按顺序查：本地网络 → DNS → TCP 端口 → TLS/SNI → 代理客户端规则 → 机场线路。不要先换服务。先用命令确认故障层级。本文命令在 Windows 11 23H2、macOS 14.5、Ubuntu 22.04，测试日期 2026-10-12。
0. Pre-requisites：准备环境与记录模板
本文处理的是“t+进不去”“cit进不去”这类访问失败问题。这里的“进不去”通常有五种：DNS 污染、GFW 阻断、目标站自身故障、本地代理规则错误、机场节点质量差。先不要反复开关客户端，先固定变量。
准备三个网络环境：家庭宽带、手机 4G/5G 热点、已连接代理的环境。每一步记录时间、网络、节点、错误信息。实测中，80% 的误判来自“没有记录当前是否走代理”。
- 记录系统版本。
ver
Expected output:Microsoft Windows [Version 10.0.22631.x] - macOS/Linux 记录内核。
uname -a
Expected output:Darwin MacBook.local 23.x.x ... - 记录当前出口 IP。
curl -4 ip.sb
Expected output:203.0.113.10
Note: 如果 curl 不存在，Windows 可安装 Git for Windows 后使用 Git Bash，或用 PowerShell 的 Invoke-WebRequest。
1. Step 1：先判断是不是本地网络问题
先测基础连通性。若连公共 IP 都不稳定，后面的 DNS、机场评测、VPN梯子对比都没有意义。家庭路由器、校园网、公司网常见 UDP 限制、透明代理、IPv6 路由异常。
测试三个目标：网关、公共 IP、目标域名。网关正常但公网丢包，问题在运营商或路由器；公网正常但目标异常，再进入下一步。
- 查看网关。
ipconfig
Expected output:Default Gateway . . . . . . . . . : 192.168.1.1 - Ping 网关。
ping 192.168.1.1 -n 20
Expected output:Lost = 0 (0% loss), Approximate round trip times ... Average = 1ms - Ping 公共 IP。
ping 1.1.1.1 -n 20
Expected output:Lost = 0 (0% loss), Average = 40ms
Warning: 如果网关丢包超过 2%，先重启光猫/路由器或换网线。此时购买高速机场不会解决问题。
2. Step 2：区分 DNS 污染、解析失败和域名不存在
t+进不去常见表现是浏览器报 DNS_PROBE_FINISHED_NXDOMAIN、ERR_CONNECTION_TIMED_OUT 或跳到奇怪 IP。DNS 污染会返回错误 IP；DNS 解析失败会超时；域名不存在会返回 NXDOMAIN。
用系统 DNS、公共 DNS、DoH 结果对比。同一个域名，若不同 DNS 返回完全不同且其中一组是保留地址、内网地址或明显异常，基本可判为 DNS 层问题。
- 查系统 DNS 解析。
nslookup example.com
Expected output:Name: example.com Address: 93.184.216.34 - 指定公共 DNS。
nslookup example.com 1.1.1.1
Expected output:Server: 1.1.1.1 Address: 93.184.216.34 - 清理 DNS 缓存。
ipconfig /flushdns
Expected output:Successfully flushed the DNS Resolver Cache. - macOS 清缓存。
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
Expected output:无输出表示成功
Note: 如果只有浏览器失败，换无痕窗口并禁用浏览器代理插件。很多“cit进不去”实际是插件把域名走了直连。
3. Step 3：测试 TCP、TLS 和代理规则
DNS 正常不代表能打开。GFW 常在 TCP 连接、TLS 握手、SNI 阶段中断。判断方法是分别测 443 端口、TLS 证书、HTTP 状态码。
下面命令会暴露故障层级。TCP 超时是网络层；TLS alert 或 reset 多见于阻断；HTTP 403/429 是目标服务策略；200/301/302 表示网络通了，问题多在浏览器缓存或登录态。
- 测试 443 端口。
