Clash Verge Rev系统代理设置：开关指南与模式区分

1. 应用层 (Layer 7) 代理与 WinINet / Network.framework 改写机制#

系统代理是一种标准的 应用层（OSI 第 7 层）网络拦截机制。当你在 Clash Verge Rev 中勾选“系统代理 (System Proxy)”开关时，软件本身并不会去修改底层网卡驱动、修改路由表或接管网卡硬件中断，而是通过调用操作系统提供的原生 API 接口，改写全局网络偏好设置或注册表配置文件。这种设计架构决定了它的轻量、高效与安全，但同时也决定了它的天然适用局限性。

1
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings

2. 7890 混合监听端口 (Mixed Port) 的协议盲嗅探与脱敏解析机制#

在 Clash Verge Rev 后台，Mihomo (Clash Meta) 内核 启动时会在本地绑定一个混合监听端口（Mixed Port，默认 7890，部分版本为 7897）。该端口集成了 HTTP、HTTPS 以及 Socks5 协议的自动识别能力。

当来自浏览器的 Socket 请求到达 127.0.0.1:7890 端口时，Mihomo 内核的底层 Go 语言网络监听器（net.Listener）会并发创建专门的协程（goroutine）来处理入站连接。内核会预读取连接首字节的 1 到 3 个字节（即 Peek 窥探操作），而无需从 TCP 接收缓冲区中移除该报文：

1. SOCKS5 协议识别：如果报文的首字节为十六进制 0x05，内核瞬间识别出这是一个标准的 SOCKS5 握手请求（RFC 1928 规范）。内核随后响应 0x05 0x00 完成无认证握手，并提取出目标域名的地址类型（IPv4/Domain/IPv6）及目标端口，将其指派给分流引擎。
2. HTTP / HTTPS 协议识别：如果报文的前几个字节匹配标准的 HTTP 请求动词 ASCII 码（如 GET、POST、CONNECT、HEAD、PUT、OPTIONS），内核判定该连接为 HTTP/1.1 代理协议（RFC 7231 规范）。对于 HTTPS 请求发起的 CONNECT target.com:443 HTTP/1.1 指令，Mihomo 内核会向客户端返回 HTTP/1.1 200 Connection Established 响应，从而在应用程序与内核之间建立起透明的加密字节流隧道。

这种单端口混合嗅探机制（Mixed Port）避免了传统代理客户端需要分别开启 7890 (HTTP) 和 7891 (Socks5) 两个不同端口的冗余设计，极大简化了用户在操作系统中的代理配置复杂度。同时，Mihomo 内核引入了动态内存池 sync.Pool 管理缓冲区分配，在面对上万个并发 TCP 短连接请求时，大幅降低了 Go 语言垃圾回收器 (GC) 的停顿时间，保障了极高的网络吞吞率。

1
flowchart TD
2
 App[应用程序: Chrome / Edge / 微信] -- 1. 自动读取系统代理注册表 --> OSProxy[操作系统代理全局配置: 127.0.0.1:7890]
3
 OSProxy -- 2. 发起 HTTP/Socks5 报文 --> MixedPort[Clash Verge Rev 监听端口 7890]
4

5
 subgraph Mihomo 内核分流引擎
6
 MixedPort --> MatchRule{分流规则匹配 Engine}
7
 MatchRule -- DOMAIN / GEOIP 直连 --> Direct[Direct 本地网卡直接出局]
8
 MatchRule -- DOMAIN / GEOIP 代理 --> Node[Proxy 节点策略组加密]
9
 end
10

11
 Direct --> ChinaWeb[国内网站: 百度/淘宝/Bilibili]
12
 Node -- TLS / UDP 加密隧道 --> RemoteNode[海外代理服务器节点]
13
 RemoteNode --> ForeignWeb[海外网站: Google/YouTube/GitHub]

通过上面的数据流程图可以看出：

1. 系统代理是一种**“被动协同”机制**：只有那些主动读取操作系统代理设定的应用程序，其流量才会送入 Clash Verge Rev 的 7890 监听端口。
2. 流量进入端口后，由 Mihomo 内核根据规则库（Rules）判断是走 Direct 直连还是 Proxy 加密出局。
3. 不读取系统代理设置的软件（如命令行 CMD、部分 C/S 架构游戏、Docker 容器）会直接跳过代理端口，由本地网卡直连出局。

1. Windows 10 / 11 开启与手动校验步骤#

1. 打开 Clash Verge Rev 客户端主界面。
2. 在左侧导航栏中点击 设置 (Settings) 选项。
3. 在右侧 System Proxy (系统代理) 开关上，用鼠标将其点击切换为 开启 (ON) 状态。
4. 验证 Windows 注册表是否生效：

