系统代理怎么设置？Windows/Mac网络代理端口托管

1. 主流代理客户端默认端口一览与用途#

2. 标准代理客户端 YAML 配置文件示例#

以下是一份标准的 Mihomo / Clash 核心配置文件片段，展示了如何正确定义本地监听端口以及系统代理控制动作：

1
# 基础运行端口托管定义
2
port: 7890 # 独立 HTTP 代理端口
3
socks-port: 7891 # 独立 SOCKS5 代理端口
4
mixed-port: 7897 # 混合端口（建议：一个端口同时响应 HTTP 与 SOCKS5 请求）
5

6
# 允许局域网其他设备连接当前机器托管的代理端口
7
allow-lan: true
8
bind-address: '*' # 监听所有网卡接口
9

10
# 代理模式设置：rule（规则分流）、global（全局代理）、direct（全局直连）
11
mode: rule
12

13
# 日志输出等级：info, warning, error, debug
14
log-level: info
15

16
# IPv6 支持开关（若本地网络 IPv6 质量差，建议设为 false）
17
ipv6: false
18

19
# 操作系统系统代理自动化配置（仅部分支持系统代理 API 的内核可声明）
20
interface-name: "" # 绑定特定出口网卡（留空代表默认）
21

22
# 核心路由规则组
23
rules:
24
 - DOMAIN-SUFFIX,google.com,节点选择
25
 - DOMAIN-KEYWORD,openai,ChatGPT专用
26
 - GEOIP,CN,DIRECT
27
 - MATCH,漏网之鱼

通过指定 mixed-port: 7897，系统代理设置无需分别填写 HTTP 与 SOCKS5 端口，统一下发 127.0.0.1:7897 即可处理绝大部分桌面流量。

三大代理托管模式深度对比表#

1. Windows PowerShell 代理开关自动化脚本#

在 Windows 的 profile.ps1 配置文件中添加以下 PowerShell 函数，可以实现一键开启与关闭系统代理及命令行代理：

1
# 编辑 PowerShell Profile 文件 ($PROFILE)
2

3
function Set-Proxy {
4
 param([string]$Port = "7897")
5
 $env:http_proxy = "http://127.0.0.1:$Port"
6
 $env:https_proxy = "http://127.0.0.1:$Port"
7
 $env:all_proxy = "socks5://127.0.0.1:$Port"
8

9
 # 同时写入 Windows WinINet 注册表开启全局系统代理
10
 Set-ItemProperty -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' -Name ProxyEnable -Value 1
11
 Set-ItemProperty -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' -Name ProxyServer -Value "127.0.0.1:$Port"
12

13
 Write-Host "[+] 系统代理与终端环境变量已成功挂载至 127.0.0.1:$Port" -ForegroundColor Green
14
}
15

16
function Unset-Proxy {
17
 $env:http_proxy = ""
18
 $env:https_proxy = ""
19
 $env:all_proxy = ""
20

21
 # 关闭 Windows 注册表系统代理
22
 Set-ItemProperty -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' -Name ProxyEnable -Value 0
23

24
 Write-Host "[-] 系统代理与终端环境变量已关停恢复直连" -ForegroundColor Yellow
25
}

使用示例：在终端中只需输入 Set-Proxy 即可完成系统与命令行的同时托管，输入 Unset-Proxy 即可一键关停。

2. macOS / Linux Terminal Zsh 快捷指令配置#

在 macOS 或 Linux 终端下，修改用户根目录的 ~/.zshrc 或 ~/.bashrc：

1
# 打开配置文件
2
nano ~/.zshrc
3

4
# 粘贴代理托管函数
5
alias proxyon='export http_proxy="http://127.0.0.1:7897"; export https_proxy="http://127.0.0.1:7897"; export all_proxy="socks5://127.0.0.1:7897"; echo "Proxy On: 127.0.0.1:7897"'
6
alias proxyoff='unset http_proxy https_proxy all_proxy; echo "Proxy Off"'
7

8
# 检查当前代理状态
9
alias proxystatus='env | grep -i proxy'

