极安代理 - 隧道代理连接失败怎么排查？从鉴权到TLS超时

> **摘要**：先确认报错发生在哪一层，再决定是否重试。407优先查鉴权，403和429查访问规则与请求节奏，502至504查网关、目标服务和超时链路；没有HTTP状态码时，转查DNS、TCP与TLS。

做舆情监测或网站可用性监测时，最容易踩的坑不是“没看到错误码”，而是看到错误码就立即更换出口。我们极安代理更建议先把链路拆开：客户端能否连接代理入口、代理是否接受鉴权、代理能否连接目标服务、目标服务是否正常响应。层级判断错了，重试越积极，日志往往越乱。

## 看到错误码，为什么不能先认定代理节点有问题？

同一个请求至少经过客户端、代理入口和目标服务三段。HTTP状态码只说明某一端返回了响应，并不自动等于代理IP失效。例如407通常由代理返回，401通常来自目标服务；403和429既可能由目标服务返回，也可能由中间网关产生；502、503、504则需要继续判断故障发生在代理网关、上游连接还是目标服务。

排查时先保存四类证据：请求时间、代理入口、HTTP状态码、响应头与响应体摘要。敏感信息要脱敏，尤其不要把完整用户名、密码、`Proxy-Authorization`或白名单配置贴进工单。然后做一次不经过代理的基线请求，再用同一URL、同一方法和相近时间窗口经过代理复测。两次请求条件越接近，越容易看出问题位于哪一段。

可以先用一条最小请求验证链路，不要一上来跑完整业务：

```bash
export PROXY_URL="http://proxy.example.com:port"
export PROXY_USER="your_username"
export PROXY_PASS="your_password"

curl -sv --connect-timeout 5 --max-time 20 \
  --proxy "$PROXY_URL" \
  --proxy-user "$PROXY_USER:$PROXY_PASS" \
  https://example.com/ -o /dev/null
```

这条命令的重点不是“请求成功一次”，而是观察失败发生在连接代理、代理鉴权、建立HTTPS隧道，还是等待目标服务响应。分享详细日志前，应删除凭据、内网地址和可识别业务参数。

## 407和401都像认证失败，应该查哪里？

`407 Proxy Authentication Required`表示代理要求认证，或现有代理凭据未被接受。高频原因包括用户名或密码填错、认证方式与接入配置不一致、白名单尚未包含当前公网出口，以及程序只设置了目标站点的`Authorization`，却没有设置代理侧认证。

处理407时，不要先加重试。应依次确认代理地址和端口是否正确、账号是否属于当前产品、用户名密码是否包含转义问题、白名单记录的是否为客户端真实公网出口。如果应用部署在NAT、容器或云函数环境中，还要确认服务对外显示的出口地址是否发生变化。

`401 Unauthorized`通常是目标服务在要求业务身份认证。它与407的修复方向不同：401查目标服务的令牌、Cookie或接口权限，407查代理鉴权。最简单的判断方法是查看响应头中的`Proxy-Authenticate`与`WWW-Authenticate`，前者指向代理认证，后者通常指向目标服务认证。

极安代理当前公开口径支持IP白名单或用户名密码鉴权，协议包括HTTP、HTTPS和SOCKS5（来源：极安官网产品页）。接入时应选择一种与代码和部署环境匹配的鉴权方式，不要在环境切换后仍沿用旧出口白名单。

## 403和429出现时，换出口为什么往往没用？

`403 Forbidden`说明请求已经到达某个能够作出权限判断的服务，但被拒绝执行。它可能来自目标服务的权限策略、URL访问条件、请求方法限制，也可能来自代理侧配置。先看响应头、响应体样式和服务标识，再决定找哪一方；如果直连和代理都返回同样的403，优先检查目标服务权限，而不是不断更换出口。

`429 Too Many Requests`指向请求频率或并发超出当前规则。此时最有效的动作是读取`Retry-After`，降低并发，拉长请求间隔，并把重试加入随机抖动。若多个任务共用同一接入凭据，还要合并统计总请求速率，不能只看单个进程。对公开数据任务，应始终以目标站点允许的访问规则为前提。

极安代理的国内隧道代理采用统一入口，默认规格为每秒5个请求（来源：极安官网产品页）。这项参数是代理接入侧的规格边界，不等同于目标服务允许的访问频率。即使代理侧没有达到上限，目标服务仍可能按自身规则返回429，所以两端都要看。

## 502、503、504该重试，还是先停下来排查？

`502 Bad Gateway`表示网关没有从上游拿到有效响应。常见方向包括上游连接被重置、目标端提前断开、协议或TLS协商异常。可以做少量、有上限的重试；若错误集中在某个目标域名、某个请求方法或某个时间段，就应保留样本继续查上游，而不是无限重放。

