http 站能开、https 站打不开，是代理不支持 HTTPS 吗？多数情况不是：https 流量要先经过 CONNECT 建一条盲隧道，卡住的是这一步或代理认证。站内 4 元档（沧海、光子）和 6 元档（天行、鲸云）都支持 CONNECT，换一条更贵的线解决不了被拒的隧道。
🔗 快速入口：一站式注册入口（24 家平台） ｜ 全平台价格中心（含档位明细） ｜ 代理工具与客户端教程中心
| https 为什么特殊 | 内容是加密的，代理无法再代为请求，只能从中转字节，所以有了 CONNECT |
| 代理能看到什么 | 只有域名与端口；路径、Cookie、正文都看不到，除非它装了根证书做中间人 |
| 三种报错各在哪一层 | 407＝代理要认证；403＝代理拒了这个目标；隧道失败＝CONNECT 没建起来 |
| 最常见的误判 | 把 407 当成「IP 被封」，于是换平台、换档位，钱花了症状没变 |
| 成本锚 | 站内起价 2.24 元起，常见 4 元与 6 元档；这笔钱买的是 IP，不是 CONNECT 权限 |
先看报错码：407、403 和隧道失败各指向不同层
报了错还按「换 IP」这条思路走，等于在没定位的情况下先花钱。浏览器和系统给出的提示词其实已经把责任分好了，只看你会不会读。
| 看到的提示 | 谁发出的 | 说明什么 | 先查哪里 |
|---|---|---|---|
| 407 Proxy Authentication Required | 代理服务器 | 代理要求认证，但凭据没送到或格式坏了 | 账号密码、URL 编码、白名单是否已加 |
| 403 Forbidden | 代理或目标站 | 认证过了，但这条线路不允许访问该目标或该端口 | 目标域名、端口是否在放行范围 |
| ERR_TUNNEL_CONNECTION_FAILED | 浏览器 | CONNECT 请求没得到 200，隧道根本没建立 | 代理地址端口、协议类型、目标端口 |
| 证书告警（NET::ERR_CERT_AUTHORITY_INVALID） | 浏览器 | 有设备在中间替换证书，或你把端口填成了明文代理口 | 本机是否装了陌生根证书、地址协议是否写错 |
| 一直转圈后超时 | 网络层 | 连代理入口这一步就没通，跟 CONNECT 无关 | 入口 IP:端口是否可达、IP 是否已过期 |
这五种提示里，只有最后一种和「入口线路」有关。前四种全部发生在代理层或客户端配置层，换一条 IP 进来，配置还是那套配置，结果不会变。407 是最容易被读成「IP 不行」的一个，因为它长得像被封，实际只是认证没谈成。
HTTPS 走 HTTP 代理，中间多了一次 CONNECT
HTTP 代理对两类目标站的处理方式完全不同。http 目标是明文，代理可以代你发请求，也能顺手改一改、缓存一份；https 目标是加密的，代理拿不到密钥，只能在你和目标之间搬字节。
| 目标站 | 客户端对代理说的第一句话 | 代理能看到 | 能否改写内容 |
|---|---|---|---|
| http:// 站点 | GET http://域名/路径 HTTP/1.1 | 完整 URL、请求头、正文 | 能，这也是明文代理的风险来源 |
| https:// 站点 | CONNECT 域名:443 HTTP/1.1 | 只有域名与端口 | 不能，除非装根证书做中间人 |
| 走 SOCKS5 时 | 二进制握手，带上目标地址与端口 | 目标地址与端口 | 不能，且与 http/https 无关 |
所以「这个代理支持 HTTPS 吗」翻译过来其实是两句话：客户端会不会对 https 目标发 CONNECT，代理服务器愿不愿意替你把这条隧道建到那个端口上。两句都成立，HTTPS 就通；缺一句，就是你看到的各种报错。
也有一类代理只做明文转发、根本不接受 CONNECT，业内叫网页代理。这类代理在 http 站点上完全正常，一碰到 https 就必然失败——它没有坏，它只是没这个能力。买之前问清「支持 CONNECT 吗」，比问「支持 HTTPS 吗」有用得多。
地址栏里的 http:// 说的不是目标站
这一条每年都要解释很多遍：在代理地址栏里填的 http://，描述的是「我用 HTTP 协议跟代理这台机器说话」，跟你要访问的网站是不是 https 没有关系。写对了照样能开 https 站，写错了 http 站也开不了。
| 写法 | 真实含义 | 常见结果 |
|---|---|---|
| http://IP:端口 | 与代理之间明文通信，https 目标靠 CONNECT | 绝大多数代理平台的标准填法 |