保存后运行 source ~/.zshrc，在终端输入 proxyon 即可让 git clone 或 npm install 轻松走代理下载依赖包。

案例 1：Windows 非正常关机导致全局网络瘫痪（ERR_PROXY_CONNECTION_FAILED）#

• 问题现象：用户在使用 Clash Verge Rev 过程中，电脑因意外断电关机。次日重新开机后，在未启动 Clash 的情况下，使用 Edge 或 Chrome 打开任何网页均显示“无法连接到代理服务器”或 ERR_PROXY_CONNECTION_FAILED，导致整个电脑无法上网。
• 环境信息：Windows 11 23H2，无其他杀毒软件。
• 初步判断：关机前 Clash 未执行“关闭系统代理”的清理逻辑，导致 Windows 注册表中的 ProxyEnable 依旧保持为 1，系统将所有流量强行送往 127.0.0.1:7897。由于 Clash 未开机自启，没有服务在监听 7897 端口，套接字建立被拒绝。
• 排查路径：

1. 打开 Windows 设置 -> 网络和 Internet -> 代理。
2. 观察到“使用代理服务器”处于开启状态，端口为 7897。
3. 尝试启动 Clash Verge Rev，启动成功后网络瞬间恢复；手动再次点击关闭“系统代理”，然后退出 Clash，网络保持正常。

• 根治方案：若不想每次手动关闭，可在 PowerShell 运行命令强制恢复： Set-ItemProperty -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' -Name ProxyEnable -Value 0
• 复盘与原理：系统代理依赖“写入-读取-恢复”闭环。非正常退出打断了恢复过程，导致注册表残余脏数据。

案例 2：代理端口 7890 冲突导致代理内核启动失败#

• 问题现象：在 Clash 界面勾选“系统代理”后，控制台弹窗报错 bind: address already in use，无法节点选速，系统代理开关自动弹回关闭状态。
• 环境信息：Windows 10，安装了 VMware 虚拟机与迅雷下载器。
• 排查路径：

1. 打开 cmd 命令行，查找监听 7890 端口的进程 PID： netstat -ano | findstr "7890"
2. 发现 PID 4528 占用了 127.0.0.1:7890。
3. 在任务管理器中根据 PID 查看，发现该进程为某个后台下载软件或虚拟机共享服务。

• 解决步骤：在 Clash Verge 设置中，将“混合端口”（Mixed Port）从 7890 修改为不受干扰的 7897 或 17890，保存配置并重新启动代理内核。
• 结果验证：重新勾选“系统代理”，软硬件不再提示端口绑定异常，代理顺利开启。

案例 3：macOS 下开启系统代理后 Safari 显示“不受信任的证书/HTTPS 警告”#

• 问题现象：在 macOS 开启代理后，访问 HTTP 网站正常，但访问 HTTPS 网站（如 Google、Bilibili）时 Safari 弹出危险警告，提示“此网站的证书无效”。
• 环境信息：macOS Sonoma 14.5，代理客户端使用了 MITM / HTTPS 解密解包功能。
• 排查路径：

1. 检查代理客户端设置，发现开启了“中间人解密（MITM / CA Cert）”用于广告拦截或抓包。
2. macOS 系统未信任代理软件生成的本地根证书（Root CA）。

• 解决步骤：

1. 在代理软件中导出 ca.crt 根证书文件。
2. 双击证书将其导入至 macOS 钥匙串访问（Keychain Access） -> 系统（System）。
3. 右键选择该证书 -> 点击 显示简介 -> 展开 信任 选项 -> 将“使用此证书时”修改为 始终信任（Always Trust）。

• 结果验证：重启 Safari 浏览器，访问 HTTPS 网页不再报证书错误，安全加密连接正常建立。

1. HTTP 代理与 HTTP CONNECT 隧道机制#

标准的 HTTP 代理主要处理明文 Web 请求。当浏览器开启系统代理访问 http://example.com/page 时，浏览器并不直接向 example.com 的 80 端口建立 TCP 连接，而是直接向本地代理端口 127.0.0.1:7897 发送一个包含完整 URL 的 HTTP 请求包：

