PassWall2 订阅更新失败怎么办？
简答：PassWall2 订阅更新失败，先不要更换节点或重装插件：保存原配置后，在路由器本机依次检查订阅 URL、系统时间、DNS、HTTPS 响应和 PassWall2 日志。若能下载但节点为空，故障通常已经从“网络访问层”进入“响应格式或解析层”，此时应核对返回内容和当前版本支持范围。
定义：PassWall2 订阅更新，是路由器上的 PassWall2 访问订阅地址、下载响应内容，并把其中的节点或配置解析到本地列表的过程。
先试这 5 步：不要一开始就换节点或重装
本文是第三方使用指南，不代表「高墙之外❤️ -」官方页面。PassWall2 的公开代码仓库将其描述为面向 OpenWrt 的 LuCI 网络代理应用；实际菜单名称、日志位置和可用选项可能随固件与版本变化，应以设备当前界面为准：PassWall2 公开代码仓库。
| 顺序 | 要做什么 | 看什么结果 | 停止条件 |
|---|---|---|---|
| 1 | 备份当前订阅、节点和配置 | 失败后仍能恢复原状态 | 未备份前不要删除旧订阅 |
| 2 | 核对订阅 URL、系统时间和路由器本机联网 | 地址完整，时间基本正确，路由器能访问外网 | 时间错误或本机无法联网时先修基础网络 |
| 3 | 从 SSH 测试 DNS 和 HTTPS | 能解析域名并收到 HTTP 状态或响应头 | 解析失败或超时就先处理 DNS、网关或访问路径 |
| 4 | 查看 PassWall2 更新日志 | 识别 404、超时、TLS、空响应或格式错误 | 日志指向格式问题时再检查订阅内容 |
| 5 | 确认节点生成和核心兼容性 | 节点列表出现，所选核心能读取节点 | 节点为空时不要把“下载成功”当成“订阅有效” |
这套顺序的重点是先定位失败层级。浏览器能打开订阅地址，不代表路由器本机使用了相同的 DNS、网关、IPv4/IPv6 路径或代理；客户端已经能上网，也不代表旁路由本机可以下载订阅。
第一层：核对订阅 URL、系统时间和路由器本机联网
- 先备份。保留当前订阅条目、已有节点和 PassWall2 配置。测试更新时不要先删除旧订阅，避免失败后失去回滚依据。
- 检查 URL 是否完整。确认协议头、域名、路径和查询参数没有被换行、截断或漏复制。订阅地址应返回订阅内容，而不是登录页、邀请页、验证码页、普通 HTML 错误页或空页面。若地址由服务商提供，应以其页面显示为准。
- 检查系统时间。通过 SSH 执行
date，观察路由器的日期、时间和时区是否明显错误。时间异常可能造成 HTTPS 证书校验失败，但时间正常也不能证明订阅地址一定可用。 - 确认默认网关。在旁路由场景中，客户端能通过主路由上网，不代表旁路由本机的默认网关配置正确。先确认路由器本机能访问一个普通 HTTPS 地址，再继续测试订阅域名。
如果路由器本机无法联网、域名无法解析或系统时间明显错误，停止修改 PassWall2 的节点、核心和分流设置，先修复基础网络。基础连通恢复后再重新执行一次手动更新，保留原始错误信息。
不要把“浏览器打开”当成订阅验证
浏览器可能使用了设备自己的 DNS、代理或缓存，而 PassWall2 更新通常由路由器本机发起。两者的访问路径不同，因此应在路由器 SSH 中单独测试。即使浏览器显示页面，也要继续确认路由器收到的是可解析的订阅内容，而不是登录页面或错误提示。
第二层：用 SSH 区分 DNS、HTTPS、404 和响应内容问题
下面的命令用于观察故障层级。请把示例域名和路径替换成自己的地址；订阅 URL 可能包含令牌或节点信息，不要把完整命令和输出直接发布到公开工单。
- 测试域名解析：
nslookup example.com。如果设备没有nslookup，使用系统已有的 DNS 查询工具；工具缺失本身不能证明 DNS 故障。 - 测试 HTTPS 响应：
curl -I -L --max-time 20 'https://example.com/path'。该命令主要观察连接、跳转和响应头，不能单独证明正文已经能被 PassWall2 解析。 - 查看有限长度响应：