• 按 Win + R 快捷键打开运行框，输入 inetcpl.cpl 打开“Internet 属性”。
• 切换到 “连接” 选项卡，点击右下角的 “局域网设置 (LAN Settings)”。
• 确认 “为 LAN 使用代理服务器” 已被自动勾选，且地址为 127.0.0.1，端口为 7890。

1
 [Settings (设置)] ──► [System Proxy (系统代理)] ──► 切换为 ON 开启

可以在 PowerShell 中运行以下命令查询注册表状态：

1
Get-ItemProperty -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' | Select-Object ProxyEnable, ProxyServer, ProxyOverride

预期输出 ProxyEnable 为 1，ProxyServer 为 127.0.0.1:7890。

注意：如果安装了 360 安全卫士或火绒安全，杀毒软件可能会弹出警告提示“有程序正在修改系统代理设置”，务必选择“允许本次修改”并勾选“不再提醒”。

2. macOS 开启与权限配置#

1. 打开 Clash Verge Rev 客户端。
2. 进入 Settings (设置) 面板，找到 System Proxy (系统代理) 并开启。
3. 首次开启时，macOS 可能会弹出系统授权提示，要求输入 Mac 开机锁屏密码以允许改写网络设置。
4. 验证 macOS 代理是否生效：

• 打开终端运行 networksetup -getwebproxy Wi-Fi（若使用有线网将 Wi-Fi 换为 Ethernet）。
• 预期输出：

1
Enabled: Yes
2
Server: 127.0.0.1
3
Port: 7890
4
Authenticated Proxy Enabled: 0

3. Linux (Ubuntu / Debian / Arch) 桌面环境代理开启#

1. 在 Linux 版本的 Clash Verge Rev 设置中开启系统代理。
2. 如果使用 GNOME 桌面，可通过终端验证 GNOME 全局代理配置：

1
# 查询 HTTP 代理主机与端口
2
gsettings get org.gnome.system.proxy.http host
3
gsettings get org.gnome.system.proxy.http port

预期输出应为 '127.0.0.1' 和 7890。 3. 命令行终端手动补全代理环境变量： Linux 系统代理仅对 GUI 应用生效。为了让终端控制台（bash/zsh）同步走代理，可在 ~/.bashrc 或 ~/.zshrc 中添加以下别名函数：

1
# 设置命令行代理环境变量
2
alias setproxy="export http_proxy=http://127.0.0.1:7890; export https_proxy=http://127.0.0.1:7890; export all_proxy=socks5://127.0.0.1:7890; echo '命令行代理已开启'"
3
alias unsetproxy="unset http_proxy https_proxy all_proxy; echo '命令行代理已关闭'"

1. 规则模式 (Rule - 强烈推荐)#

在规则模式下，Mihomo 内核会充当一个“智能流量调度员”。每一个进来的网络请求，内核都会按照配置文件中定义的规则列表（Rules）从上到下逐条匹配：

• DOMIAN-SUFFIX 规则：如 DOMAIN-SUFFIX,google.com,Proxy，当匹配到以 google.com 结尾的域名时，自动将其指派给 Proxy 策略组绑定的海外节点。
• GEOIP / GEOSITE 规则：如 GEOSITE,cn,DIRECT，匹配到国内主流网站域名时，直接走本地网络出局（Direct），绕过代理节点。访问国内百度、淘宝、Bilibili 不消耗任何机场流量，延迟最低。
• MATCH 兜底规则：若规则库中均未命中，最后执行 MATCH,Proxy 兜底规则送入代理。

1
 请求目标 -> RULE-SET 规则集 -> DOMAIN-EXACT 完全匹配 -> DOMAIN-SUFFIX 后缀 -> GEOSITE -> GEOIP -> IP-CIDR -> MATCH 兜底

2. 全局模式 (Global)#

全局模式会彻底“切断”所有的规则判断引擎。无论你访问的是国内的 baidu.com 还是海外的 google.com，所有的网络流量都会无差别地强行送入在 Global 策略组 中选定的单个代理节点进行转发。

• 使用场景：
• 某个冷门海外网站未被机场的 GeoData 规则库收录，在规则模式下被误判为直连无法打开。
• 需要调试特定节点的连通性或解锁特定地区的流媒体（如测试某个新加坡节点是否支持 Netflix 播放）。
• 副作用：访问国内百度、微信、网易云音乐也会绕道海外节点，导致访问变慢，且会浪费大量机场流量。同时，国内部分对异地登录极度敏感的应用（如网银、炒股软件）可能会因为 IP 异常触发安全风控拦截。