1
GET http://example.com/page HTTP/1.1
2
Host: example.com
3
User-Agent: Mozilla/5.0 ...
4
Proxy-Connection: keep-alive

代理客户端（如 Mihomo 或 Xray）接收到该请求后，提取出目标域名与路径，匹配路由规则，随后将请求转发至海外机场节点。

然而，在访问加密的 HTTPS 网页（如 https://google.com）时，由于 TLS 加密报文不能在明文中裸奔，浏览器会向本地代理端口发送一个特殊的 HTTP CONNECT 请求：

1
CONNECT google.com:443 HTTP/1.1
2
Host: google.com:443
3
Proxy-Connection: keep-alive

本地代理客户端收到此请求后，并不解密目标流量，而是向浏览器回应 HTTP/1.1 200 Connection Established，随后在浏览器与远端目标服务器之间建立一条不透明的双向数据管道（Tunnel）。这种机制保证了即使开启系统代理，你的 TLS 证书与加密数据依然受到端到端安全保护。

2. SOCKS5 协议与 UDP 报文穿透原理解析#

SOCKS5（RFC 1928）是一种工作在会话层（Session Layer）的通用代理协议。与 HTTP 代理只理解 Web 报文不同，SOCKS5 对上层应用协议完全盲目，它可以代理 TCP、UDP、FTP、SMTP、SSH 等任意流量。

SOCKS5 握手分为三个阶段：

1. 协商阶段：客户端向代理端口发送支持的认证方式（无认证、用户名密码等）。
2. 请求阶段：客户端发送目标 IP/域名和端口（支持 CONNECT 建立 TCP，支持 UDP ASSOCIATE 建立 UDP 转发）。
3. 数据传输阶段：代理客户端建立转发通道，原封不动地传送二进制数据包。

在系统代理托管中，SOCKS5 代理比 HTTP 代理更适合传输高并发、小数据包的通信（例如 Telegram 客户端聊天）。然而，由于 Windows WinINet 系统代理对 SOCKS5 的 UDP 转发支持较弱，客户端通常会在本地同时暴露 HTTP 与 SOCKS5 端口，或者使用 混合端口（Mixed Port） 自动识别接入的协议类型。

3. WPAD (Web Proxy Auto-Discovery Protocol) 自动化协议与安全风险#

WPAD 是一套允许浏览器与操作系统在无需人工干预的情况下自动查找并下载 PAC 文件的标准。

在 Windows 系统的“网络和 Internet -> 代理”设置中，经常可以看到一个默认开启的选项：“自动检测设置”（Automatically detect settings）。

WPAD 的工作原理如下：

1. 操作系统连接到网络后，通过 DHCP 选项 252 向路由器索取 PAC 配置文件的 URL。
2. 如果 DHCP 未提供，操作系统会发起 DNS 查询，尝试解析名为 wpad.yourdomain.com 的主机名。
3. 获取到 wpad.dat 后，系统在本地运行 JavaScript 环境计算每个网址是否走代理。

技术警告与安全风险：在公共 Wi-Fi（如机场、咖啡厅）环境下，黑客可以搭建恶意的 DHCP 服务器或劫持 DNS wpad 域名，向你的 Windows 系统推送到恶意的 PAC 配置文件，从而将你的所有上网流量重定向至黑客控制的钓鱼服务器。因此，在个人电脑上建议始终关闭 Windows 的“自动检测设置”，仅使用客户端托管的固定本地端口。

1. PAC 脚本的标准 JavaScript 语法结构#

PAC 文件本质上是一段定义了 FindProxyForURL(url, host) JavaScript 函数的文本文件。操作系统在访问每一个网页时，都会将目标 URL 和主机名传入该函数，根据返回值决定流量去向。

1
// 标准 FindProxyForURL 函数实现示例
2

3
function FindProxyForURL(url, host) {
4
 // 1. 本地主机名、无点号的内部域名直连
5
 if (isPlainHostName(host) || shExpMatch(host, "*.local")) {
6
 return "DIRECT";
7
 }
8

9
 // 2. 本地私有网段 IP 范围直连
10
 var resolved_ip = dnsResolve(host);
11
 if (isInNet(resolved_ip, "10.0.0.0", "255.0.0.0") ||
12
 isInNet(resolved_ip, "172.16.0.0", "255.240.0.0") ||
13
 isInNet(resolved_ip, "192.168.0.0", "255.255.0.0") ||
14
 isInNet(resolved_ip, "127.0.0.0", "255.0.0.0")) {
15
 return "DIRECT";
16
 }
17

