外观
公共 Wi‑Fi 连上却不能上网？代理客户端与认证页面冲突的完整排查指南
出门连接酒店、机场、商场、咖啡馆或校园的 Wi‑Fi 时，很多人会遇到一种很容易误判的问题：设备显示“已连接”，信号也很好，但网页打不开；或者代理客户端一开启，Wi‑Fi 的登录认证页就再也不弹出来。
这通常不等于节点失效，也不一定是客户端故障。公共 Wi‑Fi 往往采用“强制门户”（Captive Portal）机制：在你完成网页认证、勾选协议、输入手机号或兑换码之前，网络只允许设备访问少量认证相关地址。此时如果系统代理、TUN 模式、全局代理或自定义 DNS 过早介入，认证流量就可能被错误地送往代理端，导致认证过程卡住。
本文不讨论绕过公共网络认证。正确做法始终是先按场所要求完成认证，再根据自己的实际需求恢复正常网络设置。掌握下面这套顺序，可以减少“明明连上 Wi‑Fi 却打不开网”的反复折腾。
先理解：公共 Wi‑Fi 为什么要打开一个登录页
普通家庭网络中，设备连上 Wi‑Fi 并获得 IP 地址后，通常可以直接访问互联网。公共 Wi‑Fi 则常在网关处增加访问控制：
- 设备先连接无线网络，并通过 DHCP 获得局域网 IP、网关和 DNS；
- 网关识别到这台设备尚未认证；
- 当设备发起访问时，网关把部分 HTTP 请求引导至认证页面，或对未认证设备仅放行认证服务器；
- 用户完成登录、同意条款或输入凭证后，网关将该设备加入允许访问互联网的名单。
手机和电脑会尝试访问特定的联网检测地址，以判断当前网络是否需要认证。若检测请求被 Wi‑Fi 网关拦截，系统便会弹出“需要登录 Wi‑Fi 网络”之类的页面。
问题在于，代理软件也会改变流量路径。例如系统代理会让浏览器请求先发往本机代理端口；TUN 模式会接管更多网络流量；自定义 DNS 会让系统不再使用 Wi‑Fi 下发的 DNS。这样一来，系统的联网检测可能无法抵达公共 Wi‑Fi 网关，自然也就难以触发认证页面。
最稳妥的原则：认证前最小化网络改动
在公共 Wi‑Fi 上，推荐把流程分成两个阶段：认证阶段与正常使用阶段。
认证阶段的目标很简单：让设备按照 Wi‑Fi 网络的原始方式访问认证页。因此应尽可能减少代理、DNS 改写、全局接管等设置。认证完成并确认普通网页能够打开后，再决定是否恢复代理客户端。
尤其不要一看到网页打不开，就立刻不断切换节点、更新订阅、重装客户端。若问题只发生在某个公共 Wi‑Fi，而移动数据或其他网络正常，优先把注意力放在认证页面和本地网络设置上。
通用排查流程：从断开代理开始
下面的顺序适用于大多数设备和客户端。每完成一步都应测试一次，不必同时修改一大堆设置。
第一步：暂停代理客户端的流量接管
先在客户端中停止运行，或至少关闭以下可能影响流量路径的功能：
- 系统代理；
- TUN 模式、虚拟网卡模式或 VPN 模式；
- 全局代理；
- 增强模式、透明代理等接管全部流量的选项；
- 自定义 DNS、DoH、DoT 或“代理 DNS 查询”功能。
不同客户端的按钮名称不同，但判断标准相同：让设备暂时恢复为“直接使用当前 Wi‑Fi 的网关与 DNS”。
注意，“关闭系统代理”不一定代表所有流量都已恢复直连。如果客户端仍开启 TUN 或 VPN 配置，流量可能依然由客户端接管。反过来，单纯停止 TUN 后，系统代理也可能仍然保留。因此最好检查客户端的运行状态，而不是只看一个开关。
第二步：断开 Wi‑Fi 后重新连接
关闭代理接管后，先断开当前 Wi‑Fi，等待几秒再重新连接。这样做有两个好处：一是让设备重新获取 DHCP 参数；二是让操作系统再次执行联网检测。
重新连接后，留意通知栏、任务栏或 Wi‑Fi 设置页面是否出现“需要登录”“需执行操作”“无互联网，打开登录页”等提示。出现提示时，应点击系统提示进入认证界面，而不是先打开常用 App。