3. 直连模式 (Direct)#

直连模式相当于将 Clash Verge Rev 变成了一个“透明过道”。所有的网络请求进入 7890 端口后，内核不进行任何加密转发，直接由本地网络发起访问。

• 使用场景：机场套餐流量用尽，或者临时不需要任何科学上网环境，但又不想频繁开关系统代理服务时使用。

1. 技术架构差异对比表#

2. 两类接管方式下的 DNS 解析链路（DNS Lookup Chain）全流程对比#

了解系统代理与 TUN 模式在 DNS 解析层面的流程差异，能帮助你深刻理解网络安全、防止 DNS 污染与加速网页加载的底层原理：

• 系统代理模式下的 DNS 链路：

1. 用户在浏览器地址栏中输入 https://google.com 并按回车。
2. 浏览器首先查询 Windows WinINet 注册表，发现系统中启用了 127.0.0.1:7890 全局系统代理。
3. 浏览器完全跳过本地操作系统的 DNS 解析过程（即不调用本地 getaddrinfo 函数，也不发起 UDP 53 DNS 探测）。
4. 浏览器直接建立与本地 127.0.0.1:7890 的 TCP 连接，并向代理端口发送明文 HTTP 报文：CONNECT google.com:443 HTTP/1.1。
5. 域名字符串 "google.com" 以纯文本形式送入 Mihomo 内核的分流引擎。
6. 内核匹配到该域名需要走 overseas 节点后，将包含目标域名字符串的数据包加密打包，发送给远程海外代理服务器。
7. 远程代理服务器在海外机房的本地网络中，向如 8.8.8.8 或 1.1.1.1 发起真实 DNS 查询，获取海外网站的真实 IP，并完成建立 TCP 连接与数据转发。

系统代理模式 DNS 的优势与局限：这种模式最大的优势在于天生防止浏览器端 DNS 污染与泄露，因为本地根本没有发起 DNS 请求。但局限在于，如果某个应用程序（如 CMD 命令行或终端软件）试图使用本地 DNS 解析库获取 IP，系统代理将完全无法干预其明文 UDP 53 报文，从而可能导致该非浏览器应用遭遇国内运营商的 DNS 劫持与污染。

• TUN 模式下的 DNS 链路 (Fake-IP 机制)：

1. 命令行程序或网络游戏发起对 google.com 的明文 DNS 查询（UDP 53 端口）。
2. TUN 虚拟网卡驱动通过操作系统路由表，将发往 DNS 服务器的所有 UDP 53 报文强制捕获并重定向送入 Mihomo 内核。
3. 内核内置的 DNS 模块拦截该请求，并迅速从 198.18.0.0/16 虚构 IP 地址池中挑选一个尚未使用的 Fake-IP（例如 198.18.0.23）响应给应用程序。
4. 内核在本地内存映射散列表中记录一对映射关系：198.18.0.23 <-> google.com。
5. 应用程序收到 Fake-IP 后，误以为这是目标服务器的真实 IP，于是向 198.18.0.23 发起 TCP Socket 连接。
6. TUN 网卡将发往该 Fake-IP 的报文再次捕获并送回内核。内核通过内存散列表查出该 IP 对应的原始域名为 google.com，最后封装加密隧道发送至海外节点。

1. 默认 Bypass 语法规则与含义#

Clash Verge Rev 默认在系统中注入了以下 Bypass 规避字段：

1
127.0.0.1; localhost; 192.168.*; 10.*; 172.16.*; 172.17.*; 172.18.*; *.local; <local>

• <local> / localhost：匹配本机环回地址。
• 127.0.0.1：防止应用程序访问本机服务时误走代理，导致 127.0.0.1:7890 产生自环死锁。
• 192.168.* / 10.*：保留的私有局域网 IP 地址段。确保访问路由器后台（192.168.1.1）、局域网打印机、NAS 存储设备时不走代理。

2. 通过 Merge 扩展配置自定义 Bypass 域名#

如果公司内部有特殊的私有域名（如 *.company.internal）不需要走代理，可以在 Clash Verge Rev 的 配置覆写 (Merge) 中加入自定义 Bypass：

1
# Clash Verge Rev 系统代理 Bypass 扩展配置
2
system-proxy:
3
 enable: true
4
 bypass:
5
 - "127.0.0.1"
6
 - "localhost"
7
 - "192.168.0.0/16"
8
 - "10.0.0.0/8"
9
 - "*.company.internal" # 公司内网私有域名
10
 - "*.cn" # 所有 .cn 国内顶级域名直连绕过

生产级 YAML Merge 配置脚本示例#

打开 Clash Verge Rev 左侧的 配置覆写 (Merge) 页面，新建一个 YAML 格式的文件，粘贴以下硬化配置：

1
# 防御型系统代理与内核参数硬化配置
2
port: 7890
3
socks-port: 7891
4
mixed-port: 7890 # 混合端口监听
5
allow-lan: false # 默认禁止局域网未授权设备连接代理端口
6
bind-address: "*"
7
mode: rule # 强制启动时切为规则模式
8
log-level: info
9

