DNS 阻断，订阅集群依旧能在幕后正常分发节点。
如果发现现有订阅链接在客户端更新时报错 Network Error，请按以下步骤自救：
- 访问机场专用的永久发布页或官方 Telegram 通知频道的置顶消息，获取最新的防污染官网镜像地址
- 登录用户中心后台，重新复制带有防污染动态解析参数的最新通用订阅链接（Clash / Sing-box / Sub）
- 在客户端中将旧订阅直接覆盖，或右键点击现有配置选择“强制更新（Force Update）”
- 如遇到极端情况无法登录后台，优先启动【光速云备用应急节点】，借助备用线路重新建立与海外服务端的连接
本专题高频延伸问答 (FAQ)
为什么更新订阅时一直提示“Invalid Config”或者“Empty Nodes List”？▾
这通常有两个原因：① 你的订阅套餐由于到期未续费或当月流量耗尽，机场后台自动下发了一个空的配置文件；② 订阅链接被本地网络墙拦截，客户端拉取到的是 ISP 返回的 404/403 阻断网页 HTML 代码，YAML 解析器无法识别导致报错。先登录机场后台确认套餐状态，若正常则挂上全局代理再次更新订阅。
Clash 的系统代理开关开了，但浏览器能翻墙，微信电脑版和飞书却不能，怎么回事？▾
系统代理（System Proxy）本质上只是在 Windows 注册表里修改了 HTTP/HTTPS 代理环境变量，只对遵循该协议的常规浏览器有效；而微信、飞书、Git 终端或某些游戏属于独立的 TCP/UDP Socket 通信，默认绕过系统代理。只需在客户端中开启【TUN 虚拟网卡模式】，即可在网卡物理层无缝捕获并代理全机所有流量。
如果只有一个特定的节点（比如美国 01）超时，其他节点都正常，这需要反馈吗？▾
不需要过度担心。单一节点超时通常属于该落地机房临时网络维护、上游机房 IP 轮换或突发 DDoS 攻击清洗，属于正常运维波动。机场通常部署有同国家的 02/03/04 备用节点集群，直接在客户端切换至同地区其他节点使用即可。
Clash 界面上测速全部是绿色（几百毫秒），但依然上不去外网是怎么回事？▾
Clash 面板上的延迟测试（Delay Test）默认只是针对节点入口服务器测试握手耗时（或者向 Google 204 站点发送一个空包），并不代表整个跨境出口到真实网站的端到端连通性。如果落地服务器的出口 IP 被目标网站（如 Google / OpenAI）列入黑名单，或者该节点欠费降级，就会出现“测速有延迟但实际无网页流量”的情况。切换其他不同国家的节点即可排查。