18
 // 3. 国内常见大厂域名直连（示例）
19
 if (shExpMatch(host, "*.baidu.com") ||
20
 shExpMatch(host, "*.taobao.com") ||
21
 shExpMatch(host, "*.qq.com")) {
22
 return "DIRECT";
23
 }
24

25
 // 4. 被封锁的海外域名走本地代理端口 7897
26
 if (shExpMatch(host, "*.google.com") ||
27
 shExpMatch(host, "*.github.com") ||
28
 shExpMatch(host, "*.openai.com")) {
29
 return "PROXY 127.0.0.1:7897; SOCKS5 127.0.0.1:7897; DIRECT";
30
 }
31

32
 // 5. 默认兜底策略：走代理
33
 return "PROXY 127.0.0.1:7897; DIRECT";
34
}

2. PAC 返回值指令类型说明#

• DIRECT：跳过代理，直接使用本地网卡连接目标服务器。
• PROXY 127.0.0.1:7897：使用指定的 HTTP 代理服务器与端口。
• SOCKS5 127.0.0.1:7897：使用指定的 SOCKS5 代理服务器。
• 组合备份语句（如 PROXY 127.0.0.1:7897; DIRECT）：优先尝试使用代理，若代理客户端崩溃未响应，自动降级切换为直连模式，防止用户完全断网。

1. 作用域与控制权限对比#

1
flowchart LR
2
 SubGraph1[操作系统全局] -->|系统代理生效| AllApps[Edge / Chrome / 桌面应用]
3

4
 SubGraph2[Chrome 内部] -->|安装 SwitchyOmega 扩展| Override[覆盖并劫持 Chrome 代理设置]
5
 Override -->|独立分流规则| LocalPort[127.0.0.1:7897]
6

7
 SystemProxy[系统代理状态] -.->|被扩展忽略| Override

2. 常见配置误区排查#

• 误区一：开启了 SwitchyOmega 的“直接连接”模式，却怪系统代理不起作用 当你在 Chrome 安装了 SwitchyOmega 并选择“直接连接”时，扩展会强制 Chrome 忽略 Windows/macOS 的系统代理。即使你在 Clash 中开启了系统代理，Chrome 也依然直连。
• 误区二：重复分流（“双重规则”） 如果在 SwitchyOmega 中配置了复杂的分流规则（如 GFWList），同时代理客户端（Clash Verge）又开启了规则模式（Rule Mode），请求会被过滤两次，虽然不影响连通性，但会增加微小的解析开销。推荐在 SwitchyOmega 中直接选择 “系统代理” 或选择 “HTTP 127.0.0.1:7897 全局送给客户端”，把真正的分流逻辑交给 Mihomo 内核统一处理。

1. 冲突发生的底层技术根源#

1. 注册表 / 网络代理控制权争抢：有些旧版企业 VPN 在连接时，会强制覆盖 Windows 注册表中的 ProxyEnable 和 ProxyServer，将其修改为公司内网的 PAC 地址，强行抹掉你的本地 127.0.0.1:7897 托管设置。
2. 路由表（Route Table）冲突：企业 VPN 通常会下发虚拟网卡，并将全局路由权重（Metric）调至最高，把所有 0.0.0.0/0 的流量拉入 VPN 虚拟网卡通道。

2. 三大共存解决方案#

1
tun:
2
 enable: true
3
 stack: gvisor # 推荐使用轻量级 gvisor 协议栈，兼容性更好
4
 dns-hijack:
5
 - 'any:53'
6
 auto-route: true
7
 auto-detect-interface: true # 自动检测企业 VPN 虚拟网卡接口并保留路由

15. Windows UWP 应用 Loopback 隔离与系统代理调试深度指南#

前文提到了 Windows 应用商店（Microsoft Store）、Xbox 游戏客户端等基于 UWP（Universal Windows Platform）架构的应用在开启系统代理后无法联网的问题。此处提供更详细的原理分析与排查工具。

