Wi-Fi 能用但移动网络不能用机场怎么办：运营商协议端口限制、IPv6、DNS、APN 与换协议方案
同一部手机，连 Wi-Fi 时机场正常，切到 4G / 5G 就全部超时或只能连部分节点。原因集中在运营商对协议和端口的限制、IPv6 优先解析失败、DNS 污染、APN 设置，以及少数套餐的流量策略。本文逐项排查并给出换协议、换端口、热点共享的替代方案。
问题的本质
Wi-Fi 和移动网络是两条完全不同的出口：Wi-Fi 走家庭宽带，移动网络走运营商的核心网。核心网对流量的管控方式和宽带不一样，它有更严格的 NAT、常常是 IPv6 优先、部分地区会对特定端口和协议做过滤。所以同一个订阅在两种网络下表现不同，不是手机坏了，也不是订阅坏了。
排查前先做一件事：在移动网络下，把客户端的节点列表完整测一遍延迟，记下哪些能通、哪些不通。能通的节点是什么协议、什么端口，不通的又是什么——这个对比会直接告诉你答案。
一、运营商对协议和端口的限制
这是最主要的原因。常见模式：
- 非常用端口被限：443、80、8443 这类常规端口畅通，而 2053、12345、30000+ 这类高位或冷门端口超时。部分省份的移动网络会对非标准端口限速或干脆丢弃。
- UDP 被限或被丢：Hysteria2、TUIC 这类 UDP 协议在部分运营商下初期能用，几十秒后被识别限速，或者干脆一开始就不通。移动网络下 UDP 的 NAT 超时也更短，连接更容易中断。
- 明文或特征明显的协议被识别：没有 TLS 的 Shadowsocks、VMess 在部分地区会被识别干扰。
对应处理：
- 优先用 TLS 类 TCP 协议 + 443 端口的节点：Trojan、VLESS + TLS（含 Reality）、Shadowsocks + TLS 插件。这类流量在运营商看来就是普通 HTTPS。
- 机场一般会在节点名或文档里说明端口，有的提供「多端口」或「备用端口」节点，专门应对运营商限制。
- 协议的差别和各自的抗干扰能力见代理协议详解。
二、IPv6 优先导致的连接失败
国内移动网络大多已经默认分配 IPv6 地址，很多手机会优先用 v6 解析和连接。如果节点域名解析出了 AAAA 记录但机场的 v6 线路不通（或者机场根本没配 v6），客户端拿着一个不通的 v6 地址去连，表现就是超时，而 Wi-Fi 下因为宽带没有 v6 所以一切正常。
处理：
- Clash / Mihomo：配置里
ipv6: false，DNS 部分也设ipv6: false。Clash Verge Rev、FlClash、Clash Meta for Android 的设置里都有 IPv6 开关，关掉。 - sing-box：DNS 的
strategy设为ipv4_only，或在相关 outbound 里设置domain_strategy: ipv4_only。 - Shadowrocket：设置 → 「IPv6」关掉，或在节点设置里把「地址解析」改为 IPv4。
- 系统层：APN 的「APN 协议」从 IPv4/IPv6 改为仅 IPv4。这是最彻底的办法，但会让所有应用都失去 v6，一般客户端层解决就够。
三、DNS 污染与劫持
移动网络下运营商 DNS 对代理服务器域名的解析可能返回错误地址，表现为节点域名解析失败或解析到一个不通的 IP。Wi-Fi 下如果路由器用的是别的 DNS，就不会遇到。
处理：
- 客户端里把 DNS 改成 DoH / DoT：
https://1.1.1.1/dns-query、https://dns.alidns.com/dns-query、tls://dns.google。Clash 系在配置的dns段里改nameserver，Shadowrocket 在「设置 → DNS 覆写」。 - 或者让节点直接用 IP 而不是域名（机场提供时）。
- 真正判断 DNS 泄漏与污染的方法见 DNS 泄漏说明。
四、APN 与运营商套餐策略
