代理连接失败时，错误码是定位线索，不是最终结论。407通常指向代理认证，502可能是代理未能从上游获得有效响应，503表示当前服务不可用，504则多与上游响应超时有关。但同一个状态码可能由不同网关、代理或目标服务器返回，必须先确认响应来自哪一层。
一、先画出请求经过的路径
最简路径通常是：
客户端 → 本地网络/防火墙 → 代理节点 → 目标服务器或其CDN
企业环境还可能叠加本地代理、VPN、安全网关和反向代理。每增加一层，都可能生成自己的错误页。排障时记录响应头、时间和服务端日志，比只看浏览器页面更可靠。
二、常见错误码分别说明什么
| 错误 | 常见含义 | 优先检查 |
|---|---|---|
| 407 Proxy Authentication Required | 代理要求认证或认证未通过 | 用户名密码、白名单、节点有效期、认证方式 |
| 502 Bad Gateway | 网关未收到有效上游响应 | 目标连通、DNS、TLS、上游重置、代理日志 |
| 503 Service Unavailable | 当前服务不可用或容量受限 | 维护状态、并发限制、节点健康、Retry-After |
| 504 Gateway Timeout | 网关等待上游超时 | 连接/读取超时、目标性能、跨网链路 |
| 429 Too Many Requests | 目标或服务实施限流 | 停止或降速，按对方规则处理 |
| 连接重置 | TCP被客户端、中间设备或远端关闭 | 发生阶段、防火墙、空闲超时、链路抖动 |
三、407认证失败怎么查
- 确认选择的协议和代理端口匹配；
- 核对使用的是代理专用凭据，不是网站登录密码；
- 删除复制时带入的空格或换行；
- 若采用IP白名单，确认当前真实公网出口已被授权；
- 检查节点是否过期、停用或重建后参数变化；
- 避免连续高频重试，防止触发临时保护。
白名单认证和账号密码认证不能想当然地同时生效。天行IP出现407时可结合407认证与白名单排查。
四、502应该从哪一端开始查
先做无代理和有代理的对照：
- 无代理也失败：更可能是目标服务、DNS或本地网络问题；
- 无代理成功、所有代理节点失败：检查目标是否允许该访问、代理协议和TLS路径；
- 只有单个节点失败：查看该节点DNS、路由、出口和上游日志；
- 只有一个域名失败：检查目标CDN、SNI、证书和地区路由。
502不等于“IP被封”，也不应立即轮换节点继续请求。需要先确认是否获得目标系统授权，以及错误页由代理还是目标网关产生。
五、503和容量、维护有什么关系
503可能来自代理服务，也可能来自目标服务。检查响应中的Server、Via、日期和可能的Retry-After字段，并对照双方状态页或日志。若服务提示维护或容量不足，应按建议等待，不要并发重试。
代理套餐还可能有连接数、带宽或速率限制。超限与网络慢是两类问题，应核对订单字段和当前连接数。
六、504是连接超时还是读取超时
网关可能在连接目标时超时，也可能已连接但等待响应超时。需要分开记录DNS、TCP、TLS、首字节和总耗时。直接把总超时调得很大，只会让故障更晚暴露。
各阶段区别见连接超时、读取超时和TLS超时。对自有服务，还应检查慢查询、线程池、上游依赖和反向代理超时配置。
七、遇到429、验证码或权限拒绝怎么办
这些通常是目标方的访问控制或业务规则，不属于普通代理故障。应停止或降低请求，检查API配额、授权、服务条款和访问频率。不能通过更换IP继续，否则会把合规问题伪装成网络容灾。
八、使用curl或开发工具时如何保护凭据
不要把含用户名和密码的完整代理URL直接贴进工单、截图或共享终端历史。可以使用环境变量或密钥管理工具，并在日志中只保留节点ID和错误阶段。
curl凭据保护方法可参考curl代理密码与命令历史安全。
九、提交工单要带哪些信息
- 发生时间和时区；
- 脱敏节点标识、协议和地区；
- 目标域名类别，不提交敏感完整URL；
- 状态码、响应头摘要和错误阶段；
- 是否能在其他网络、客户端或节点复现；
- 最近的配置、订单或凭据变更；
- 一次最小化复现步骤。
密码、令牌、Cookie、验证码和个人数据必须遮盖。完整证据比“代理坏了”更容易让服务方定位。
十、推荐的排查顺序
先确认协议和认证，再检查本地网络与DNS，然后定位代理节点，最后检查目标服务。每次只改一项并保留结果。恢复后也要记录根因，而不是只记“换节点解决”，否则相同故障还会再次发生。