curl -L --max-time 20 --range 0-512 'https://example.com/path'。只在确认输出不会泄露敏感信息时使用；不要公开完整订阅正文。 - 再次确认时间：
date。如果 HTTPS 报证书尚未生效、已过期或校验失败，先处理时间、证书链、域名和访问路径，不要把关闭证书校验作为长期方案。
| 现象 | 优先怀疑的层级 | 下一步 |
|---|---|---|
| 404、410 | 路径、订阅状态或服务端资源变化 | 重新核对完整 URL，并向订阅提供方确认地址是否仍有效 |
| Could not resolve host、解析失败 | DNS、默认网关或路由器本机解析路径 | 分别测试域名解析、IP 连通和路由器本机 DNS 配置 |
| Connection timed out | 出口、路由、目标站点或访问方式 | 先测试同一设备访问其他 HTTPS 地址，再比较直连与代理路径 |
| 证书错误、TLS 错误 | 系统时间、证书链、域名或中间网络 | 检查时间和 URL，不要直接关闭证书校验 |
| HTTP 请求成功但节点为空 | 响应为空、返回网页或格式解析失败 | 查看有限响应和 PassWall2 日志，核对订阅格式 |
如果 IP 连通正常、域名解析失败，可以把故障暂时定位到 DNS 或路由器本机解析路径；如果 DNS 正常但 HTTPS 超时，则应继续比较访问方式和出口路径。每次只改变一个变量，才能知道哪一步影响了结果。
第三层：区分订阅直连失败与订阅内容解析失败
PassWall2 的订阅访问可能涉及直连、代理或自动方式。正确做法是先记录当前设置，手动更新一次并保存日志；确认路由器能联网但订阅域名直连超时后，再临时改用代理路径进行对照。代理访问成功，只能说明代理路径取得了响应，不代表直连 DNS、默认网关或分流规则已经修复。
PassWall2 公开 issue 曾记录不同 ImmortalWrt 版本下，nslookup 对 DNS 服务器端口格式的处理差异，导致相同订阅直连配置出现不同结果。该 issue 后续在 2026 年 10 月 21 日标记为 completed，因此旧 issue 不能直接证明当前所有版本都存在同一问题；如果你仍遇到类似现象，应记录固件版本、PassWall2 版本、命令输出和更新日志，再判断是否属于同类兼容性问题：PassWall2 订阅直连 DNS 解析兼容性 issue。
- 记录固件名称与版本、PassWall2 版本、设备架构、订阅访问方式和完整错误文本。
- 分别执行 DNS 查询与 HTTPS 请求，确认是解析失败、建立连接失败，还是收到响应后解析失败。
- 如果代理访问成功，先保留可工作的设置，再单独排查直连 DNS、默认网关和分流规则。
- 如果直连和代理都能下载但节点为空，检查响应是否为空、是否为网页、是否为当前版本支持的格式。
不要把 HTTP 200 直接等同于“订阅有效”。HTTP 200 可能对应空内容、登录页、错误提示或无法识别的配置格式。
第四层：已经下载但节点为空，或核心不启动
如果日志显示订阅请求完成，下一步应检查“节点是否生成”和“核心是否能读取”，不要立即重装插件。
- 节点列表为空：检查日志是否出现解析失败、格式不支持、内容为空或字段缺失。还要核对服务商提供的格式与当前 PassWall2 版本是否匹配。
- 节点出现但核心不启动：确认节点协议是否在所选核心的支持范围内，并分别查看 PassWall2 主日志和对应核心日志。一个核心能读取节点，不代表另一个核心也能读取。
- 更新后默认节点失效：重新确认默认节点、分组和分流目标。公开 issue 中有订阅更新后已选节点引用失效的个案，因此更新后应重新检查默认节点，而不能只看订阅时间是否变化：PassWall2 订阅更新后节点引用问题记录。
- 路由器本机解析失败但局域网设备正常：分别测试路由器本机 DNS 与客户端 DNS。公开 issue 记录过“局域网客户端正常、路由器本机解析失败”的现象，说明两者不能互相替代验证：PassWall2 路由器本机 DNS 问题记录。