- APN 代理字段：少数用户的 APN 里残留了运营商或旧软件写入的代理地址 / 端口，手机的所有 HTTP 流量都先经过那个代理，机场自然连不上。设置 → 移动网络 → 接入点名称，把代理和端口留空，或重置为默认 APN。
- 定向流量 / 免流套餐：某些套餐只对指定应用免流，其他流量被限速到几十 KB，代理看起来就像超时。切换到正常套餐或关闭免流模式测试。
- 物联网卡 / 副卡：部分物联网卡和企业卡有更严格的策略，禁止代理类流量。换一张普通卡确认。
- 漫游与异地：异地使用时流量会先回到归属地出网，延迟变高、策略也跟归属地走。
五、客户端在移动网络下的行为
- Android 的「仅 Wi-Fi 下使用 VPN」：少数系统或客户端有按网络类型启用的选项，查一下客户端设置里有没有「移动网络下禁用」之类的开关。
- 省电模式：移动网络下系统倾向更激进的省电，客户端被挂起。给客户端关掉电池优化。
- 双卡：设置里确认数据流量用的是哪张卡，两张卡的运营商策略可能完全不同。
六、换协议、换端口、换入口
把前面对比得到的「能通的节点类型」确认后，直接把日常节点固定在这一类上。进一步的方案：
- 机场提供多端口时，试 443 / 8443 / 2096 这些常见 TLS 端口；
- 机场提供多入口（电信入口、移动入口、BGP 入口）时，移动网络下优先用 BGP 或移动优化入口。中转线路的区别见 IEPL / IPLC / BGP 中转；
- 如果机场只有一种协议、一个端口，并且在你的运营商下就是不通，这家机场可能不适合你的使用场景，挑机场时参考怎么选机场里关于协议多样性的部分。
七、热点共享的注意事项
手机开热点给电脑或平板用时，热点共享的是手机的移动网络，所有限制一样存在。两种做法：
- 电脑自己装客户端，用同一类能通的节点。先在手机上确认好哪类节点能通，电脑就用这类。
- 让电脑走手机的代理：手机客户端打开「允许局域网连接」（Clash 系叫 allow-lan，Shadowrocket 叫「允许局域网访问」或代理共享），电脑的系统代理填手机的热点网关地址（通常 192.168.43.1 或 172.20.10.1）加客户端端口。这样电脑不需要自己配订阅，并且和手机共用一个在线设备数。
热点下的 NAT 多了一层，UDP 协议更容易出问题，电脑端同样优先 TCP 类协议。
排查流程
| 步骤 | 操作 | 结论 |
|---|---|---|
| 1 | 移动网络下测全部节点延迟 | 记录通 / 不通的协议和端口 |
| 2 | 只有 443 TLS 通 | 运营商按端口 / 协议限制，固定用这类 |
| 3 | 全部不通，关 IPv6 后通 | IPv6 问题 |
| 4 | 关 IPv6 仍不通，改 DoH 后通 | DNS 问题 |
| 5 | 以上无效 | 查 APN 代理、套餐策略、换卡 |
相关
常见问题
为什么同一个节点 Wi-Fi 下能连，用流量就超时？
最常见的是运营商对某些协议或端口做了限制，其次是 IPv6 优先导致连接走了不通的 v6 路径。先换一个 TLS 类 443 端口的节点测试，再试关闭 IPv6。
移动网络下只有少数节点能用，其他全超时？
能用的节点大概率是 443 端口的 TLS 类协议，不能用的是非常用端口或 UDP 协议。说明运营商在按端口 / 协议过滤，以后优先用能通的那类。
关闭 IPv6 怎么操作？
客户端里关掉 IPv6 开关（Clash 系 `ipv6: false`，sing-box DNS strategy 设 ipv4_only），或 APN 的协议类型改为仅 IPv4。先改客户端，不行再动 APN。
开热点给电脑用，电脑也连不上机场？
热点共享的是手机的移动网络，限制一样存在。在手机上把能通的节点确认好，电脑连热点后用同一类节点；或者让电脑通过手机客户端的「允许局域网连接」走手机的代理。
换运营商卡能解决吗？
不同运营商、不同地区的策略差异很大。确定是运营商限制后，先换协议和端口；实在不行再考虑换卡，这是最后的办法。
本文为信息整理与个人经验，不构成购买建议。机场政策与软件界面可能变化，以官方为准。发现过期内容请 联系纠错。