10
# 系统代理参数重写
11
system-proxy:
12
 enable: true
13
 set-system-proxy: true
14
 bypass:
15
 - "127.0.0.1"
16
 - "localhost"
17
 - "192.168.0.0/16"
18
 - "10.0.0.0/8"
19
 - "172.16.0.0/12"
20
 - "<local>"

保存并右键激活该 Merge 配置，重启内核后，软件系统代理设置将自动锁定为上述规范。

案例一：软件非正常退出或崩溃后，电脑所有网页提示“无法连接到代理服务器”#

1
# 强制关闭 Windows 系统代理注册表项
2
Set-ItemProperty -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' -Name ProxyEnable -Value 0

案例二：开启系统代理后，浏览器可以上网，但终端 CMD / PowerShell / Git 依然报错连接超时#

1
$env:http_proxy="http://127.0.0.1:7890"
2
$env:https_proxy="http://127.0.0.1:7890"

案例三：开启系统代理后，局域网 NAS (如 192.168.1.100) 或路由器后台打不开#

案例四：Windows 11 杀毒软件拦截导致系统代理开关刚开启就自动弹回关闭#

案例五：macOS 系统升级后代理端口卡死在旧端口导致全网中断#

1
networksetup -getwebproxy Wi-Fi

1
sudo networksetup -setwebproxystate Wi-Fi off
2
sudo networksetup -setsecurewebproxystate Wi-Fi off
3
sudo networksetup -setsocksfirewallproxystate Wi-Fi off

1
sudo killall -9 configd

案例六：Linux 桌面环境下系统代理生效，但 wget / curl 无法下载#

1
export http_proxy="http://127.0.0.1:7890"
2
export https_proxy="http://127.0.0.1:7890"
3
export all_proxy="socks5://127.0.0.1:7890"
4
export no_proxy="127.0.0.1,localhost,192.168.0.0/16,10.0.0.0/8"

1
proxy = "http://127.0.0.1:7890"

案例七：开启系统代理后 UWP 微软商店提示无网络连接#

案例八：多网卡或虚拟机开启导致 7890 本地端口被占用的解决方案#

1
netstat -ano | findstr "7890"

1
tasklist | findstr "4512"

案例九：开启全局模式后腾讯会议/钉钉音视频通话严重卡顿丢包#

案例十：系统代理下部分网页提示“你的连接不是专用连接” (SSL 握手错误)#

案例十一：公司内网 8080 端口与 Clash Verge 本地端口产生路由冲突#

案例十二：使用系统代理时微信/QQ 网页版接收图片极其缓慢#

案例十三：Windows 11 休眠唤醒后代理注册表状态脱节导致静默断网#

案例十四：企业级 VPN (Cisco AnyConnect / GlobalProtect) 与系统代理冲突#

案例十五：企业 802.1X 无线网络认证断开#

案例十六：电脑开启手机热点 (Mobile Hotspot) 后连入设备无法借用系统代理#

案例十七：Edge / Chrome 提示“由贵组织管理”(Managed by your organization) 锁定系统代理#

案例十八：Android 模拟器 (夜神 / 雷电) 与电脑系统代理产生回环冲突#

案例十九：Windows 11 防火墙拦截 verge-mihomo.exe 本地环回端口监听#

案例二十：macOS Sequoia 15 Network Extension 框架阻断偏好设置写入#

案例二十一：Windows 远程桌面 (RDP) 多用户会话代理冲突#

案例二十二：macOS Safari 私密浏览与系统代理冲突#

案例二十三：Windows 11 企业级 Azure AD / Entra ID SSO 身份认证失效#

案例二十四：VMware Workstation NAT 虚拟网卡与系统代理产生路由环路#

案例二十五：Windows Defender 防火墙阻止 verge-mihomo.exe 监听 Loopback 端口#

案例二十六：macOS 升级至 15.1 后 SCNetworkConfiguration 接口提权失效#

1
sudo killall -9 configd

十、 常见问题 FAQ#

Q1: 开启系统代理和开启 TUN 模式可以同时勾选吗？#

可以同时勾选，但在技术逻辑上没必要。

当 TUN 模式开启时，底层的 Wintun 虚拟网卡已经改写了操作系统路由表，全系统所有的 IP 报文均已被 TUN 网卡强行捕获。此时即便开启系统代理，流量也会在到达系统代理端口之前被 TUN 网卡截获。建议生产环境中优先使用 TUN 模式，并将系统代理保持为关闭状态，以避免重复封装。

