Plex 开启代理后，如果元数据访问改善了，远程访问却出了问题，可以先检查分流策略。但“所有远程故障都是代理导致的”不成立。
先分清三条连接
Plex 服务器向外请求海报和元数据，是出站访问；服务器向 Plex 服务注册连接信息，也是出站访问；远程客户端连接到家里的 Plex 服务，则依赖实际可达的入站路径。
说明图：Plex：出站请求与远程入站，不是同一条路
代理可能改变外部看到的出口地址，也可能让注册或探测使用不同路径。这是排查方向之一，不等于已经证明故障原因。
按顺序检查
先确认局域网客户端能直接访问 Plex。然后检查路由器的公网地址是否真的是可从外部连接的公网地址；双重 NAT 和 CGNAT 不能只靠改分流规则解决。
手动映射端口时，要把路由器的指定外部 TCP 端口转到 Plex 主机的 TCP 32400，并在 Plex 远程访问设置中填入相应的外部端口。不要把“外部端口也一定是 32400”当成要求。再检查主机防火墙与目标地址有没有改变。
用手机移动网络等真正的外部网络测试，避免只在局域网里测试回环访问。只看面板短暂显示绿色，也不足以说明所有客户端路径都正常。
再检查代理与 DNS
保留当前策略备份，查看 Plex 注册、探测相关请求实际走了哪条路径。需要调整时只改已确认相关的域名或设备策略，再对比开启和关闭代理的表现。
把 *.amazonaws.com 整段划为直连，范围太大，不适合作为默认规则。也不建议把所有 Plex 元数据域名强制走同一个出口，然后宣称可以修复所有远程问题。
安全连接还可能受 DNS 重绑定保护影响。Plex 官方安全连接说明 给出了 plex.direct 的处理方式。按所用 DNS 服务配置针对该域名的例外，而不是关掉整套重绑定保护。
端口可达与播放权限是两回事
网络连接正常，不一定代表账户可以按当前产品规则远程播放视频。还要核对当前 Plex Pass、Remote Watch Pass 等适用条件。先分清是连接失败、走了 Relay，还是播放权限提示，再找对应解决办法。
排查资料中如果涉及 Plex Token，不要把包含 token 的完整地址贴在评论、截图或公开日志里。排查时应遮蔽 URL 中的凭据。