| https://IP:端口 | 先与代理本身建立 TLS，再发代理请求 | 多数代理不听这个口，报连不上或证书错 |
| socks5://IP:端口 | SOCKS5 握手，认证在握手阶段完成 | 无 CONNECT、无 407，http/https 一视同仁 |
| 只填 IP 与端口 | 由客户端自己决定用哪套协议去谈 | 先确认它默认是 HTTP 还是 SOCKS5 |
平台文档里写的「支持 HTTP/HTTPS」，指的通常是能代理 http 与 https 两类目标站，不是在卖两种代理协议。把这句话当「两种协议都支持」去理解，很容易在客户端里选错类型，然后得到一堆莫名其妙的失败。
密码带 @ 或 #，凭据在 URL 里就已经坏了
407 里有一半不是密码错，是密码「在路上变形了」。代理凭据常常被写进 URL 的 userinfo 段，形如 http://用户名:密码@IP:端口，而 @ 恰好是这段的分隔符。密码里带一个 @，解析器就会把它前面当成用户名、后面当成主机名，于是连到了一台不存在的主机，或者干脆认证失败。
| 密码里的字符 | 必须写成 | 不转义会怎样 |
|---|---|---|
| @ | %40 | 被当成分隔符，主机名解析错位 |
| : | %3A | 用户名与密码的边界提前断开 |
| # 或 ? | %23 ／ %3F | 后半截被当成片段或参数丢掉 |
| / 或空格 | %2F ／ %20 | 路径被截断，请求发不出去 |
快速判定法：把密码临时改成纯字母数字，重新保存一次。如果 407 消失，问题就在编码；如果照旧 407，再去看认证方式。有的平台用的是 IP 白名单而不是账号密码，这时客户端里那两栏填什么都不影响，真正要动的是在后台把当前出口 IP 加进去——加错了地址，填一万次密码也是 407。
还有一种 407 是缓存造成的：密码在后台改过，客户端里存着旧的，看着是「明明填对了」。清掉客户端里的凭据重新输一遍，比反复点重试有用。
代理只放行 443，非标端口自然打不开
CONNECT 说的是「域名:端口」，端口是这条隧道的一部分。不少代理为了防滥用，只允许 CONNECT 到 80 和 443，其余一律回 403 或直接断开。于是你会看到一种很怪的现象：主站能开，同一台服务器上的备用端口打不开。
| 现象 | 多数指向 | 验证方式 |
|---|---|---|
| 同域名 443 正常，8443 失败 | 代理的端口放行策略 | 换一个非 443 的 https 站再试一次 |
| 某站全站打不开，别的 https 正常 | 该站封了这个出口段，或需要登录才放行 | 同一出口换 http 访问该站首页 |
| 只有含图含视频的页面卡 | 已经不是 CONNECT，是大包传输问题 | 换 SOCKS5 对比，或查链路 MTU |
| 所有 https 全挂、代理入口也连不上 | 线路或账号本身 | 换一条 IP 或换协议再试 |
这四种现象经常被混成一句「代理不好用」，其实只有最后一种该去找供应商。前两种是代理的产品策略，改不了就换协议：SOCKS5 不区分端口，整机隧道更是把端口概念一起搬走了。
判断该不该换线，用三条反证就够了
换线是最后一步，不是第一步。三条反证任何一条成立，都说明钱花在别处更值。
| 反证 | 成立说明什么 | 该做什么 |
|---|---|---|
| http 站能开、https 站不能 | 出口是活的，卡在 CONNECT 或认证 | 查客户端模式与凭据，别动套餐 |
| 报错是 407 或证书告警 | 流量根本没出代理 | 先让请求真正走代理，再谈 IP 质量 |
| 换成 SOCKS5 立刻正常 | 问题在协议形态，不在 IP | 留在 SOCKS5，别回头折腾 HTTP 代理 |
四条修法按成本从低到高排：把客户端的「仅明文」模式关掉、让它对 https 也发 CONNECT；纠正凭据编码或改走 IP 白名单；换成 SOCKS5 跳过整套代理认证；最后才是换整机隧道。前两条零成本，第三条只改一个协议名，只有第四条要花钱。
顺带说清一个常见误解：整机隧道（L2TP 这类）确实不受 CONNECT 限制，因为它把整台机器的流量搬到线路那头，http 与 https 都不再经过代理协商。但它换来的是另一类问题——封装会让有效 MTU 变小，大包容易卡，且同一平台往往要贵一档。是否值得，看你卡在哪。
同平台贵 4 元的 L2TP 档，什么时候才值得买
把价格摊开看更清楚。同样是静态机房出口，天行的长效静态档 6 元，静态 L2TP 档 10 元；多出来的 4 元买的不是更干净的 IP，是「用拨号把整机流量搬走」这种接入方式。
