inspired-by-atmosphere/ops-troubleshooting-skills/geo-block-diagnostics

服务级地区封锁诊断（geo-block / risk-control）

触发场景

• 用户说"我的 X 被风控了 / 不支持所在地区 / 被封了"，本机正在跑 Clash 代理（Clash Verge Rev）
• 典型：gemini.google.com 显示"目前不支持你所在的地区"

流程（按顺序）

1. 分清账号风控 vs 地区封锁：页面文字是"not available in your region / 不支持所在地区" → geo-block，与账号无关，换账号也一样；"可疑活动/需验证手机" → 才走 myaccount 验证。判断错了浪费整轮排查。
2. 验证真实出口 IP（终端与浏览器一致才算数）：curl -s https://ipinfo.io/json 与浏览器另开 tab 访问 ipinfo.io/json 对比。两者一致 → 排除分流问题；不一致 → 查浏览器代理扩展/规则覆盖。
3. 区分服务级封锁 vs 代理故障：同一厂商选宽松服务对照（如 google.com/search 正常而 gemini.google.com 单独挂）→ 服务级 IP 封锁，不是代理/规则故障。Google 对 AI 服务（Gemini）的 geo/datacenter 判定比搜索严得多。
4. 数据中心 IP 陷阱：出口在美国/日本等 geo 支持区≠能用——机房 IP（FDCservers/DO/AWS 段）仍会被 Gemini 类服务单拦。ipinfo 国别 ≠ Google 判定。
5. 机场共享落地陷阱（最常见"换节点没用"的原因）：订阅节点名（🇭🇰/🇸🇬/🇯🇵/🇺🇸）不代表独立出口；同一机场常共用一两个中转域名（如 *.cnrcz.cn）+ 同一批落地 IP 池，切节点只换端口不换 IP。先切节点→重查 ipinfo 确认出口真变了，再谈换节点方案。
6. 时效性：网上"改语言/改时区/改国家设置"对 geo-block 基本无效（Google 看出口 IP 不看浏览器设置）。动手前 web_search 该服务当前封锁现状（名单会变）。
7. 风控有波动性，可等可换：机场落地 IP 被标记不是永久判决——过几天 Google 判定松了/机场轮换落地段，同一批节点可能又能用（实测：Gemini 被拒数天后切新加坡 01 即可进）。确认是共享落地问题后：换不同中转域名的节点试（同域名不同端口=同一出口），或隔几天再试，不必立刻换机场。

Pitfalls

• 别张口就"换节点试试"：用户大概率已试过（本次教训："我试了不行，你想得太简单了"）。先验证出口 IP 是否真随节点切换而变化，再判断是节点问题还是机场/服务级问题。
• 别建议"关掉代理试试"：用户在中国大陆，真实位置本身不受支持，关代理只会让问题更确定地发生；方向是住宅 IP/换机场，不是关代理（网上的通用 fix 列表此条不适用）。
• curl 经代理 HTTP/1.1 200 Connection established 后挂起/无响应体 = 出口 IP 被目标服务丢弃（连接通、服务层拒），不是代理故障。本系统 curl -o /dev/null -w 即使成功也 exit 23，看 HTTP code 别信 exit code。
• 浏览器无头访问 geo-block 页面可能直接超时（导航挂起），与真实浏览器能看到"地区不支持"页并存——两者都说明 IP 被服务层特殊对待，别因超时误判"连不上"。
• Clash Verge Rev 配置目录：%APPDATA%\io.github.clash-verge-rev.clash-verge-rev\，订阅主配置 = profiles/ 下含 proxies: 的那个 yaml；HTTP 控制端口 9097 默认不监听（控制 API 走命名管道 \\.\pipe\verge-mihomo）。

参考

• 完整诊断步骤与 curl 特征：references/geo-block-diagnosis.md
• Clash 控制（切节点/切模式/测延迟）：走 Windows 命名管道上的 mihomo 控制 API，或直接在 Verge 界面操作。