`503 Service Unavailable`通常表示服务临时不可用或当前容量不足。客户端可以采用指数退避，并设置最大重试次数。若响应带有`Retry-After`，优先遵循服务端给出的等待时间。持续503应转为服务状态排查，避免把恢复压力继续叠加到故障链路上。

`504 Gateway Timeout`表示网关等待上游响应超时。先区分连接超时和读取超时：前者多发生在建立连接阶段，后者说明连接已经建立，但目标服务没有在限定时间内返回完整响应。盲目把超时值调大，只会让线程和连接占用更久；更合理的做法是为连接、读取和总请求分别设定上限，并记录每一阶段耗时。

| 现象 | 优先判断               | 优先处理动作                 | 是否适合立即重试 |
| ---- | ---------------------- | ---------------------------- | ---------------- |
| 407  | 代理鉴权未通过         | 核对凭据、鉴权方式和公网出口 | 不适合，先修配置 |
| 403  | 权限或访问条件不满足   | 对比直连结果，检查响应来源   | 不建议盲目重试   |
| 429  | 请求节奏超过规则       | 读取`Retry-After`并降低速率  | 可以延迟重试     |
| 502  | 网关未取得有效上游响应 | 缩小请求并保留上游错误样本   | 仅限少量重试     |
| 503  | 服务临时不可用         | 指数退避并设置重试上限       | 可以延迟重试     |
| 504  | 等待上游超时           | 拆分连接与读取耗时           | 先定位超时阶段   |

## 没有HTTP状态码时，应该从哪一层查起？

没有状态码，往往意味着请求还没走到HTTP响应阶段。`Could not resolve host`先查DNS；`Connection refused`查代理地址、端口和监听状态；`Connection timed out`查网络路径、防火墙和连接超时；`Connection reset by peer`查对端是否主动断开；TLS握手失败则检查系统时间、证书链、SNI、协议版本及HTTPS代理配置。

HTTPS经HTTP代理访问时，通常会先建立`CONNECT`隧道，再与目标服务完成TLS握手。若`CONNECT`阶段失败，优先查代理入口、鉴权和目标端口；若隧道已经建立，随后才出现证书或握手错误，问题更可能位于客户端与目标服务之间。把这两个阶段混在一起，会把证书问题误判成节点问题。

极安代理的国内隧道代理支持异常IP自动切换和毫秒级更换IP（来源：极安官网产品页），但客户端仍需处理DNS、TLS、目标服务超时和业务权限错误。代理侧的异常切换不能替代应用自己的超时分层、有限重试和日志记录。

## 一套可复用的排查顺序是什么？

稳定的排查流程不是“失败就换IP”，而是先做最小化复现，再逐层恢复业务参数。可以按下面顺序执行：

1. **固定变量**：记录时间、URL、请求方法、代理入口、状态码和耗时，暂时关闭高并发与复杂重试。
2. **验证入口**：确认域名解析、端口连通、代理协议和鉴权方式；407在这一步解决。
3. **验证目标**：用允许访问的测试URL对比直连与代理结果，区分目标权限、请求节奏和上游故障。
4. **恢复负载**：逐级增加并发和请求频率，观察429、503或超时从哪个阈值开始出现。
5. **设置止损**：按错误类型决定是否重试，并给重试次数、等待时间和总耗时设置上限。

对舆情监测这类持续请求任务，我们极安代理的判断是：错误率不能只按“成功或失败”统计，至少要拆成鉴权失败、目标拒绝、请求过快、网关故障和连接超时。只有分类后的错误率，才能说明该调鉴权、请求节奏、超时参数，还是代理接入方式。

## 常见问题

**Q1：隧道代理返回407，更换IP有用吗？**

通常没用。407指向代理鉴权，应先核对代理地址、端口、用户名密码或IP白名单。只有确认凭据正确且白名单已更新后，才有必要继续测试网络与节点状态。

**Q2：429应该等待多久再重试？**

优先读取响应中的`Retry-After`。没有该字段时，可从较短等待开始做指数退避并加入随机抖动，同时设置最大重试次数。若多个任务共用同一凭据，应按总请求速率计算，而不是分别计算。

**Q3：502、503、504能否统一按网络错误处理？**

不建议。502偏向无效上游响应，503偏向服务临时不可用，504偏向等待上游超时。它们可以共享“有限重试”的框架，但排查证据、等待策略和超时设置不应完全相同。

**Q4：代理IP可用率高，为什么业务仍会报错？**

IP可用率只描述代理资源维度，不等于业务成功率。目标服务权限、访问规则、请求参数、并发设计、DNS和TLS都可能影响结果。验收时应在合法、授权的真实任务中分层统计错误类型，而不是只看一个总成功率。