第三步：手动打开一个纯 HTTP 地址
不少网站现在默认使用 HTTPS，而公共 Wi‑Fi 的认证跳转对 HTTPS 的处理受到证书校验限制，未必能够顺利重定向。认证页没有自动出现时，可以在浏览器地址栏中手动输入一个以 http:// 开头的普通网址，观察是否被引导到该 Wi‑Fi 的认证页面。
不要忽略地址栏中的安全警告。如果页面声称是某个大型网站，却出现证书异常、域名不匹配或要求输入重要账号密码，应停止操作并核对当前页面是否确实属于场所提供的认证系统。公共 Wi‑Fi 认证通常只应要求其明确说明的信息；与认证无关的银行卡密码、邮箱密码、验证码等不应随意提交。
第四步：完成认证后，先测试直连网络
认证成功后，不要马上启动代理。先关闭认证页面，打开几个普通网页或系统自带的网络检测页面，确认以下情况：
- Wi‑Fi 状态不再显示“需登录”或“无互联网”；
- 浏览器可正常加载常规网页；
- DNS 能正常解析域名；
- 没有反复跳回认证页。
如果直连状态仍无法访问网络，问题更可能在 Wi‑Fi 本身、认证账户、设备 MAC 地址限制或场所网络策略，应联系该网络的工作人员，而不是继续调整代理配置。
第五步：按需恢复客户端，并从轻量设置开始
确认直连网络正常后，再启动客户端。建议先启用较少干预系统网络的模式，例如仅开启系统代理、使用规则模式，并暂时不要开启 TUN、全局模式和复杂 DNS 覆写。
如果此时客户端可用，说明问题主要发生在认证前的流量接管。如果一恢复代理就断网，可继续检查本地端口、DNS、网络权限和规则设置；但不要忘记公共 Wi‑Fi 可能限制某些连接方式或目的端口，这属于网络提供方的策略范围。
不同设备上要特别留意的设置
Windows：代理、VPN 与“自动检测设置”可能叠加
Windows 的网络路径容易受到多处设置影响。除了客户端本身，还应检查系统“设置”中的代理页面，以及是否存在其他 VPN、加速器、浏览器代理扩展或安全软件的网络过滤功能。
在公共 Wi‑Fi 认证前，可以暂时关闭客户端的 System Proxy 与 TUN/VPN 模式，并暂停其他同类软件。若 Wi‑Fi 连上后始终没有认证弹窗，可以在浏览器中使用无痕窗口尝试打开 HTTP 页面，避免旧 Cookie、强制 HTTPS 扩展或浏览器扩展干扰跳转。
认证完成后，若使用 Clash 类客户端，先恢复 System Proxy 即可；只有确实需要接管非系统代理流量时，再考虑 TUN 模式。这样更容易定位是哪一层造成了问题。
macOS：关注 VPN 配置与私有 Wi‑Fi 地址
macOS 上，一些代理客户端通过 VPN 配置或网络扩展接管流量。认证前应在客户端中停止该连接，并确认菜单栏中没有持续显示 VPN 已连接。
此外，macOS 可能为不同 Wi‑Fi 使用“私有 Wi‑Fi 地址”。这本身是保护隐私的功能，但部分公共网络会把认证状态与设备 MAC 地址绑定。如果认证后频繁要求重新登录，或同一网络反复出现状态不一致，可以检查该 Wi‑Fi 的私有地址设置是否在认证期间发生变化。不要为了图省事而在所有网络永久关闭隐私地址；仅在确有兼容性问题、且了解场所网络要求时再作针对性调整。
iPhone 与 iPad：先断开 VPN，再处理 Wi‑Fi 登录
在 iOS/iPadOS 中，Shadowrocket 等工具通常以 VPN 状态工作。看到 Wi‑Fi 要求登录时，先停止代理连接，再到“设置—无线局域网”确认当前网络旁边是否显示“登录”或相关提示。
如果 Safari 打不开认证页，可先关闭可能影响 DNS 的配置，再断开并重新加入 Wi‑Fi。认证成功后，建议确认 Safari 可以直连打开普通页面，再重新开启代理。若设备安装了多个 VPN 描述文件或 DNS 描述文件，也应避免同时启用，以免难以判断实际生效的是哪一个。