Q2: 为什么关闭 Clash Verge Rev 软件前，务必先手动关闭“系统代理”开关？#

因为当你在软件内主动关闭系统代理开关时，Clash Verge 会向操作系统发送注销 API，恢复系统原本的网络设置。如果直接强制关闭软件或直接关机，操作系统中的代理注册表参数得不到注销，开机后就会因找不到 7890 监听端口而导致全网断网。

Q3: 为什么开启系统代理后，使用 Ping 命令测试 google.com 依然显示超时？#

因为 Ping 命令使用的是 ICMP 协议，而系统代理（System Proxy）属于应用层代理，仅支持 TCP 和部分 UDP 协议，完全不支持 ICMP 协议。

因此，在系统代理模式下，Ping 任何海外网站都会提示 Request timed out。这属于正常的协议限制，并不代表网络无法科学上网。如果需要测试 ICMP/Ping，必须切换为 TUN 模式。

Q4: 什么是 PAC 自动代理配置脚本，它与 Clash Verge 的系统代理有什么区别？#

PAC (Proxy Auto-Configuration) 是一种较老的系统代理机制，它通过让浏览器加载一个 .pac JavaScript 文件来决定哪些域名走代理。而 Clash Verge Rev 采用了更现代的 指定固定端口 + 内核内部分流 (Mihomo Meta) 的架构。软件将系统代理指向固定端口 127.0.0.1:7890，所有的分流逻辑全数交由底层的 Go 内核高效处理，避免了浏览器频繁解析 JavaScript 脚本的 CPU 开销。

Q5: 为什么在 macOS 系统上开启系统代理后，Safari 浏览器可以上网，但 Chrome 却打不开网页？#

这通常是因为 Chrome 安装了某些第三方代理扩展插件（如 SwitchyOmega）。

当 Chrome 内部启用了扩展插件管理代理时，插件的优先级高于 macOS 的系统偏好设置。解决方案是在 Chrome 的 SwitchyOmega 插件中，将代理模式切换为 “使用系统代理 (System Proxy)”。

Q6: 使用系统代理时，开启“允许局域网连接 (Allow LAN)”有什么作用？#

开启“允许局域网连接”后，Mihomo 内核的 7890 端口将不再仅绑定在 127.0.0.1 环回地址上，而是会绑定到电脑在局域网中的真实 IP（如 192.168.1.100）。此时，同局域网内的手机、iPad 或其他电脑，只需在它们的网络代理中填写你电脑的 IP 和 7890 端口，即可共享你电脑上的代理网络。

Q7: 在 Windows 11 上，为什么休眠唤醒后系统代理会自动失效？#

这是因为 Windows 11 在从深度休眠（Sleep/Modern Standby）唤醒时，网络协议栈（TCPIP.sys）重新初始化，可能会重置 WinINet 注册表状态。解决方案是在 Clash Verge 设置中开启 “唤醒后自动重启内核 (Restart Core on Resume)” 开关。

Q8: 使用系统代理会不会导致我的真实 IP 泄漏给访问的海外网站？#

不会。

当流量通过系统代理送入 Clash Verge Rev 后，Mihomo 内核会将请求通过加密隧道发送给远端代理节点，目标海外网站只能看到代理节点的公网 IP 地址。但需要注意的是，如果在浏览器中开启了 WebRTC，可能会通过 WebRTC 的 STUN 探测泄漏本地 IP，建议在浏览器中禁用非代理 UDP 或使用 TUN 模式。

Q9: 为什么有些软件（如 Spotify 桌面版）在系统代理下打不开，提示错误代码 408？#

部分桌面软件在发起网络请求时，不使用系统默认的 WinINet 接口，而是自己打包了独立的 Curl 或 Network 模块。解题办法是在软件自身的设置菜单中，找到 Network/Proxy 选项，手动指定代理类型为 HTTP，地址为 127.0.0.1，端口为 7890。

Q10: 如何在不打开 Clash Verge 界面的情况下，快速检查系统代理端口是否正常监听？#

可以在终端中运行测试命令：

• Windows (PowerShell)：

1
Test-NetConnection -ComputerName 127.0.0.1 -Port 7890

若输出 TcpTestSucceeded : True，代表端口监听正常。

• macOS / Linux (Terminal)：

1
nc -zv 127.0.0.1 7890

Q11: 系统的 HTTP 代理端口 (7890) 和 Socks5 代理端口 (7891) 有什么区别？#

HTTP 代理协议带有完整的 HTTP 请求头信息，兼容性最好；而 Socks5 属于底层的传输层代理协议，支持纯二进制 TCP/UDP 流量转发。Clash Verge Rev 默认开启了 mixed-port: 7890，该端口能够自动识别传入的报文是 HTTP 还是 Socks5 并自动切换，因此通常统一填写 7890 即可。

