AI 编程工具 Claude Code 在家里一切正常，换到公司网络就登不上、请求发不出——这类连不上，工具本身多半没毛病，是网络策略在中间设了关卡：代理、证书、防火墙，三层里总有一层在拦。企业网络的管理逻辑与家庭网络不同，排查要先分清是哪一层在拦，再对症处理；好几层的出口在公司管理员手里，不在你的配置里。这篇给一条排查顺序：先换网做排除法，再逐层检查代理与证书，最后是 403 与防火墙的处理方向。
连不上先分三类
动手前先分流。第一类是认证问题：报错落在 Authentication failed 这类文案上，说明请求已经通了、身份没认上，等网络没用，走登录流程一篇去修凭据。第二类是网络问题：超时、连接失败、请求发不出去，报错指向链路本身，这是本篇的主场。第三类是策略问题：请求被明确拒绝，返回 403 之类的拒绝码，说明链路通、但中间有设备按规则拦下。三类分流清楚，方向就不会错——认证类去修身份，网络与策略类继续往下查。
第一查：换网做排除法
排查从成本最低的开始：手机热点。把设备切到热点，同一个操作再试一遍——热点下正常、公司网下异常，定位就落在网络侧，后面所有步骤才有的放矢；热点下同样异常，问题多半在工具与账号侧，回安装与登录去找，健康状态可跑 claude doctor 核对，见三命令排查一篇。这个排除法一步就能把「工具坏」与「网络拦」切开，避免在错误的半场里折腾。切网后还有个细节：终端会话里的代理变量可能残留着公司配置，必要时新开终端再试，别让旧变量搅局。
代理设置：HTTPS_PROXY
企业网常要求流量经代理出网。命令行工具认的是终端里的环境变量：HTTPS_PROXY 指向公司代理的地址与端口，设对了请求才走得出去。常见错位有两种：一是系统里配了代理，终端会话没继承，工具直连撞墙——在终端里显式设置变量再试；二是地址或端口抄错，或代理需要认证而凭据没配上。对照公司 IT 给的代理说明逐项核对，Codex 侧的代理配置细节可参考代理配置一篇，思路通用，两篇对照着核对更快。
证书报错：NODE_EXTRA_CA_CERTS
另一层关卡在证书。不少企业网关会对 TLS 流量做检查，用自己的根证书重新签发流量证书——浏览器早装了公司根证书所以无感，Node 默认只认公共根证书，碰上自签的就握手失败，报错落在证书校验上。处理办法不是关掉校验，而是把公司根证书喂给 Node：把证书文件路径配到 NODE_EXTRA_CA_CERTS，Node 校验时多认这一份，握手即通。证书文件找 IT 要，路径写对，重开终端生效。代理与证书两层都过了仍连不上，剩下的就是策略层。
| 关卡 | 报错长相 | 对应动作 | 谁来解决 |
|---|---|---|---|
| 认证 | Authentication failed | 重走登录，修凭据 | 自己 |
| 代理 | 请求发不出去、直连撞墙 | 把 HTTPS_PROXY 指向公司代理的地址与端口 | 自己对照 IT 说明核对 |
| 证书 | 证书校验失败、握手不通 | 把公司根证书路径配进 NODE_EXTRA_CA_CERTS | 证书文件找 IT 要 |
| 防火墙与策略 | 返回 403 | 申请把所需域名加进放行清单 | IT 管理员 |
403 与防火墙：找管理员
403 的含义是策略拒绝：防火墙或网关按规则拦下了到相关域名的访问，常见于白名单制的企业网。这一层的出口只有一个：让 IT 管理员把工具所需的域名加入放行清单。要说明的是，绕开公司管控的路子不该走也不必走——既违反公司网络规定，也让后续排查失去依据；正常走放行流程，通常一两天内就能解决。提申请时把工具名、需要访问的域名、完整报错一并给全，IT 处理起来最快。网络侧的通用排查心法，Codex 侧有同款整理，见网络报错排查一篇，与本篇互补。
企业网络排查速查
- 先分流：认证报错修身份，超时查网络，403 查策略
- 第一查换热点做排除法，切开工具与网络两侧
- 代理看 HTTPS_PROXY 是否设置、地址端口是否抄对
- 企业网关自签证书，路径配进 NODE_EXTRA_CA_CERTS
- 403 找管理员放行，不走绕开的路子
连不上网怎么办速查
- 报 Authentication failed 是网络问题吗？：不是。链路已通、身份没认上，按登录与凭据的思路去修，网络侧不用动。
- 代理变量该设在哪？：设在终端会话认得到的地方——shell 配置文件或当前会话，设完重开终端生效；只配系统代理而终端没继承，工具是不认的。
- IT 迟迟不放行怎么办？：把报错信息、访问域名、影响面整理成一页说明再催一次；等待期间可用手机热点临时顶上，别在管控网络上反复硬试。想让四层关卡心里有数，可以让 Kimi 检索你所用网关的证书说明，DeepSeek 把排除法、代理、证书、策略画成一张分流图。
