Ubuntu apt update 连不上代理？APT 配置、HTTPS 与 sudo 排查
浏览器能访问网站，Ubuntu 的 apt update 仍然失败，首先要检查 APT 实际使用的代理地址和配置。浏览器代理、终端环境变量与 APT 配置可能来自不同位置；换节点之前，先确定错误发生在本地连接、代理认证、软件源传输还是签名验证这一层。
作者：小仓。资料核对日期：2026-10-08。本文适用于使用 APT 的 Ubuntu、Debian 环境；配置细节请同时核对本机安装版本的手册。文中端口为示例，没有进行节点速度或可用性实测。
先记下软件源和代理端口
从报错中记录失败的软件源域名、协议和完整错误类型，不必把整份输出贴到公开论坛。一个第三方源失败，不等于所有软件源都无法连接；不同域名也可能命中不同的客户端规则。
再打开代理客户端，确认提供给本机程序使用的是 HTTP、SOCKS 还是混合入口。订阅里的远端节点地址通常不能直接当作本地 APT 代理地址。下面三个信息应分别填写：运行 APT 的环境、代理监听地址、监听端口及协议。
| 情况 | 优先检查 |
|---|---|
| 连接本地地址被拒绝 | 客户端是否运行、端口是否正确 |
| 返回代理认证错误 | 代理要求的账号和认证方式 |
| 某个软件源超时 | 该域名的规则、链路和服务响应 |
| 下载后提示签名问题 | 仓库签名和信任配置 |
这里的顺序是诊断建议，表中的现象不能单独证明根因。如果 APT 运行在 WSL 或容器内，127.0.0.1 指向那个运行环境，不能仅凭 Windows 浏览器能连接就推断可用。相关边界可参考本站的 WSL 与 Windows 代理连接排查。
查看 APT 的有效配置
先在本机检查以下输出：
apt-config dump
sudo apt-config dump
dump 用于查看 APT 的配置空间，参见 apt-config 官方手册。输出可能带有代理凭据，应在本地查看，分享前删除账号、密码和私有地址。普通用户的环境也不能直接代表通过 sudo 执行时的环境。
重点找 Acquire::http::Proxy、Acquire::https::Proxy，以及名称后带软件源主机的单独配置。还要检查自己是否设置了 http_proxy、no_proxy，不要为了排障把所有环境变量公开出来。
APT 支持通用代理与按主机配置，DIRECT 表示直接连接；具体支持的代理 URI 和自动检测选项见 HTTP 传输手册。因此，“已经写了一个通用代理”不能证明每个源都走相同路径。若某个源被单独指定为直连，应先解释这条配置的用途，再决定是否调整。
用一次命令测试，先不要写永久设置
确认示例地址确实能从当前 Linux 环境访问，并把 7890 替换为客户端的实际 HTTP 或混合端口：
sudo apt-get \
-o Acquire::http::Proxy="http://127.0.0.1:7890" \
-o Acquire::https::Proxy="http://127.0.0.1:7890" \
update
这次命令指定通用代理选项；已有按主机配置仍需一起核对。update 更新软件包索引，不是升级已安装软件，命令的用途及 -o 选项见 apt-get 手册。请查看全部错误和警告，不要只看最后出现了“完成”。
软件源使用 HTTPS，并不要求本地代理 URI 也写成 https://。两者描述的是不同连接：前者是仓库传输，后者是代理入口。APT 的 HTTPS 选项使用 Acquire::https，未单独设置时会采用相应 HTTP 选项的默认值，参见 HTTPS 传输手册。不要把 SOCKS 专用端口填成 HTTP 入口。
测试时保持源列表、客户端模式和网络不变，只改变一个代理配置。分别记录无临时参数和有临时参数时，同一个源的结果。如果只有部分源改善，应按失败域名继续检查，而不是宣称整个系统代理已修好。
按错误层次继续定位
本地连接拒绝时，先核对监听端口；连接超时时，查看客户端有没有收到对应请求。没有日志只能作为线索，日志可能被关闭，不能据此直接认定绕过代理。若返回 407，重点检查代理认证，而不是更换软件源签名密钥。
TLS 证书错误需要核对时间、证书链与是否存在网络拦截，可接着阅读 TLS 握手与证书错误排查。仓库签名错误则应核对仓库提供方的密钥和配置。APT 的仓库认证说明见 apt-secure 手册。关闭证书验证或允许未认证仓库，并不能说明代理问题得到解决。
测试成功后再保留配置
需要长期使用时，先备份已有配置，再在 /etc/apt/apt.conf.d/ 中建立用途明确的配置片段，例如 90local-proxy.conf：
Acquire::http::Proxy "http://127.0.0.1:7890";
Acquire::https::Proxy "http://127.0.0.1:7890";
引号、分号和配置加载顺序见 apt.conf 手册。不要反复追加相互冲突的片段。保存后去掉临时命令参数再测试；需要恢复时，只撤回本次新增或修改的片段，并读回有效配置，不要清空整个 APT 目录。
如果代理只在客户端启动期间可用，还应记录重启后客户端是否自动运行。永久配置保留了地址，并不代表那个入口一直存在；关掉客户端后再次失败，首先检查监听状态。
排障记录可以这样填写
记录日期、系统与 APT 版本、失败源域名、代理入口协议、有效配置中是否存在主机例外、临时命令结果、客户端日志时间以及撤回修改后的结果。账号和订阅地址留在私人记录中。这样的记录能区分“修改后恰好恢复”与“同一条件下重复有效”，也方便下次故障时直接对照。
浏览器使用 PAC，APT 会自动跟随吗？
不要作这个假设。APT 文档中的代理自动检测是调用指定外部命令的机制，不能等同于浏览器执行 PAC。若终端里的其他工具也不跟随浏览器设置，可参考 终端 curl 与 Git 代理排查，分别确认每个工具的代理来源。
评论