代理超时、connection refused 和 HTTPS/TLS 错误怎么排查
代理超时、connection refused、HTTPS/TLS 证书错误对应不同失败阶段。按连接、握手、读取三步定位，判断该查配置还是换代理 IP。
代理超时、连接拒绝（connection refused）和 HTTPS/TLS 证书错误不是同一种问题。它们分别可能发生在连接代理、代理认证、连接目标网站、TLS 握手或读取响应阶段；先定位失败阶段，再判断是否需要更换代理 IP。
先定位失败发生在哪个阶段
排查这类问题时，不要一开始就判断“代理 IP 失效”。先看错误发生在哪一步：
1. 还没连上代理或目标主机，就出现 connection refused，优先查主机、端口、防火墙和服务是否可用。
2. 连接一直建立不起来，最后报 connect timeout，重点看本地网络、端口、代理服务和目标站可达性。
3. 已经连上，但长时间等不到目标站返回内容，报 read timeout，要结合目标站响应速度、请求频率和读取超时时间判断。
4. 已进入 HTTPS 阶段才报 TLS 或 HTTPS 错误，通常要查代理协议写法、系统时间、证书校验、目标站 HTTPS 兼容性和客户端设置。
connection refused、timeout 和 TLS 错误怎么区分
| 现象 | 更可能的阶段 | 优先检查 | 常见误判 |
|---|---|---|---|
| connection refused | TCP 连接代理或目标站 | 主机、端口、防火墙、服务状态 | 直接判断代理 IP 不可用 |
| connect timeout | 建立连接阶段 | 本地网络、端口、代理服务、目标站可达性 | 把目标站慢和连接失败混在一起 |
| read timeout | 等待响应阶段 | 目标站响应、请求频率、超时时间设置 | 只换 IP，不看目标站负载 |
| HTTPS/TLS error | HTTPS 握手阶段 | 协议、系统时间、证书、客户端代理方式 | 把 HTTPS 错误当成地区问题 |
连接失败时按什么顺序排查
1. 先用同一组代理参数访问 IP 检测页，确认代理连接和出口地区。
2. 再访问目标 URL，记录错误发生在连接、TLS 还是读取响应阶段。
3. 分开设置 connect timeout 和 read timeout，不要只给一个总超时。参考起点是 connect timeout 5-10 秒，read timeout 30 秒左右，再按目标站响应速度调整。
4. 用同一目标 URL 测试不同代理 IP 类型，或用同一代理 IP 测试多个目标 URL。
5. 如果只有一个目标站失败，优先查目标站规则、协议兼容、请求头、账号状态和请求频率。
可以先用 curl 做最小验证：
```bash
curl -x http://用户名:密码@代理主机:端口 https://api.ipify.org
```
如果检测页返回的是代理出口 IP，说明代理连接大概率已经通了；再把同一组参数用于目标 URL，对比状态码、TLS 报错和响应时间。
HTTPS/TLS 错误要特别看什么
代理协议写错会导致哪些 HTTPS/TLS 或连接问题
把 HTTP 代理端口按 SOCKS5 协议填，或把 SOCKS5 端口按 HTTP 代理写法填，常见现象是 TLS 握手失败、连接被重置或客户端直接报协议错误。
访问 HTTPS 目标时，如果客户端代理 URL 前缀写错，例如本该写 http://主机:端口 却写成 socks5://主机:端口，请求可能还没到目标站就失败。SOCKS5 是协议层能力，不等于自动处理所有 DNS、TLS 或目标站规则；使用前要确认软件是否真正支持 SOCKS5，以及 DNS 查询是否也走代理。
证书错误要看哪些方向
证书过期通常说明目标站证书或本地时间存在问题；证书“尚未生效”多见于系统时间偏差过大；证书链不完整可能来自目标站配置、公司网络或安全软件改写链路；域名不匹配说明访问的域名和证书里的域名对不上。Python 或 curl 里常见的 SSL: CERTIFICATE_VERIFY_FAILED，优先查证书链、系统证书库、系统时间和是否被中间设备拦截。
HTTPS/TLS 错误能不能直接关闭校验
客户端安全校验失败、公司网络或安全软件改写连接链路，都可能触发 HTTPS/TLS 错误。程序里不要为了通过测试长期关闭校验；关闭校验只适合临时定位问题。
系统时间不准为什么会触发 HTTPS/TLS 错误
TLS 握手时，客户端会校验服务器证书的有效期。系统时间偏差过大时，证书可能被判定为“已过期”或“尚未生效”，直接导致握手失败。先核对系统时间和时区，开启自动同步时间，再复测同一目标 URL。
什么时候需要换代理 IP
如果同一代理 IP 访问多个目标站都超时，或者出口地区频繁跳变、响应时间长期异常，可以换一组代理 IP 复测。不要只因为一个目标站报错就扩大换 IP 范围。
长期账号和固定地区任务优先测试 静态住宅代理 IP。短时页面测试和多地区观察可以先测 动态住宅代理 IP。
连接问题还没定位出来时下一步查什么
接入参数可先对照 代理参数说明。
Windows 或客户端设置可参考 代理设置帮助。连接异常时，先用 智能检测助手 确认代理服务、认证和出口地区。
常见问题
connection refused 是代理 IP 被封了吗？
不一定。它更常见于主机、端口、服务可达性或防火墙问题。
timeout 应该把超时时间调很大吗？
不建议只靠拉长超时。先区分连接超时和读取超时；可以从连接 5-10 秒、读取 30 秒左右开始测试。
HTTPS/TLS 错误能直接关闭校验吗？
不建议作为长期方案。关闭校验只适合临时定位问题，正式环境应修正协议、证书或客户端设置。
只有目标网站报错，IP 检测页正常怎么办？
重点看目标站返回的状态码、错误页面、验证码提示、TLS 报错原文和请求日志，确认失败是否只发生在这个目标 URL。