内网环境连不上Checkmarx服务器，现场最常见的不是软件本身故障，而是访问入口写错、代理走向不对、证书与协议不匹配三类问题叠在一起。处理时别先反复重装插件或换账号，先把网络链路跑通，再把代理参数落到你实际使用的客户端组件上，最后用一次可复现的验证动作把配置固定住。

　　一、Checkmarx在内网连不上服务器怎么办

　　内网连不上一般会表现为登录页打不开、CLI报连接超时、插件一直转圈或扫描任务卡在初始化。建议按由外到内的顺序排查，先确认你要连的是哪种Checkmarx形态，再把网络与代理路径对齐。

　　1、确认服务器形态与访问入口

　　先区分你连的是本地部署的CxSAST服务器，还是云端的Checkmarx One；两者的访问域名、证书链、代理要求完全不同，别把云端地址当内网地址去通。

　　2、核对URL与端口是否被拦

　　用同一台机器在浏览器里直接访问你们的Web Portal地址，能打开再谈插件与CLI；如果浏览器都打不开，优先让网络侧确认内网DNS解析是否正确、目标端口是否放行、是否存在跨网段访问策略。

　　3、先排除代理把内网流量绕走

　　很多企业桌面会默认走系统代理或自动代理脚本，结果内网服务器地址也被送去代理，代理再去外网绕一圈自然就超时；做法是把服务器域名或IP加入NO_PROXY绕过代理，再重试登录与扫描初始化，尤其在你已经设置了HTTP_PROXY与HTTPS_PROXY的环境里更要做这一步。

　　4、检查HTTPS证书与协议不匹配

　　内网自建服务器常用企业自签或内部CA证书，浏览器能打开不代表插件与CLI能校验通过；如果现象是能解析域名但握手失败，优先让运维把根证书链下发到终端受信任根证书存储，再重启相关客户端后重试。

　　5、用最小动作验证链路

　　先在同一网络下做一个最小验证动作，例如只做登录或只拉取一次配置，不要一上来就跑全量扫描；你要的结论很简单：是连不通，还是鉴权不通过，还是连通但被代理改写。把三者区分开，后续配置才不会越改越乱。

　　6、把问题定位到具体客户端组件

　　同一套Checkmarx环境可能同时被IDE插件、CLI、CI流水线调用，代理参数也可能分散在不同位置；你要先明确是哪一个组件连不上，再去对应位置改代理，别在A组件上改了半天却在B组件里复现问题。

　　二、Checkmarx代理参数在哪里配置

　　代理配置位置取决于你用什么方式接入Checkmarx，常见是CxConsole命令行、Checkmarx One CLI、IDE插件或CI工具。建议按使用频率把配置放到最靠近执行端的位置，避免层层转发带来不可控。

　　1、CxConsole需要代理时在哪里配

　　如果你用的是CxConsole在内网通过代理访问CxSAST服务器，官方做法是在CxConsole目录下编辑启动脚本runCxConsole.cmd，在Java启动参数里加入http代理与socks代理的参数项，例如http.proxyHost与http.proxyPort这类键值；改完后再从同一入口启动CxConsole验证。

　　2、VS Code插件的代理入口

　　Checkmarx在VS Code里提供了三种代理方式，优先级从高到低依次是插件的Additional Parameters、VS Code自身的http.proxy设置、环境变量HTTPS_PROXY、环境变量HTTP_PROXY；如果你同时配了多处，务必按这个优先级去判断最终谁生效。

　　3、IDE插件用Additional Parameters显式指定代理

　　当你希望不受系统代理影响，建议在Checkmarx One插件设置里使用Additional parameters输入--proxy并写入代理URL，支持带账号密码的形式；这种方式通常最直观，也更容易在排障时复现同一环境。

　　4、Checkmarx One CLI的代理配置位置

　　Checkmarx One CLI支持把常用参数持久化到用户目录下的配置文件中，配置目录位于用户主目录下的.checkmarx子目录；如果你希望代理长期生效，可以把代理相关选项写进该配置体系，并在不同机器上保持同一份口径。

　　5、服务器侧需要出网时的代理设置

　　如果你的CxSAST服务器需要通过代理访问外部资源，相关设置在服务器侧的Proxy Server Settings窗口里配置，包含代理协议、端口、认证方式以及超时参数；这类配置影响的是服务器出网链路，不等同于客户端连服务器的代理设置。

　　三、配置后不生效怎么验证与处理

　　代理改完还连不上，通常不是“没配对”，而是“配对了但没命中”。用下面几步把生效证据做出来，你就能快速判断是代理规则、白名单、还是证书与鉴权在挡路。

　　1、用单一入口做对照验证

　　先只保留一种代理来源做测试，例如只用插件Additional Parameters或只用环境变量，不要多处叠加；确认能通后再逐步加回其他设置，避免你自己制造不确定性。

　　2、把内网地址加入NO_PROXY避免绕行

　　只要服务器在内网或专线网段，优先把域名与IP写入NO_PROXY，让它直连；很多“内网连不上”其实是代理拦了内网地址或把内网请求送去外网出口导致超时。

　　3、检查代理是否要求认证

　　代理需要认证时，确保你配置的是完整的认证形式，尤其在Additional Parameters里用带账号密码的代理URL更容易一次到位；如果代理是域账号体系，还要和网络侧确认是否允许该客户端类型走代理认证。

　　4、确认是网络通了还是鉴权失败

　　网络问题通常是超时与拒绝连接，鉴权问题通常是401或403；把这两类现象分开处理，网络通了再去查Token、租户、权限，不要把鉴权失败当成代理不通反复改代理。

　　5、把可复用配置固化成标准模板

　　一旦验证通过，把你最终生效的那一套配置固化下来，例如把VS Code里用到的方式写进团队开发环境说明，把CLI的配置文件随脚本初始化生成，避免每次换电脑都从零排一次。

　　总结

　　内网连不上Checkmarx，先把服务器形态与访问入口确认清楚，再重点排除代理把内网流量绕走的问题，并处理证书链与端口放行。代理参数的配置位置要跟组件走，CxConsole通常在启动脚本里加Java代理参数，VS Code与IDE插件优先用Additional Parameters显式指定--proxy，Checkmarx One CLI可在用户目录的.checkmarx配置体系里固化参数，服务器侧Proxy Server Settings则用于服务器出网。按单一入口验证与NO_PROXY绕行原则做对照，你会更快把问题锁定在真正的那一环。