先分清三种“红”
客户端里的红色有三种含义，处理方法完全不同：
| 现象 | 含义 | 处理 |
|---|---|---|
| 一两个节点红，其余正常 | 那几个节点故障或被封 | 换节点，等机场更换 |
| 全部节点红 / 超时 | 你的客户端、系统或本地网络出了问题 | 按本文三层排查 |
| 延迟测试红，但网页能打开 | 测试地址被拦或被分流成直连 | 改测试地址，以实际访问为准 |
本文处理第二种。它看起来最严重，其实最容易解决，因为问题几乎都在你这一端。
第一层：客户端
1. 更新订阅
机场更换节点后，旧订阅里的地址全部失效，表现就是全红。在客户端的订阅页点“更新”，看节点列表有没有变化。更新失败的话，去官网用户中心重新复制订阅链接——机场换域名后旧链接会失效。
2. 重启客户端，而不是只关开关
Clash 系客户端的内核进程可能卡住，开关代理不会重启内核。完全退出（系统托盘右键退出）再打开。Windows 上同时检查任务管理器里有没有残留的 clash 或 mihomo 进程。
3. 内核版本是否支持节点协议
订阅里有 VLESS、Hysteria2、TUIC 节点，而你的客户端是老版 Clash（非 Meta/Mihomo 内核），这些节点会解析失败或全部超时。Clash Verge、Clash Nyanpasu、ClashMetaForAndroid 都是 Meta 内核；v2rayN 需要更新 Xray 核心。
4. 看日志
客户端日志里的错误信息比猜测有用得多。常见三类：
tls: handshake failure/certificate has expired：系统时间不对，见第二层。connection refused/dial tcp ... i/o timeout：本地网络到节点入口不通，见第三层。unsupported protocol/parse error：内核不支持该协议，见上一步。
第二层：系统
5. 系统时间
Trojan、VLESS over TLS、Shadowsocks 2022 等协议依赖 TLS 或时间戳，系统时间与真实时间差超过一两分钟就会握手失败。双系统、虚拟机、长期不联网的设备最常见。打开系统的“自动同步时间”，或手动校准后重新连接。
6. 防火墙与安全软件
Windows 防火墙、第三方安全软件可能拦截客户端的内核进程，尤其是刚更新完客户端之后。把内核程序加入允许列表；安全软件的“网络防护”类功能先临时关闭验证。
7. 残留的系统代理或 TUN 设置
上一个客户端卸载时没清理系统代理，或者两个客户端同时开了 TUN 模式，流量会被路由到一个不存在的地址。检查系统代理设置（Windows：设置 → 网络 → 代理），确认指向当前客户端的端口；只保留一个客户端运行。
第三层：网络
8. 换一个网络
把电脑连到手机热点，或者把手机从 Wi‑Fi 切到流量，再更新订阅、测一次。热点能用，说明问题在原来的网络：路由器、宽带运营商策略或公司网络的防火墙。
9. 路由器
长时间不重启的家用路由器会堆积连接状态，表现为部分或全部连接超时。重启路由器，问题消失的话以后定期重启。部分路由器自带的“安全防护”“上网管控”功能也会拦截代理流量。
10. 公司、校园网络
这类网络常有深度检测与白名单策略，节点入口端口被封很常见。换协议（如从 Shadowsocks 换到 Trojan 443 端口的节点）有时能绕过；绕不过就只能用手机热点。
全部排除后
三层都查完仍然全红，再去看机场公告或 Telegram 频道。大规模封锁时机场需要几小时到一天更换入口，这段时间所有用户都连不上，不是你的问题。等待期间可以切到备用机场——这也是我们建议常备一条便宜备用线的原因。
把排查做成习惯
下次全红时按这个顺序，通常五分钟内解决：
- 更新订阅 → 2. 完全重启客户端 → 3. 校准系统时间 → 4. 换热点验证 → 5. 看机场公告。
更完整的“连不上”分类见 机场连不上是什么原因；订阅更新失败的专门处理见 机场订阅更新失败、导入失败怎么办。