Android：留意“始终开启 VPN”和私有 DNS
Android 的“始终开启 VPN”或“阻止未使用 VPN 的连接”会使认证阶段更棘手：系统可能不允许任何直连流量，自然也无法与 Wi‑Fi 认证网关正常交互。连接公共 Wi‑Fi 前，应临时关闭这类强制选项，完成认证后再按需求恢复。
另一个常见因素是“私有 DNS”。若使用了指定的加密 DNS 服务，公共网络的认证引导可能无法按预期工作。遇到认证页不弹出时，可暂时将私有 DNS 调整为自动或关闭状态，认证完成后恢复自己的日常设置。
认证成功后又掉线：重点检查这四类原因
有时认证页已经显示成功，但一开启客户端就无法使用。这时可以按以下方向排查。
1. 网络限制了部分连接
公共网络可能只允许常见 Web 流量，或对某些端口、协议、并发连接数量设置限制。此时“网页直连正常、客户端部分连接异常”并不罕见。不要通过反复更改陌生高级参数来强行适配，优先遵守该网络的使用规则；有重要工作需求时，使用更可靠且获得授权的网络环境更合适。
2. Wi‑Fi 认证状态过期
酒店、校园或商场网络可能按时间、设备数量、房间号、手机号或兑换凭证管理会话。认证状态到期后，客户端中已有的长连接可能断开，而浏览器也会重新被引导到登录页。此时先停止代理，再重新进行认证，往往比重启所有软件更有效。
3. DNS 配置与当前网络不兼容
如果恢复代理后只有域名打不开、但 IP 地址相关访问表现不同，DNS 是重要排查方向。先将客户端 DNS 设置恢复为较简单的默认配置，避免同时启用多个 DNS 接管模块。确认问题消失后，再逐项恢复加密 DNS、Fake-IP 或 DNS 覆写等进阶功能。
4. 多个网络工具抢占了系统代理
Clash、V2RayN、浏览器扩展、游戏加速器、远程办公 VPN、抓包工具都可能修改代理设置或创建虚拟网卡。两个工具同时运行时，并不是“加倍稳定”，反而可能形成循环代理、端口冲突或路由混乱。
排查时遵循一个原则：同一时间只保留一个负责流量接管的工具。其他工具全部退出后，再测试当前客户端，结果会清晰得多。
公共 Wi‑Fi 上的安全习惯，比“能连上”更重要
通过认证只意味着你获得了网络访问资格，并不表示该网络天然可信。公共网络中应尽量做到以下几点：
- 优先访问使用 HTTPS 的网站，并留意浏览器证书警告；
- 不在来路不明的认证页面输入核心账号密码；
- 不随意安装公共网络页面要求下载的证书、描述文件、软件或浏览器扩展；
- 关闭不必要的文件共享、局域网发现和设备投送功能；
- 不在公共 Wi‑Fi 上处理高敏感操作，尤其是涉及资金、企业后台或重要身份信息的事务；
- 使用完成后，在设备中选择“忽略此网络”或关闭自动加入，避免日后自动连接同名热点。
其中，“安装证书”尤其值得谨慎对待。证书可能改变设备对 HTTPS 连接的信任方式。除非你明确知道证书来源、用途和移除方法，并且这是单位受管设备的正规流程，否则不应因为一个无法上网的提示就贸然安装。
一份可保存的快速检查清单
下次在公共 Wi‑Fi 遇到问题，可以按下面顺序操作：
- 停止代理客户端，关闭系统代理、TUN/VPN 和自定义 DNS；
- 断开并重新连接 Wi‑Fi；
- 点击系统的“登录网络”提示；
- 未弹窗时，浏览器手动输入 HTTP 地址尝试触发认证；
- 核对认证页面域名与提示内容，不提交无关敏感信息；
- 认证成功后，先确认直连网页正常；
- 再启动客户端，先使用较轻量的系统代理与规则模式；
- 若恢复后异常，关闭其他 VPN、代理扩展和加速器，逐项排查。
公共 Wi‑Fi 与代理客户端并不是天然冲突，真正容易出问题的是“认证尚未完成，流量路径已经被改写”。把“先认证、后恢复代理”变成固定习惯，再配合最小化改动和逐项验证，大多数认证页不弹出、连接后无网络、开启客户端即断网的问题都能更快找到原因。