1. 为什么 UWP 应用默认受 Loopback 隔离限制？#

Windows 10/11 为所有的现代应用（AppContainer 沙盒）设计了一套隔离机制。沙盒内的进程被剥夺了访问 127.0.0.1 环回地址的权限。这种设计能有效阻止恶意 UWP 软件扫描本地开放的敏感端口（如数据库端口 3306 或本地 API 端口）。

但代理客户端恰恰监听在 127.0.0.1:7897 上，这就造成了 UWP 应用发送的所有 HTTP 数据包在到达代理软件之前，就被 Windows 内核的安全模块直接 drop（丢弃）。

2. 通过 PowerShell 精确控制单一应用的 Loopback 豁免#

除了使用一键解封工具外，开发人员可以通过命令查出指定 UWP 应用的 PackageFamilyName 并进行精细化授权：

1
# 1. 查找指定应用（例如 ChatGPT Windows 客户端或 Spotify）的 PackageFamilyName
2
Get-AppxPackage *ChatGPT* | Select-Object Name, PackageFamilyName
3

4
# 2. 输出示例：
5
# PackageFamilyName: OpenAI.ChatGPT-Desktop_wekyb3d8bbwe
6

7
# 3. 为该指定应用单独开启 Loopback 代理豁免
8
CheckNetIsolation.exe LoopbackExempt -a -n="OpenAI.ChatGPT-Desktop_wekyb3d8bbwe"
9

10
# 4. 确认是否已成功加入豁免列表
11
CheckNetIsolation.exe LoopbackExempt -c

解除豁免后，该应用即可顺畅通过系统代理托管的 127.0.0.1:7897 端口进行海外网络通信。

16. 系统代理状态下的 DNS 解析机制：Fake-IP 与 Redir-Host 技术演进#

在配置系统代理时，许多用户忽略了一个核心环节——DNS 域名解析。开启系统代理后，操作系统到底是在本地把域名解析成 IP 再发给代理软件，还是直接把原始域名交给代理软件去海外解析？这直接决定了你是否会遭遇 DNS 污染或泄露问题。

1. 传统 Redir-Host 模式与 DNS 污染问题#

在早期的代理工具（如旧版 Shadowsocks / V2Ray）中，普遍使用 Redir-Host（域名重定向） 模式。

数据流向如下：

1. 用户在浏览器输入 https://www.google.com。
2. 操作系统在发送代理请求前，先向本地设置的 DNS 服务器（如 114.114.114.114 或运营商 DNS）发起 UDP DNS 查询。
3. 由于本地 DNS 查询报文未经加密，直接穿透出口路由器，G.F.W 模块在半路拦截并伪造一个错误的 IP 地址（例如 127.0.0.1 或乱码 IP）返回给操作系统。
4. 操作系统拿到错误 IP 后发给代理软件，代理软件无法建立有效连接，导致用户看到 DNS_PROBE_FINISHED_NXDOMAIN 错误。

为了解决这个问题，旧版代理要求用户在客户端内额外配置远程加密 DNS（如 DoH / DoT）。

2. 现代 Fake-IP 模式的工作原理#

为了从根本上杜绝本地 DNS 污染，现代代理内核（如 Mihomo / Sing-box）在开启系统代理时全面引入了 Fake-IP（虚假 IP 响应） 机制。

1
flowchart TD
2
 Browser[1. 浏览器请求 www.google.com] --> SystemDNS{2. 系统代理拦截 DNS 请求}
3
 SystemDNS -->|分配虚假 IP 198.18.0.45| Browser
4

5
 Browser -->|3. 向 198.18.0.45:443 发起 TCP 连接| ProxyKernel[4. 代理客户端内核]
6
 ProxyKernel -->|5. 反查内存映射表 198.18.0.45 -> www.google.com| MatchRule[6. 提取原始域名并进行节点匹配]
7
 MatchRule -->|7. 在海外节点端进行安全 DNS 解析| RemoteServer[8. 目标服务器]

