故障排查

先确定当前账号、Space、Device/Node 与连接状态，再检查资源授权和真实网络。以下顺序尽量只读。

先定范围一个用户、一台 Node、一个 Network，还是所有客户端都失败。

再定层次登录、控制面、授权、数据面、本机应用或公网 DNS/TLS。

最后修改先收集只读证据，再做最小、可撤销的单项变更。

ns --version
ns info
ns status --all
ns doctor

浏览器授权完成但客户端仍未登录

确认回到发起登录的同一个 App/终端，浏览器账号正确且旧授权标签页已关闭。退出当前流程再发起一次新会话，不连续打开多个回调。记录发生时间、平台、App/CLI 版本与活动日志；不要发送 token。卸载不保证清除系统安全存储，因此不是首选诊断。

先核对左上角的 Organization/Network，再请管理员在用户核对成员关系，在 访问授权检查主体和资源。你只能看到获授权的节点与服务；新授权后请等待列表更新。若出现其他网络的资源，保持断开并反馈。

等待当前切换完成，避免重复点击。关闭重复 App 实例，或先 ns down 再连接。若问题持续，记录发生时间、当前网络和活动日志，联系支持。

网络较慢时可等待完成，或在出现取消选项后取消。用界面中的组织与网络名称确认结果；CLI 可用 ns info 与 ns space list 核对。结果不确定时保持断开。

依次核对：当前 Space → 已连接 → Service 所属 Node 在线 → L4 授权 → services.toml → Node 本机端口/防火墙。目录可见与数据通道连接是两个状态。

核对双方 Node IP、双方连接、L3 授权与当前 Network；再检查目标主机 ICMP 防火墙。用 SSH/明确端口交叉验证。被授权整个 Node 才应看到其必要地址信息。

先选择已授权出口；未选择时 App 提示“请先选择出口”。再核对网关在线、Exit 能力、访问授权和重连。不要把“指定服务出网”当作默认互联网出口。

先正常 ns down 并退出 App。ns doctor 后仍异常时执行普通 sudo ns reset，它保留身份与 Profiles。只有确定重新注册新 Device 才执行 sudo ns reset --all --yes。

执行 ns report 获取预填入口；提交前检查内容。最小材料：时间/时区、版本、OS、预期和实际 Space、复现步骤、错误截图、ns doctor 与脱敏日志。