CCSwitch 只在公司网络失败，怎么排查代理、TLS 和证书链？

搜索意图：用户在 https://ai.jn83.com 配好 CCSwitch 后，家里网络能调用 AI API，公司网络却报证书错误、连接重置或模型列表为空。有人会搜索“GPT 中转公司网络不能用”，更规范的判断是 AI 模型接口访问链路里的代理、TLS 和证书链问题。

先区分账号配置错误和网络链路错误

CCSwitch 配置失败时，很多人第一反应是改 API Key 或换模型名。可如果同一套配置在一台电脑正常、换到公司网络失败，重点通常不在模型调用管理本身，而在公司代理、网关证书、TLS 检查、DNS 分流或安全软件拦截。盲目修改 base_url 反而会把原本可用的配置弄乱。

永沃云枢建议先做两条线：配置线确认 base_url、API Key、模型名和 profile 优先级没有变化；网络线确认请求是否被代理接管、证书是否被替换、TLS 版本是否兼容。只有两条线都清楚，Codex 接入和开发者 AI 调用才不会在不同网络环境里表现不一致。

适用场景

适合 Windows 或 macOS 上使用 CCSwitch 管理 AI API 接入，且错误只在公司、校园、酒店、远程桌面或代理环境里出现。典型表现包括连接测试成功但模型不可用、证书验证失败、请求被 407 代理认证拦截、流式输出中断、同名 profile 在两台电脑结果不同。

操作步骤：按请求路径逐段确认

固定配置快照。先导出或截图 CCSwitch 当前 profile，记录 base_url、模型名、代理开关和环境变量来源，不要边查边改。
测试 DNS 和基础连通。用 Resolve-DnsName 域名、Test-NetConnection 域名 -Port 443 看是否能解析和建立 TCP 连接。
检查代理变量。运行 Get-ChildItem Env:HTTP_PROXY,Env:HTTPS_PROXY,Env:NO_PROXY，确认 Codex、终端和 CCSwitch 是否使用了不同代理。
查看证书链。浏览器打开同一 base_url 的健康检查页或文档页，查看证书颁发者。如果公司代理替换了证书，要判断应用是否信任该根证书。
做最小 API 调用。只请求模型列表或轻量接口，记录状态码、错误对象和响应头，不要直接跑长任务。

常见错误怎么判断

certificate verify failed 多数与证书链或本机信任库有关；407 Proxy Authentication Required 表示公司代理需要认证；连接很快被重置，可能是网关策略拦截；模型列表为空但状态码是 200，则要回到 CCSwitch profile 优先级和 base_url 路由检查。可以对照 CCSwitch 显示连接成功但模型不可用和同名 profile 配置指纹比对，不要把网络问题误判成 Key 错误。

如果需要让 Codex 协助排查，任务边界要写清楚：只读配置、只跑连通性命令、不得改系统代理、不得导出真实 API Key。公司网络问题往往涉及安全策略，AI 自动化办公脚本或开发者工具不应自行绕过策略。

实际记录时建议把同一次测试拆成三行：本机网络环境、CCSwitch profile 指纹、最小请求结果。比如同事 A 在公司有线网络失败、手机热点成功，同事 B 在同一楼层也失败，就优先怀疑网关或证书策略；如果只有某个项目失败，再回头查项目级 override、环境变量和缓存进程。这样排查路径能被复现，交给网络管理员或开发同事时也不会只剩一句“AI API 不能用”。

常见问题 / 避坑

不要把公司根证书、真实 API Key 和完整代理地址贴到公开问答平台。排查时可以保留域名结构、状态码、证书颁发者类型和错误摘要，敏感字段要脱敏。不要把 NODE_TLS_REJECT_UNAUTHORIZED=0 当解决方案，这会让所有 TLS 校验失效，只适合极短的本地验证，而且不应进入长期配置。

另一个坑是多个工具走不同代理。浏览器正常，不代表 CCSwitch 正常；PowerShell 正常，也不代表桌面应用继承了同样环境变量。模型调用管理平台应保留请求日志，至少能看到 provider、profile、base_url、错误类型和 trace_id。

检查清单

已确认问题只在特定网络出现，账号、余额、模型名不是主要变量。
base_url、API Key、模型名、profile 优先级有固定快照。
DNS、TCP 443、代理变量、证书链和最小模型列表请求都已检查。
没有关闭全局 TLS 校验作为长期方案。
排查记录中已脱敏 API Key、代理账号、内网域名和公司证书细节。
相关站内资料：CCSwitch 配置脱敏、项目 override 优先级、CCSwitch 配置专题、AI API 接入专题。

FAQ：能不能直接换一个接口地址绕过公司网络

不建议把绕过当默认方案。先确认公司网络策略允许访问外部 AI 模型接口，再和管理员说明用途、域名、端口和数据类型。对永沃云枢用户来说，https://ai.jn83.com 的配置重点是稳定、可审计、可复核，而不是绕开网络管理。只有当策略允许且配置经过记录，才考虑备用 base_url 或备用网络。