代理服务器故障排查的时候，最让人头疼的就是各类现象看着差不多，浏览器打不开网页，没法快速区分根源是代理本身宕机、配置填写错误，还是目标网站封禁代理，不一步步测试很难定位。下面是运维工作里经常碰到的故障以及处理办法，按照由简到难的顺序整理。
第一步先确认基础状态，代理服务器本身是否正常运行。拿一台不使用该代理的设备ping代理IP，或者telnet代理端口。ping不通，问题落在代理服务器或者中间网络链路，和客户端配置无关。云服务器搭建的代理，登录服务商控制台查看实例运行状态，确认没有欠费停机。很多情况只是忘记续费，服务被暂停，反复调整客户端配置也不会生效。
代理IP可以ping通，但客户端无法建立连接，大概率是端口或者身份验证问题。核对代理服务监听端口和客户端填写端口是否一致，部分服务默认监听127.0.0.1，仅本机能够访问，外部设备无法接入。遇到这种情况，修改配置，把监听地址改为0.0.0.0。身份验证方面，很多代理需要账号密码，客户端漏填或者信息错误，会直接拒绝连接。服务日志一般会输出“authentication failed”或者“407 Proxy Authentication Required”，查看日志就能快速判断。
能够连上代理，但网页无法加载，这类故障最为复杂。先验证代理是否正常转发流量。命令行用curl指令，指定代理地址访问可以展示IP的站点，查看返回IP是否等于代理IP。示例指令curl -x http://代理IP:端口 http://httpbin.org/ip。返回IP和代理一致，转发链路正常，问题出在目标网站。返回IP不匹配或是请求超时，代表代理转发流程异常。
目标网站访问失败场景中，最常见原因是代理IP被网站封禁。免费代理该问题频发，单个IP大量人员使用，早就进入黑名单。更换其他代理测试，如果切换之后页面正常打开，说明是IP被封禁。还有一种情形，网站识别代理访问行为，直接返回403状态码或者验证码页面。这不代表代理服务损坏，只是站点拒绝代理访问。
DNS解析故障很容易被忽略。代理转发请求时，需要解析目标域名，代理服务器DNS配置出错，域名无法解析，网页自然打不开。在代理服务器本地执行nslookup测试域名解析，解析失败就调整/etc/resolv.conf内DNS地址。还有一种情况，代理服务器解析正常，客户端解析异常，这时客户端配置让DNS请求同样经过代理即可解决。
访问速度缓慢是另一类高频故障。速度差可能是代理服务器带宽不足，或是代理节点到目标网站之间线路质量差。在代理服务器使用mtr追踪通往目标站点路由，查看链路中是否存在严重丢包节点。线路问题就更换机房或者服务商。代理服务器本地Speedtest测速正常，经由代理访问网页却很慢，大概率是代理软件配置问题，比如日志记录规则过于严苛、连接数上限设置过低，或是协议本身性能偏弱。
HTTPS网站弹出证书报错，自建代理场景很常见。中间人代理模式下，代理替换目标站点证书，客户端不信任代理CA证书，就会提示证书错误。解决方式是将代理CA证书导入客户端信任列表，或是改用隧道模式而非中间人模式。隧道模式只转发加密流量，不对内容解密，不会替换证书，也就不会出现这类报错。
客户端配置失误也时常出现。代理类型选错，SOCKS5代理填成HTTP代理，端口数字输错，这类低级错误排查阶段容易漏掉。浏览器插件代理设置和系统全局代理互相冲突，插件启用代理而系统没有配置，或是反过来，造成部分流量走代理，其余直连。排查时统一全部代理设置，仅保留一处代理入口。
多层链式代理也容易产生故障。客户端连接A代理，A再转发请求至B代理，B访问目标网站。链路中任意节点故障，整体访问都会中断。排查链式代理需要从最后一环向前验证，确认B代理可以正常访问目标网站，再确认A能够连通B，最后测试客户端和A的连接。分段测试相比整体测试，更容易锁定故障位置。
日志是排查代理故障最重要的工具。Squid日志路径/var/log/squid/，V2Ray、Xray日志存放位置在配置文件指定路径，Shadowsocks日志一般在/var/log/shadowsocks/或是直接输出终端。查看日志重点检索关键词：connection refused、timeout、authentication failed、blocked、certificate error。这些关键词直接对应故障类型，比盲目测试效率更高。
还有一处容易忽略的要点，代理服务器系统时间。服务器时间和客户端时间偏差过大，TLS握手失败，现象就是HTTPS网站全部打不开，HTTP访问正常。执行date查看系统时间，时间不准就用ntpdate同步。这类故障出现频次不高，但排查难度大，症状和证书故障十分接近。
防火墙和安全组规则同样需要核对。代理服务器iptables或是云平台安全组，有没有放行代理端口，刚部署环境经常遗漏这项配置。本地防火墙放行端口，云平台安全组没有添加放行规则，流量在抵达服务器前就被拦截。两边规则都要检查，不要只看单方面。
最后提一点，代理故障不要第一时间重启服务。重启能够解决部分临时问题，但会清除现场，日志内故障线索随之丢失。优先查看日志、分段测试定位问题，找不到根源再重启。重启之后故障再次复现，说明不是偶发问题，配置或是环境存在稳定缺陷，需要针对性修复。