网络对照法
代理、VPN与系统DNS存在时怎样只记录不绕过
记录环境影响但不建议规避访问限制或保护。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
设备存在代理、VPN或自定义DNS时，正确做法是把网络中介状态作为环境证据记录，而不是把排障变成解除限制或安全控制的教程。诊断卡只需proxy_state、vpn_state、dns_mode、managed_by、observed_at与evidence_level，状态使用启用、停用、受管或UNKNOWN；服务器地址、配置密钥、账户和策略内容不采集。先在不改变设置的情况下复现症状，确定最后有证据成功到哪层，再判断是否需要由设备管理员检查。
中介状态与访问表现同时出现，只能形成相关线索。启用某配置时超时、另一环境下出现响应，并不能单独证明该配置是原因，也不能证明切换后的路径安全。DNS观察绑定主机与时间并脱敏，证书告警无论环境如何都立即停止。组织管理状态不清楚时，只记录设置界面的可见提示，不探测内部规则。证据不足的环节保持UNKNOWN。审核时可以建立状态时间线，把代理连接、隧道切换、解析模式变化和浏览器请求分别放在同一时轴，但不因时间接近自动画因果箭头。每个中介字段还应注明由系统、浏览器还是受管策略显示，避免同名设置被误当同一层。若测试需要修改配置，应先取得权限、保存可验证回退，并确保该改变不是为了规避限制；条件任一不满足就只提交只读观察。异常配置或未知根证书转入系统安全流程。
建立只读的网络中介清单
清单记录系统或浏览器是否显示代理、隧道、私密转发、自定义解析或管理标记，并注明信息来自哪个可见界面。不要打开配置文件复制地址，不导出证书、密码或令牌。设备名称和网络名称使用临时类别，防止环境记录变成个人画像。
同一设备可能同时存在系统级与浏览器级设置，二者分栏记录而不推断优先级。某项无法看到、权限不足或名称不明时写UNKNOWN。只读盘点完成后保存时间，因为网络工具可能自动连接或断开，旧状态不能代表后续测试。
- 盘点只使用可见且非敏感状态
- 系统层和浏览器层分别记录
- 配置细节和凭据不进入诊断卡
识别受管环境并设置权限边界
设置页面出现由组织管理、配置描述或策略控制时，记录managed_state和可见文字，停止自行修改。排障人员不需要知道策略内部内容，也不尝试移除描述文件、关闭过滤或提升权限。需要核对时交给明确授权的系统支持角色。
个人设备也可能装有安全软件或家庭过滤，此时同样先确认所有者授权和可撤回方式。要求安装未知配置、未知根证书或关闭保护的提示属于安全触发器，立即结束普通检查。权限边界不因页面急需访问而降低。
- 受管提示出现后不自行解除策略
- 任何权限扩大都需独立授权
- 未知配置请求触发安全停止
记录解析观察而不公开地址
DNS卡保存查询时间、结果类型、是否获得结果、解析模式和主机标签。完整地址可在受控日志中一致替换或仅保留类别，共享记录不需要显示末段。一次解析成功不证明地址正确、长期稳定或属于某一实体，只证明当时获得一项结果。
系统缓存、浏览器安全解析和网络提供的解析可能并存。无法确定使用哪一路径时dns_mode写UNKNOWN，不通过关闭安全功能来验证。两轮结果不同可记录指纹差异，但没有规则与独立证据时不选择所谓正确答案。
- 解析证据绑定主机与观察时间
- 共享资料移除完整地址内容
- 多种解析路径不做无证据排序
用协议阶段限制相关性解释
代理显示启用且连接超时，只能把该状态列为环境变量。若连接成功而TLS名称告警，诊断立即转入证书停止，不能说代理导致或换掉代理继续。若响应层才出现错误，保留前层证据并记录中介是否有可见转换行为。
对照时一次只改变一个经授权、低风险且可撤回的状态。受管或未知状态不进入主动切换。结果用stage_changed、no_change或UNKNOWN表达，不使用畅通、绕过、解锁等暗示规避的词。根因需要独立证据，不能来自一次相关变化。
- 中介变量与协议阶段同时呈现
- 相关性不升级为因果判断
- 受管未知状态排除主动切换
避免收集会话与网络秘密
日志脱敏删除Authorization、Cookie、查询参数、账户、完整IP、设备名和配置端点。保留方法、资源类别、阶段、状态码、错误文字和时间即可支持多数诊断。原始敏感文件不得上传到文章或普通工单，脱敏副本附字段删除说明。
屏幕截图需裁掉菜单栏通知、浏览器个人资料、扩展账号与网络名称。若某字段是否敏感无法判断，默认移除并标redaction UNKNOWN。脱敏后由第二人或自动规则检查长令牌串、邮箱形式和地址格式，仍有命中就不共享。复核还需检查文件名、图像元数据与设置页侧栏，防止正文已脱敏而附件继续泄露环境。
- 会话头和查询参数全部删除
- 截图与文本执行同等级脱敏
- 不确定字段采用默认最小披露
为每项观察设置停止和回退
只读观察本身也设结束条件：信息已足够定位阶段、界面要求更高权限、出现证书告警或开始暴露敏感配置时停止。若经授权执行单一切换，事前记录原状态和恢复步骤，事后验证恢复，不把临时状态留给用户。
操作后无法恢复原配置时，立即停止其他实验并升级支持。切换没有变化也保存no_change，防止反复开关造成环境漂移。网络可达性不是覆盖安全、管理策略和隐私的理由；无法安全核对就接受UNKNOWN。回退验证分别检查系统层、浏览器层和受管状态，不能只看图标消失。若状态由自动工具周期改变，记录其调度特征并停止人工开关。审计从环境摘要反查每个中介字段的可见证据，任何包含端点、密钥或组织内部策略的附件都被拒绝共享。
- 只读观察同样具有明确结束条件
- 可变设置必须有已验证回退方法
- 恢复失败会阻断后续实验
输出不含规避建议的环境摘要
摘要列中介类别、可见状态、管理边界、测试时间、最后成功层、症状和仍未知项。它只帮助接手者理解环境，不给出节点地址、策略绕过或关闭保护步骤。若需要管理员核对，写明所需最小问题，例如确认策略是否预期作用于该类请求。
发布前扫描全文，删除任何暗示通过代理、隧道、解析切换规避访问限制的表达，并验证证书分支始终停止。合成回归包含受管代理、状态UNKNOWN、多重解析和相关变化。通过只代表记录安全可用，不声明现实访问结果。测试还加入浏览器级与系统级设置同名、管理标记后状态无法读取、解析结果轮换和中介关闭后告警仍在等情形。审计者必须从每个字段追到可见设置页或工具证据，缺证据就降为UNKNOWN。回退演练确认所有经授权的临时改变都恢复原态。
- 摘要不包含配置端点或解除方法
- 升级问题限定为最小可核字段
- 安全和反规避语言完成复核且确认没有策略解除暗示与未知证书安装建议