17. 抓包分析工具（Fiddler / Charles）与系统代理链（Proxy Chaining）联调实战#

对于前端开发人员、接口测试人员或安全研究人员，电脑上往往同时运行着 抓包分析软件（如 Fiddler、Charles、Wireshark） 以及 机场代理客户端（Clash / v2rayN）。这两个软件都需要托管系统的 HTTP/HTTPS 代理端口，如果不进行链式代理（Proxy Chaining）配置，两者将相互抢占系统代理控制权。

1. 抓包软件与代理客户端的冲突表现#

• 打开 Fiddler 后，Fiddler 会强行将 Windows 系统代理端口修改为 127.0.0.1:8888。
• 此时如果开启 Clash，Clash 会把系统代理改回 127.0.0.1:7897。
• 结果：要么 Fiddler 抓不到任何海外 HTTPS 数据包，要么 Clash 的海外节点选速失败。

2. 构建“代理链”（Proxy Chaining）实现无缝抓包与出海#

正确的方法是建立链式调用拓扑：

浏览器/系统流量 -> Fiddler/Charles 本地代理 (8888) -> 机场代理客户端 (7897) -> 海外节点服务器

18. Docker Desktop 与虚拟机环境的系统代理托管#

在 Windows 与 macOS 环境中使用 Docker Desktop（Docker 容器）或 VMware / VirtualBox 虚拟机时，宿主机的系统代理默认不会自动渗透到容器内部。

1. Docker Desktop 宿主机代理配置#

为了让 Docker 在运行 docker pull 拉取 Docker Hub 镜像或在容器内安装依赖包时能够畅通无阻，需要在 Docker Desktop 中单独配置代理托管：

1. 打开 Docker Desktop 主界面 -> 点击右上角齿轮图标打开 Settings。
2. 导航至 Resources -> 点击 Proxies。
3. 开启 Manual proxy configuration。
4. Web Server (HTTP) 与 Secure Web Server (HTTPS) 均填写：

• Windows 宿主机：http://127.0.0.1:7897 或 http://host.docker.internal:7897
• macOS 宿主机：http://127.0.0.1:7897 或 http://host.docker.internal:7897

5. 在 Bypass proxy settings for hosts & domains 中添加：localhost, 127.0.0.1, *.cn。
6. 点击 Apply & restart。

在此配置下，Docker 守护进程将自动通过宿主机托管的代理端口拉取海外镜像，大幅提升开发构建效率。

19. 系统代理安全审计与多用户权限隔离#

在多人共用一台 Windows 电脑或 Linux / macOS 多账户登录的环境中，系统代理设置的权限归属与安全审计尤为关键。如果缺乏基本的安全隔离意识，本地暴露的代理端口可能会成为局域网内其他人偷跑流量或攻击本机的突破口。

1. 单用户 (HKCU) 与系统全局 (HKLM) 代理设置隔离#

在 Windows 操作系统中，系统代理设置默认写入的是当前登录用户的注册表路径（HKEY_CURRENT_USER）。这意味着：

• 当用户 A 登录并开启 Clash 代理时，其代理配置仅在用户 A 的桌面会话中生效。
• 当切换到用户 B 的桌面会话时，用户 B 的 ProxyEnable 默认为 0，不受用户 A 代理设置的影响。

然而，在某些企业域控电脑上，系统管理员可能会通过组策略强制启用 HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings 路径下的全局代理策略。此时，所有登录该机器的用户都必须强行继承统一的代理端口。

2. 本地代理端口安全性防范：绑定地址（Bind Address）的选择#

代理客户端（如 Clash / v2rayN）通常提供了一个开关——“允许局域网连接”（Allow LAN）。

安全最佳实践：如果在公共场所（如图书馆、酒店 Wi-Fi）使用系统代理，请务必在客户端界面关闭“允许局域网连接”（Allow LAN），将绑定地址固定为 127.0.0.1。如需开启局域网共享，建议在客户端配置中设置代理身份验证用户名与密码（authentication: "user:password"），阻止未授权设备的未经过滤接入。

