go mod download 卡在 CONNECTING 或 TLS handshake timeout 的根本原因是多级网关静默丢包或截断 TLS Client Hello，而非 DNS 或可达性问题；应优先设置 GODEBUG=netdns=cgo、GOPROXY=https://goproxy.cn,direct，并验证 TCP 连通性而非反复更换镜像。
go mod download 卡在 CONNECTING 或 TLS handshake timeout
多级网关（比如企业出口防火墙 + 部门级代理 + 宿主机 NAT）常导致 TCP 连接被中间设备静默丢包或 TLS 握手超时，现象是 go mod download 卡在 CONNECTING 状态几十秒后报 context deadline exceeded，但 curl -v https://goproxy.cn 却能通——说明不是 DNS 或最终可达性问题，而是 Go 的 net/http 默认 dialer 未设 timeout，且不响应 Ctrl+C。
关键动作不是换镜像，而是强制缩短底层连接行为：
-
go env -w GODEBUG=netdns=cgo：绕过 Go 自带的纯 Go DNS 解析器，用系统 resolver，避免某些网关对 UDP DNS 查询的限速或截断 -
go env -w GOPROXY=https://goproxy.cn,direct：确保 fallback 到 direct 时不被网关策略阻断（有些网关只放行已知 HTTPS 域名，direct触发的直连可能被拦） - 临时加
-x查看最后一条 curl 命令，复制出来手动跑：curl -v --connect-timeout 5 --max-time 30 https://goproxy.cn/xxx/@v/v1.2.3.info，确认是 connect 还是 TLS 阶段失败
go get / go install 在嵌套代理下返回 403 或 empty response
当宿主机走公司 HTTP 代理（如 http_proxy=http://10.1.1.100:8080），而 Go CLI 又通过 GOPROXY 发起 HTTPS 请求时，部分老旧网关会把 Go 的 TLS 流量误判为“未知协议”，直接返回 403 或空 body。这不是认证失败，而是协议识别错误。
此时不能依赖 http_proxy 环境变量，Go 工具链默认忽略它：
- 必须显式用
GOPROXY=https://goproxy.cn,direct，且确保该地址在网关白名单中（联系运维确认） - 若网关仅允许特定 User-Agent，可临时加环境变量：
GOHTTP_USERAGENT="go-cli/1.21"（Go 1.21+ 支持） - 避免混用：不要同时设
http_proxy和GOPROXY，否则 Go 可能尝试用代理转发代理请求，形成嵌套代理环路
私有模块拉取时因网关重写 Host 头导致 404
某些多级网关（尤其是带 WAF 的）会重写 HTTP 请求的 Host 头，把 git.internal.company.com 改成网关自身域名，导致 Go 直连私有 Git 时返回 404。这种问题在 GOPRIVATE 生效后仍会发生，因为 Go 仍走原始 URL，只是跳过了 GOPROXY。
解决重点不是改 Go 配置，而是让请求绕过网关重写逻辑：
- 用 IP +
Hostheader 强制指定：go env -w GONOPROXY="192.168.10.50,10.0.0.0/8"（用 CIDR 替代域名） - 若必须用域名，配合
git config --global url."https://192.168.10.50/".insteadOf "https://git.internal.company.com/"，让 Git 层先做替换 - 验证方式：运行
go list -m git.internal.company.com/mylib@v1.2.0 -v，观察日志里实际请求的 URL 是否含重写痕迹
内网部署 Athens 后 go mod 仍超时
自建 athens 服务本身正常，但 go mod download 还是超时，大概率是 Go CLI 没连上你部署的服务——常见于 WSL、Docker 或虚拟机场景。
根本原因不是 Athens 配置错，而是监听地址没暴露给 Go：
- 启动时必须用
--proxy.hostname=0.0.0.0或--addr=0.0.0.0:3000，不能只监听127.0.0.1:3000 - 检查宿主机防火墙是否放行端口：
sudo ufw status | grep 3000（Ubuntu）或firewall-cmd --list-ports（CentOS） - 在 Go 所在机器上测试连通性：
telnet 192.168.1.100 3000（替换成你的 Athens IP），不通就说明网络层没打通 - 别漏掉
GOPROXY值里的direct：即使 Athens 是唯一源，也得写成http://192.168.1.100:3000,direct，否则私有模块校验失败时无法 fallback
curl 日志里，但会让 Go 的 dialer 死等。调试时优先抓最后一跳的原始 TCP 流，而不是反复改 GOPROXY。 