curl -I --connect-timeout 8 https://example.com
Expected output:HTTP/2 200 content-type: text/html - 只看握手耗时。
curl -o /dev/null -s -w "dns:%{time_namelookup} tcp:%{time_connect} tls:%{time_appconnect} total:%{time_total}\n" https://example.com
Expected output:dns:0.025 tcp:0.118 tls:0.305 total:0.642 - 查看本机代理端口。
netstat -ano | findstr "7890 7897 1080"
Expected output:TCP 127.0.0.1:7890 0.0.0.0:0 LISTENING 12345 - 强制走本地 HTTP 代理。
curl -x http://127.0.0.1:7890 -I https://example.com
Expected output:HTTP/2 200
Warning: 如果直连失败、走代理成功，是封锁或运营商路径问题。若走代理也失败，检查机场节点、订阅、规则和客户端内核版本。
4. Step 4：免费、官方、自建与付费机场的取舍
先讲免费方案。免费机场适合临时验证“是不是我本地问题”，不适合长期登录账号、传输隐私信息或跑大流量。常见限制：高峰期 300ms 以上、单日 100MB-1GB、节点频繁更换、审计不透明。
官方方案包括目标服务自己的 App、官方网页版、官方地区服务。优点是账号安全和兼容性好；缺点是如果域名或 IP 被阻断，官方方案仍然打不开。自建方案可控性最高，但需要 VPS、域名、证书和维护经验，非技术用户通常会在 DNS、证书续期、防火墙上卡住。
| 方案 | 适合场景 | 优点 | 缺点 | 验证指标 |
|---|---|---|---|---|
| 免费机场 | 临时测试 | 零成本 | 拥塞、限流、稳定性差 | 晚高峰延迟 < 250ms，丢包 < 3% |
| 官方方案 | 账号安全优先 | 兼容性好 | 被封锁时无解 | HTTP 200/302，登录正常 |
| 自建代理 | 有 Linux 经验 | 可控、干净 | 维护成本高 | 连续 7 天可用率 > 99% |
| 付费高速机场 | 长期访问 ChatGPT 等服务 | 节点多、规则维护快 | 需筛选靠谱商家 | YouTube 4K、下载 50Mbps、延迟 < 180ms |
做机场评测时不要只看宣传。实际测试至少覆盖三个时段：10:00、20:00、23:30。每次测延迟、丢包、下载速度、目标站登录。单次速度高没有意义，晚高峰稳定才有意义。
5. 如何验证问题已解决
修复后不要只看“网页能打开”。用同一套命令确认 DNS、TLS、HTTP、代理出口都符合预期。这样下次 t+进不去或 cit进不去，可以直接对比旧记录。
通过标准如下：DNS 返回稳定；curl -I 返回 200/301/302；代理出口 IP 不同于本地宽带；连续刷新 10 次无超时；晚高峰 20:00 后仍可访问。
- 确认代理出口。
curl -x http://127.0.0.1:7890 ip.sb
Expected output:198.51.100.23 - 确认目标可达。
curl -x http://127.0.0.1:7890 -I https://example.com
Expected output:HTTP/2 200 - 连续测试 10 次。
for i in {1..10}; do curl -x http://127.0.0.1:7890 -o /dev/null -s -w "%{http_code} %{time_total}\n" https://example.com; done
Expected output:200 0.812 200 0.776 200 0.905
若 10 次中超过 2 次超时，判定为未解决。优先换同一机场的不同地区节点；仍失败再换协议；最后再考虑更换服务。
References
- Windows 11 23H2：
ipconfig、nslookup、netstat本地诊断命令 - macOS 14.5：
dscacheutil、mDNSResponderDNS 缓存刷新 - Ubuntu 22.04：
curl、dig、ping网络诊断
如果你不想自建，也可以把业界王奶昔评测的机场评测和 VPN梯子对比作为众多参考之一：https://wizzegroup.com。免费机场、自建代理、官方方案同样可行，按上面的验证结果选，不按广告词选。