9. 常见问题 FAQ（系统代理专场）#

Q1：系统代理和全局代理有什么区别？#

答案：这是两个不同维度的概念。

• 系统代理（System Proxy） 指的是流量托管的入口机制：即是否让 Windows / macOS 操作系统把应用层的网络流量送给代理客户端处理。
• 全局代理（Global Mode） 指的是代理客户端内部的分流逻辑：当流量进入客户端后，是不经筛选将所有流量强行发往海外节点（全局模式），还是根据 IP/域名规则自动判断国内直连、国外代理（规则模式 Rule Mode）。

Q2：为什么开启系统代理后，命令行 (cmd / PowerShell / Terminal) 依然无法连通海外网络？#

答案：因为系统的命令行工具（包括 Git、cURL、Python pip、npm 等）在设计上出于安全性与轻量化考虑，故意忽视了图形界面的系统代理（WinINet / macOS Proxies）。命令行需要显式在当前 Shell 会话中设置环境变量（如 export http_proxy=http://127.0.0.1:7897），或者在代理客户端中直接开启 TUN 虚拟网卡模式 才能无感接管命令行流量。

Q3：为什么关闭代理软件后，电脑经常出现网页打不开的问题？#

答案：这通常是因为软件在关闭时未清理注册表（Windows）或系统设置（macOS）。操作系统的代理开关仍处于开启状态，并将流量送往 127.0.0.1:7897。但由于代理软件已退出，该端口没有任何程序接管，导致所有网络请求超时断开。解决办法是手动进入系统设置关闭“使用代理服务器”，或启动软件再次正常勾选/取消勾选系统代理。

Q4：HTTP 代理端口和 SOCKS5 代理端口有什么区别？我应该用哪个？#

答案：

• HTTP 代理：主要用于传输 Web 网页流量（HTTP/HTTPS），兼容性极好，所有的操作系统与浏览器均完美支持。
• SOCKS5 代理：工作在会话层，不关心上层应用协议，支持 TCP 与 UDP 报文转发，性能更高，适合 Telegram、下载工具或代理链配置。 现代代理客户端（如 Clash Verge Rev）普遍采用 混合端口（Mixed Port） 技术，同一个端口既能响应 HTTP 请求也能响应 SOCKS5 请求，建议直接使用混合端口。

Q5：开启系统代理会泄露我的隐私或网银账号吗？#

答案：不会。代理客户端在本地仅作为一个流量转发中继器。对于 HTTPS 加密网页（如网银、微信网页版、邮箱），客户端仅传输密文数据，无法解密你的明文密码或支付信息。前提是不要随意安装并信任来源不明的 MITM 根证书。

Q6：PAC 自动代理和固定端口代理哪个更好？#

答案：在现代代理技术演进中，固定端口代理 + 客户端内核分流（Mihomo/Sing-box） 已全面取代了传统的静态 PAC 脚本。静态 PAC 脚本更新维护困难，且在面对复杂规则时性能较差；而客户端内核基于 GeoIP2 数据库与矢量规则集，分流精准度与响应速度远超 PAC 机制。

Q7：开着系统代理玩外服游戏（如 Steam / 英雄联盟日服），为什么延迟依然很高或频繁掉线？#

答案：因为大部分现代 3D 网络游戏采用 UDP 协议 传输游戏数据包，而系统代理（HTTP/SOCKS5 应用层托管）默认只处理 TCP 协议报文，且忽略游戏引擎的底层数据包。游戏流量依然通过本地网络直连出海，导致高延迟或不可达。玩游戏必须在客户端中开启 TUN 模式 或使用专用的游戏加速器。

Q9：Windows 11 代理设置界面提示“代理服务器无响应”或提示“某些设置由你的组织管理”，怎么解决？#

这通常发生在公司域控电脑、使用过某些系统优化清理工具，或者之前安装过组策略拦截插件的环境中。 解决办法：

1. 按下 Win + R 打开运行窗口，输入 gpedit.msc 打开组策略编辑器。
2. 导航至 计算机配置 -> 管理模板 -> Windows 组件 -> Internet Explorer。
3. 找到“禁用更改代理设置”与“按计算机(而不是按用户)指定代理设置”，将其修改为 “未配置” 或 “已禁用”。
4. 在 PowerShell 中运行 gpupdate /force 刷新组策略，随后重新打开代理设置页面即可正常恢复托管。