| 平台档位 | 站内起价 | 协议形态 | 适合谁 |
|---|---|---|---|
| 光梭加速器 | 2.24 元/条起 | SK5 为主，L2TP 走软路由 | 单窗口单 IP、预算最紧 |
| 沧海IP ／ 光子IP | 4 元/月 | SK5 与 L2TP 双协议 | 要按进程分流、也要软路由的人 |
| 天行IP 长效静态 | 6 元/月 | SK5 代理 | 账号长期在线、属地要稳 |
| 天行IP 静态 L2TP | 10 元/月 | 整机隧道拨号 | 设备不支持填代理，只能整机搬流量 |
| 鲸云IP | 6 元/月 | SK5，全国 200 城 | 要指定城市、做本地化运营 |
| 55游 | 0.6 元/天 | 按天取，海外线路 | 短期海外验证、按天试 |
10 元那档该买的场景只有一个：设备本身不让你填代理（部分游戏机、老式播放器、只认 VPN 客户端的软件），这时整机隧道是唯一通路。如果设备支持填 SOCKS5，那么 6 元档就能干完这件事，多花的 4 元一年是 48 元，换不来更低的报错率。
价格与档位随平台活动会变，下单前以平台后台实时显示为准；同一平台不同档位的差价通常来自接入方式、带宽与切换额度，不是 IP 干净程度的差别。
官方入口与相关页面（四件套）
这篇讲的是协议与报错，不针对单一平台，所以四件套按「工具 + 比价」的组合给。
| 用途 | 入口 |
|---|---|
| 看全平台价格与档位 | 价格中心（24 家起价与套餐明细） |
| 横向比价 | 代理IP价格对比表（月卡口径） |
| 官方注册（带邀请码） | 一站式注册入口 |
| 客户端配置与教程 | 代理工具与客户端教程中心 |
| 自测工具 | IP综合检测中心 ／ 线路可用性检测（SK5+HTTP 真实握手） |
排查时优先用线路可用性检测：它按真实握手判断，能分开告诉你「SK5 通不通」和「HTTP 通不通」，比浏览器里看报错快得多。同一个 IP 两栏结果不一样，那基本就锁定在协议形态上了。
常见问题（FAQ）
Q1：http 站能开、https 站打不开，是不是 IP 被封了？
A：大概率不是。能连上代理并取回 http 页面，说明这条出口是活的；https 另有一道 CONNECT，卡住的通常是这道门。先看报错码，再看客户端是否对 https 也发了 CONNECT。
Q2：407 和 401 有什么区别？
A：401 是目标站要你登录，407 是代理要你认证，两件事发生在不同设备上。看到 407 说明请求还没到目标站，改目标站的账号密码没有任何作用。
Q3：代理地址里填 http:// 还是 https://？
A：按平台给的写，绝大多数是 http://。这个前缀描述的是你和代理之间的通信协议，与目标站是否为 https 无关；填 https:// 反而会因为代理不监听 TLS 而连不上。
Q4：换成 SOCKS5 就没有这些问题了吗？
A：CONNECT 与 407 这两类问题确实没有了，因为 SOCKS5 是字节管道，认证在握手阶段完成。但它有自己的坑：认证方式、端口放行、以及大包传输仍取决于线路质量。
Q5：只有某一个网站打不开，其他 https 都正常？
A：先看端口。若该站用的是非 443 端口，多半是代理的端口放行策略；若也是 443，则该站对这个出口段有额外策略，这时换一条 IP 才是有效动作。
Q6：换一条更贵的 IP 能解决吗？
A：只在你已经排除 CONNECT、凭据和端口之后才成立。站内 4 元与 6 元档都能建 CONNECT 隧道，价格差买的是带宽、属地与切换额度，买不到「绕过代理认证」。
Q7：企业网络里 https 一律证书告警，是怎么回事？
A：说明有设备在做 TLS 中间人，用自签根证书替换了目标站证书。这不是代理的问题，也不是 IP 的问题，需要找网络管理员确认策略，别自行安装来路不明的根证书。
📚 相关阅读
📄 老鱼加速器连不上节点？线路五查清单（IP/端口/账密/协议/模式）
📄 55游是什么？按「项目」切线路的外服游戏平台（2026）
更多帮助
如需获取更多帮助，请访问官网：socks5ip.com.cn
📊 价格中心（24 家平台起价与套餐明细） ／ 代理IP价格对比表
📖 代理工具与客户端教程中心 ／ 代理IP入门导航 ／ 代理IP知识库
🛠️ IP综合检测中心：IP质量/线路/测速/业务模拟免费测 ／ 线路可用性检测
📝 24 家平台一站式注册入口：https://linkdd.cn/socks5ip
💬 微信：17720135827 — 7×24h在线
全网低价IP｜聚合24家代理IP平台，全部免费测试，先测后买零风险
