系统代理开关是绿的，浏览器一查 IP 还是本地——按顺序查，多数到第三步就能定位。若目标其实是 Claude Code / Cursor / Codex，系统代理本来就够不着，应考虑 Tun，而不是把系统代理开关来回拨十几次。
推荐顺序：连接页有没有新记录 → 系统代理是否写入 127.0.0.1 与客户端混合端口 → 端口是否被占用 → 浏览器插件/自带代理 → PAC 或旧代理残留 → 再考虑 Tun（Tun、Tun 与 AI）。安装包与版本：下载中心。新手总览：上手教程。
先确认「真的没走」
打开目标站后看连接页：完全没记录，才是系统代理没接管；有记录但打不开，转到开了代理仍打不开或DNS。这两种故障树不同，混在一起会越修越乱。
做一次开关对比：关掉系统代理再打开，看系统设置里的代理条目是否跟着出现或消失。条目根本不写进去，优先查客户端权限、服务模式、开机自启顺序（开机代理）。条目写进去了但连接页仍空，再查端口与浏览器覆盖。
测 IP 时请选一个「按规则应走代理」的站点。国内站被规则直连时，IP 仍是本地是正常现象，不叫系统代理失效。
不想只靠肉眼，可以在命令行直连混合端口试一次：curl -x http://127.0.0.1:7897 https://ipinfo.io。能返回海外 IP，说明客户端端口本身没问题，毛病出在「系统代理有没有把这个端口写进系统」；如果这条也失败，先回到端口是否被占用、客户端是否在运行。
系统设置、端口、浏览器
核对系统代理主机与端口是否等于客户端混合端口；不一致时，浏览器走的是错误端口，连接页自然安静。冲突见端口冲突、拦截见防火墙。改端口后，系统代理与 Allow LAN 设备都要跟着改。
Chrome/Edge 扩展、Firefox 自带代理、公司 PAC 会盖过系统设置——清掉旧代理软件残留（卸载后断网）。只有某一个浏览器不行：查该浏览器代理；无痕模式正常，多半是扩展在抢代理。
企业环境若强制代理策略，本地开关可能被改回去。这时不要死磕系统代理写入，评估是否允许 Tun，或按公司要求使用指定出口。个人电脑上若装过多个代理客户端，残留服务也可能抢端口。
开机丢失与公司策略
「看起来开着」但系统项是空的：常见是开机后客户端晚于浏览器启动、权限不足、或被策略覆盖。延迟几秒再开浏览器，或给客户端开「开机启动 + 恢复系统代理」，往往比再装一次有效。
HTTPS 仍像直连：看是否还有上层安全套件做解密/扫描。日志对照见日志排查。能稳定复现「写入失败」时，再考虑重装服务或客户端；偶尔一次丢失，先查启动顺序。
何时上 Tun、何时止损
浏览器已通、命令行/AI 不通：别再折腾系统代理，开 Tun 或给工具单独配代理环境变量。Tun 启失败见Tun 启动失败。仍乱：回常见错误索引。
止损标准：连接页能稳定看到目标域名记录，且浏览器访问符合预期。达到这一点就停下，不要继续叠加规则、DNS、Tun「以防万一」。一次只验证一个假设，才能把「系统代理」从「感觉坏了」变成可复现的结论。订阅还是空的，请先回不出节点，不要在空节点上调系统代理。