Q12: 为什么在全局模式下访问 ip138.com 显示的还是中国 IP？#

因为 ip138.com 等国内 IP 查询网站可能被浏览器或 DNS 本地缓存了结果。在切换为全局模式后，建议打开浏览器的无痕窗口（Incognito Mode）重新访问，或运行 ip.sb 查看节点真实出局 IP。

Q13: 使用公司电脑时，发现 Clash Verge 的系统代理开关经常被强制关闭，怎么解决？#

很多公司部署了组策略（Domain Group Policy）或网安管控软件（如深信服、天融信客户端）。组策略会每隔数分钟自动刷新注册表，强制清除 ProxyEnable。针对这种环境，安装并开启 TUN 模式 是唯一的解决途径，因为 TUN 模式不依赖系统注册表设置。

Q14: 可以在不配置系统代理的情况下使用 Clash Verge 吗？#

可以。

如果你只需要部分特定的软件走代理（例如仅让 Telegram 或特定下载器走代理），可以保持 Clash Verge 的系统代理和 TUN 模式均处于关闭状态，仅让软件后台保持运行。然后单独在 Telegram 的代理设置中填写 127.0.0.1:7890。这样可以实现零侵入式的精确局部代理。

Q15: 系统代理模式下，为什么在 Task Manager 中看到 Clash Verge 流量很小，网页却加载很快？#

因为在系统代理模式下，浏览器接收到的解密数据直接在内核进程 verge-mihomo.exe 中流转，系统任务管理器中的网络统计有时会将其归类为本地环回流量（Loopback Traffic），因此主界面 GUI 进程的网速显示可能存在延迟。

Q16: 开启系统代理后，OneDrive 客户端频繁提示“正在设置代理”怎么解决？#

OneDrive 在 Windows 10/11 上依赖系统 WinINet 代理。如果发生频繁重连，可在 Bypass 列表中加入 *.onedrive.live.com 和 *.storage.live.com，强制 OneDrive 直连出局。

Q17: 如何在 PowerShell 中一键开关系统代理？#

可在 PowerShell 配置文件（$PROFILE）中加入以下简易控制脚本：

1
function Enable-SysProxy {
2
 Set-ItemProperty -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' -Name ProxyEnable -Value 1
3
 Set-ItemProperty -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' -Name ProxyServer -Value "127.0.0.1:7890"
4
 Write-Host "系统代理已开启" -ForegroundColor Green
5
}
6
function Disable-SysProxy {
7
 Set-ItemProperty -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' -Name ProxyEnable -Value 0
8
 Write-Host "系统代理已注销" -ForegroundColor Yellow
9
}

Q18: 为什么在系统代理模式下，Steam 客户端的商店能打开，但游戏下载速度极其缓慢？#

Steam 客户端在下载游戏大包时，会向附近的 CDN 节点发起成百上千个并发 TCP 连接。如果在规则模式下误将 Steam CDN 规则归类为了代理出局，节点带宽会被瞬间挤爆。解决方案是在 Merge 配置中将 geosite:steam@cn 设置为 DIRECT 直连。

Q19: macOS 系统休眠唤醒后，系统偏好设置里的 HTTP 代理虽然勾选着，但无法上网怎么处理？#

这是 macOS 网络服务句柄在恢复时丢失了 Socket 关联。在 Clash Verge 界面中依次点击“关闭系统代理”再“重新开启系统代理”，或者在终端中运行 sudo killall -HUP mDNSResponder 清理网络服务缓存。

Q20: 为什么使用系统代理时，部分 HTTPS 网站提示 NET::ERR_CERT_COMMON_NAME_INVALID？#

这通常是因为目标网站启用了严格的 HSTS (HTTP Strict Transport Security) 策略，而你启用了某些包含了篡改证书的规则脚本。关闭对应的规则扩展或清理浏览器 HSTS 缓存即可解决。

Q21: 在 Linux 环境下，如何为 systemd 服务配置 Clash Verge 的代理？#

Systemd 系统服务不读取用户的桌面系统代理。如果需要为某个 systemd 服务（如 Docker）配置代理，必须在其服务配置文件中添加环境变量：

1
[Service]
2
Environment="HTTP_PROXY=http://127.0.0.1:7890"
3
Environment="HTTPS_PROXY=http://127.0.0.1:7890"

Q22: 为什么开启全局模式后，打开百度搜索时频现验证码要求？#

因为全局模式下，你所有的百度搜索请求都从同一个海外代理节点 IP 发出。百度安全防护系统检测到该 IP 存在成千上万来自全球用户的频繁搜索请求，会判定该 IP 为异常自动化脚本，从而强制弹出 CAPTCHA 人机验证。切回 规则模式 即可恢复正常。