更新完成后至少验证三件事：节点列表是否出现、默认节点是否仍指向有效条目、路由器本机和实际客户端是否分别满足预期。单次打开网页不能证明连接长期稳定，也不能证明所有分流规则都已生效。
回滚、升级与提交日志时怎么做
如果修改访问方式、DNS 或节点后问题变得更复杂，按相反顺序回滚：恢复原订阅设置，恢复原 DNS 和默认节点，重新加载配置，再做一次最小测试。不要同时升级固件、替换 PassWall2、切换核心和修改 DNS，否则无法判断是哪一步改变了结果。
只有当日志和复现结果明确指向版本兼容、解析器行为或项目已记录的问题时，才考虑升级 PassWall2 或固件。升级前先备份配置，并查看项目的 Release 资产和说明；具体版本号、安装文件名和兼容关系应以对应 Release 页面为准：PassWall2 Releases 页面。
如果需要核对 OpenWrt 的包管理器，不要仅凭某个命令是否存在判断系统类型。OpenWrt 官方文档说明，24.10 及更早版本使用 opkg，25.12 及更新版本使用 apk；应结合固件版本、软件源和实际包数据库判断：OpenWrt 软件包管理说明。
向服务商或社区求助时，建议提供固件与 PassWall2 版本、错误发生时间、脱敏后的错误行、DNS 测试结果、HTTP 状态码以及直连或代理访问方式。删除完整订阅 URL、访问令牌、节点密码和不必要的服务器信息。日志只能证明某次请求或某个环境下的失败，不能单独证明服务商长期不可用。
结论：按失败层级处理，避免反复改配置
PassWall2 订阅更新失败，最有效的顺序通常是：备份配置 → 检查 URL 和时间 → 在路由器本机测试 DNS 与 HTTPS → 查看更新日志 → 判断响应格式 → 检查节点生成和核心兼容性。遇到 404 先核对地址，遇到解析失败先查 DNS 和网关，遇到超时再比较直连与代理，遇到节点为空则转向响应格式和解析器排查。
如果你需要继续核对跨境办公场景下的线路、DNS 与连接问题，可查看边界云加速的相关服务说明。
常见问题
PassWall2 订阅更新超时，先改 DNS 还是先改代理？
先保存配置并测试路由器本机 DNS 与 HTTPS。如果域名无法解析，先处理 DNS 或网关；如果 DNS 正常但直连 HTTPS 超时，再临时用代理访问作对照。代理成功只说明该访问路径能取得响应，不代表直连问题已经修复。
浏览器能打开订阅链接，为什么 PassWall2 仍然更新失败？
浏览器所在设备与路由器可能使用不同 DNS、网关、IPv4/IPv6 路径或代理。应在路由器 SSH 中用 nslookup 和 curl 单独验证，并确认返回的是订阅内容，而不是登录页、错误页或空响应。
PassWall2 显示更新成功，但节点列表仍然为空怎么办？
检查更新日志和响应内容。下载成功不等于格式解析成功，可能是内容为空、返回网页、格式不被当前版本支持，或解析器无法识别字段。先保留原订阅，不要立即删除配置。
更新后默认节点失效，是否说明订阅完全坏了？
不一定。公开 issue 记录过订阅更新后节点引用失效的个案，可能是默认节点、分组或引用发生变化。先重新确认默认节点和分流目标，再根据主日志与核心日志判断。
什么时候应该升级 PassWall2 或 OpenWrt？
当日志和复现结果明确指向版本兼容、DNS 查询工具行为差异或项目已记录的问题时，再考虑升级。升级前备份配置，并一次只改变一个组件；没有明确证据时，优先完成 URL、时间、DNS、网关和响应内容检查。
提交日志时怎样避免泄露订阅信息？
删除完整订阅 URL、token、密码和不必要的服务器信息，只保留错误类型、发生时间、固件与 PassWall2 版本、脱敏后的命令结果和 HTTP 状态码，不要公开完整订阅正文。
相关阅读
- PassWall2 连接失败：从日志、端口和代理状态继续排查
- PassWall2 节点不显示：检查订阅解析和过滤设置
- PassWall2 路由日志怎么看：LuCI 与 SSH 排错
- PassWall2 速度慢：区分节点、DNS 和路由器性能问题