Q11：在 Windows 上开启系统代理后，使用 OneDrive 或 Microsoft Teams 提示“正在连接”或登录失败，怎么办？#

因为微软的部分办公组件在建立握手时对 TLS 证书和 HTTP 代理重定向非常敏感。 解决办法：

1. 在代理客户端中，确保将微软服务域名（*.microsoft.com、*.live.com、*.office.com、*.onedrive.com）配置为规则模式下的 DIRECT 直连，或者走稳定可靠的高速节点。
2. 检查 Windows 注册表中的 ProxyOverride 排除列表，确保包含 <local>;*.microsoft.com。

Q12：为什么使用系统代理时，某些国内网站或 App 弹出验证码甚至提示“异地登录风险”？#

当代理客户端处于 全局模式（Global Mode） 或者你的分流规则集未正确覆盖某些国内域名时，你访问百度、淘宝或网银的流量也会被发往海外机场节点。国内服务器识别到访问请求来自于海外机房 IP（如香港或日本 IP），会触发风控机制弹出验证码或强制登录验证。 解决办法：将代理客户端的运行模式从“全局模式（Global）”切换回 “规则模式（Rule）”，并确保启用了最新的 GeoIP 与 GeoSite 规则库。

Q10：在 macOS 上使用系统代理时，为什么 ping 某个被封锁的网站（如 google.com）依然显示超时？#

因为 ping 命令行工具使用的是网络层的 ICMP 协议。正如上文架构部分所述，系统的 HTTP / SOCKS5 系统代理仅工作在应用层与会话层，完全不处理也无法转发 ICMP 数据包。 要验证代理是否生效，不能使用 ping，而应该在终端中使用支持 HTTP 代理的工具进行测试： curl -I -v --proxy http://127.0.0.1:7897 https://www.google.com 如果返回 HTTP/2 200 状态码，说明你的代理托管工作完全正常。

Q8：macOS 重启电脑后系统代理被自动关闭，需要每次手动开启吗？#

答案：是的，macOS 出于安全机制，会在关机重启时重置部分动态代理状态，防止第三方恶心软件锁死系统网络。你可以在代理客户端的设置中开启 “开机自启（Launch at Login）” 与 “静默启动（Silent Start）”，客户端启动后会自动重新激活系统的代理托管配置。

3. 针对不同操作系统的系统代理运维巡检建议#

为了保障跨平台办公环境下的网络连续性，建议管理员与高级用户定期执行以下巡检动作：

1. 每周检查本地监听套接字与端口开销：在 Windows 运行 netstat -ano | findstr 7897，在 macOS 运行 lsof -i :7897，确认没有孤儿进程死锁占用代理端口。
2. 定期清理静态代理排除规则：及时清理 ProxyOverride 列表中的失效域名与过期内网 IP，避免配置条目过多拖慢浏览器的 DNS 决策逻辑。
3. 建立多环境备份文件：将调试妥当的 Clash Verge 或 v2rayN 配置文件导出为 .yaml 或 .json 静态备份，以便在更换新电脑或重装系统时秒级还原系统代理端口托管配置。

10. 总结与系统代理托管最佳实践清单#

掌控系统代理的本质，就是理解 操作系统设置 -> 本地端口监听 -> 代理内核分流 这条链条。为了保持系统的网络稳定与高效出海，建议遵循以下最佳实践：

1. 统一使用混合端口（Mixed Port）：在客户端配置中固定一个端口（推荐 7897），避免 HTTP/SOCKS 端口分开配置带来的记忆与管理混乱。
2. 遵守优雅退出原则：在关机或退出代理软件前，先在软件主界面关闭“系统代理”开关，防止注册表残留脏数据导致开机断网。
3. 区分应用场景选型：

• 网页浏览、看视频、学术办公：使用 系统代理 + Rule 规则模式（省电、稳定、开销小）。
• 终端编译、开发调试、外服游戏：一键开启 TUN 模式（全量接管、无感穿透）。

4. 准备一键救援脚本：将 PowerShell 或 Zsh 的代理重置命令（如 netsh winsock reset 或 networksetup -setwebproxystate "Wi-Fi" off）保存在本地，遇到无法上网时可秒级自救。