Q23: 升级到 2026 最新版 Clash Verge Rev 后，之前的 bypass 参数不生效了怎么办？#

最新版 Mihomo 内核强化了对 Bypass 语法的校验规范。请检查 Merge 配置中的 bypass 列表格式，确保使用了标准的 JSON/YAML 字符串数组（Array）语法，而不是单行以分号分隔的旧版格式。

Q24: 系统代理模式支持代理 IPv6 流量吗？#

支持，但前提是你的代理节点和机场服务端开启了 IPv6 支持。可以在 Clash Verge 设置的 Mihomo 字段中，将 ipv6: true 开关切换为开启状态。

Q25: 如何备份我当前调试好的系统代理与 Bypass 设置？#

进入 Clash Verge Rev 设置 -> 备份与恢复 (Backup & Restore)，点击导出配置。导出的 .zip 文件中包含了所有的系统代理规则、策略组配置与 Merge 覆写脚本。

Q26: 开启系统代理后，浏览器提示“由贵组织管理”(Managed by your organization) 是否安全？#

在开启某些高级系统代理策略时，Chrome / Edge 浏览器可能会在顶部菜单显示“由贵组织管理”的提示。这是因为客户端修改了 Windows 组策略（HKLM\SOFTWARE\Policies\Google\Chrome\ProxyMode）以强制锁定代理设置。只要是从官方 Releases 仓库下载的客户端，此提示属于正常系统策略介入，不会对个人隐私产生危害。

Q27: 如何设置系统代理的自动定时切换或基于 Wi-Fi SSIDs 的自动化控制？#

对于移动办公笔记本电脑，用户希望在公司连 Wi-Fi 时自动关闭系统代理，在家里或咖啡厅时自动开启系统代理。可以通过编写 PowerShell 脚本监听网络 SSID 变动事件：

1
$ssid = (netsh wlan show interfaces | Select-String "SSID\s+:" | Select-Object -First 1).ToString().Split(":")[1].Trim()
2
if ($ssid -eq "Company_Office_WiFi") {
3
 Set-ItemProperty -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' -Name ProxyEnable -Value 0
4
} else {
5
 Set-ItemProperty -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' -Name ProxyEnable -Value 1
6
}

Q28: 系统代理模式下，浏览器地址栏输入 chrome://net-internals/#proxy 能看到什么调试信息？#

在 Chrome / Edge 地址栏输入 chrome://net-internals/#proxy，可以实时监控当前浏览器从操作系统读取到的全局代理配置、PAC 路径、生效的 Bypass 规则列表以及代理服务器连通健康度。这对于诊断系统代理是否成功注入浏览器具有极强的排查价值。

Q29: 如何通过 Mihomo 内核的 RESTful API 调试接口实时抓取系统代理报文日志？#

Mihomo 内核在本地 9090 端口暴露了 WebSocket 实时调试接口。你可以通过终端运行 curl -N http://127.0.0.1:9090/logs?level=debug 实时监听所有从 7890 系统代理端口传入的数据包匹配路径，准确判定某个特定网站是被直连放行还是被代理指派。

Q30: 在本地开发环境（如 Vite / Webpack / Next.js）中，如何设置 Dev Server 避开 Clash Verge 系统代理？#

本地前端开发服务启动在 http://localhost:3000 或 http://127.0.0.1:5173。确保系统的 Bypass 列表中包含 localhost 和 127.0.0.1。同时在项目 vite.config.js 的 server.proxy 配置中，将 changeOrigin 设为 true 并保持本地内网转发。

Q31: 如何配置 Clash Verge Rev 部署远程 PAC (Proxy Auto-Config) 文件？#

如果需要向企业旧版浏览器（如 IE 11 或老旧嵌客户端）提供 PAC 脚本，可在 Clash Verge 设置中启动内置的 PAC HTTP Server：

1. 在设置中开启 PAC 服务 并设置监听端口（如 7892）。
2. PAC 文件生成的 URL 路径为 http://127.0.0.1:7892/pac。
3. 在浏览器的 PAC 自动配置脚本地址中填入上述 URL 即可完成自动派发。

Q32: 开启系统代理进行大文件下载（如 Steam/BT 下载）时，为什么 verge-mihomo.exe 进程 CPU 飙升？#

当使用系统代理下载多线程大文件时，浏览器发起了数十个并发 TCP Socket 连接，每个 Socket 数据包都需要在 Go 内核中进行规则匹配与流解密。 解决办法：在 Clash Verge 规则中为下载网站域名添加 DIRECT 规则，或者在下载器中直接设置禁用代理，避免无谓的解密计算开销。

Q33: 如何为 Windows WSL 2 (Linux 子系统) 在不开启 TUN 模式下配置代理借用宿主机系统代理？#

WSL 2 在默认 NAT 模式下拥有独立的虚拟子网 IP 地址。要让 WSL 2 终端借用 Windows 宿主机的 Clash Verge 系统代理：

1. 在 Clash Verge 设置中勾选 允许局域网连接 (Allow LAN)。
2. 在 WSL 2 内的 ~/.bashrc 中写入解析宿主机 IP 并导出代理环境变量的脚本：

1
export host_ip=$(ip route | grep default | awk '{print 3 }')
2
export http_proxy="http://${host_ip}:7890"
3
export https_proxy="http://${host_ip}:7890"

3. 重新加载终端 source ~/.bashrc 即可在 WSL 2 内部流畅运行 apt update 或 git clone。

Q34: 为什么某些国内证券交易软件或银行网银插件在开启系统代理后会强制自动注销登出？#

许多国内金融与证券交易客户端（如同花顺、通达信、招商银行网银）集成了严苛的网络安全监控机制。当它们检测到操作系统的 WinINet 注册表被开启了 ProxyEnable=1 且指向本地 127.0.0.1:7890 端口时，防中间人攻击（Anti-MITM）模块会误认为当前电脑遭受了网络监听拦截，从而主动触发强制安全登出保护。 解决办法：在 Merge 覆写中的 system-proxy.bypass 中将金融软件的认证服务器域名或 IP 段显式加入豁免列表，或者在交易时临时手动关闭系统代理开关。

Q35: 如何为 NPM / YARN 等前端包管理器设置系统代理与镜像源自动化直连？#

在进行前端项目开发时，运行 npm install 频繁遇到网络超时。即使开启了系统代理，Node.js 环境有时也不会自动读取 WinINet 注册表。 解决方案：

• 临时命令行注入：运行 npm config set proxy http://127.0.0.1:7890 与 npm config set https-proxy http://127.0.0.1:7890。
• 推荐直连方案：直接使用中国国内镜像源 npm config set registry https://registry.npmmirror.com，并在 Clash Verge 的 Bypass 列表中加入 *.npmmirror.com，实现高速下载而不占用代理流量。

Q36: Clash Verge Rev 系统代理与 V2RayN / Clash Nyanpasu 系统代理注入机制有何区别？#

在底层注入机制上，三者均通过改写 Windows WinINet 注册表来实现。但 Clash Verge Rev 借助于 Rust 编写的后端的强类型守护线程，会在应用生命周期内持续监控 ProxyEnable 注册表键值的变动。当发现被 360 卫士或第三方便捷工具误抹除时，守护线程能秒级自动纠正并重新写入注册表；而旧版客户端通常仅在点击开启按钮的瞬间进行一次写入，容易中途失效。

Q37: 如何为 Git 命令行绑定单独的代理端口而不依赖全局系统代理开关？#

如果你不想开启全局系统代理，但又希望在控制台中流畅拉取 GitHub 仓库代码，可为 Git 配置专用的 Socks5/HTTP 代理：

1
# 全局设置 Git 走 Clash Verge 7890 混合端口
2
git config --global http.proxy http://127.0.0.1:7890
3
git config --global https.proxy http://127.0.0.1:7890
4

5
# 若需要取消 Git 代理设置
6
git config --global --unset http.proxy
7
git config --global --unset https.proxy

Q38: 开启系统代理后，为什么 Microsoft Teams / Outlook 桌面版提示账户认证错误？#

这是由于 Teams 和 Outlook 在登录现代身份验证（Modern Authentication）时，向 login.microsoftonline.com 发起了带 Token 的 TLS 连接。如果策略组误将其分配给了不稳定的代理节点，微软身份验证服务会判定账户遭遇跨国异地登录风险而阻断登录。 解决办法：在策略组中将 Microsoft 分流规则的代理策略指定为 DIRECT 直连或稳定性更高的专线节点。

十一、 总结与最佳使用习惯路线图#

掌握 Clash Verge Rev 系统代理的设置与排查，能够帮助你建立起稳定、高效且无故障的网络访问环境。请牢记以下最佳使用习惯：

1. 模式首选：日常使用坚守 规则模式 (Rule)，避免无脑开启全局模式消耗流量。
2. 场景区分：仅看网页选 系统代理；涉及命令行、游戏、UWP 或 Docker 时无缝切为 TUN 模式。
3. 退场规范：养成在退出客户端前，确认关闭系统代理开关的良好习惯，彻底规避开机断网。
4. 故障排查：遇网页打不开时，优先按照“注册表状态 -> 7890 端口监听 -> Bypass 豁免”三步路线递进排查。

[相关文章：Clash Verge Rev下载安装教程：Windows/Mac/Linux官网下载与配置] [相关文章：Clash Verge Rev TUN模式配置与多网卡路由冲突终极指南] [相关文章：Clash Verge Rev 节点全部超时：Ping超时与死节点排查]