系统代理模式详解

系统代理模式是客户端修改操作系统的“代理服务器”设置，让遵守该设置的程序（主要是浏览器）把请求发到客户端监听的本地端口（如 127.0.0.1:7890），再由客户端按规则转发。结论：只用浏览器时它最省心，无需管理员权限；命令行、游戏、商店应用不走代理时，要么设环境变量，要么改用 TUN。

工作原理

1. 客户端在本机启动一个本地代理服务并监听端口。Clash 系客户端常用的“混合端口”同时支持 HTTP 和 SOCKS5。
2. 开启“系统代理”后，客户端把系统代理设置改为指向这个端口。
3. 浏览器等程序发起请求前读取系统代理设置，发现有代理，就把请求交给本地端口。
4. 客户端按 分流规则与代理模式设置 中的规则决定直连还是发往节点。

整个过程不改动路由表、不接管 DNS，所以关闭系统代理后网络立即恢复原状。这也是它比 TUN 更不容易“把网弄坏”的原因。

系统代理的几种形式

形式	说明
手动代理（HTTP/HTTPS/SOCKS）	直接把本地地址写入系统设置，所有遵守设置的请求都进入客户端，再由客户端规则分流
PAC 自动配置	系统按 PAC 脚本判断每个网址是否走代理，分流在“进入客户端之前”完成
绕过列表	对本地地址、局域网网段、指定域名不使用代理

现代 Clash 系客户端通常用“手动代理 + 绕过列表”，把分流交给客户端的规则引擎，比 PAC 灵活得多。

绕过列表也是排查问题的入口：公司内网、打印机、NAS 管理页面打不开时，先看它们的地址是否在绕过列表里。多数客户端默认已包含 localhost、127.0.0.1 和常见私有网段，自定义的内网域名需要自己补充，否则这些请求会被送进客户端，再按规则转发，可能导致访问失败。

各平台开启与核对

在客户端里开启：首页或托盘菜单打开“系统代理”开关，客户端会自动写入系统设置。

在系统中核对（菜单名称随系统版本略有差异）：

• Windows：设置 → 网络和 Internet → 代理，“使用代理服务器”应已开启，地址为 127.0.0.1 和对应端口。完整流程见 Windows 使用机场教程。
• macOS：系统设置 → 网络 → 当前网络 → 详细信息 → 代理，HTTP、HTTPS、SOCKS 应指向本机地址。完整流程见 macOS 使用机场教程。
• Linux 桌面：GNOME、KDE 有各自的网络代理设置，部分客户端只能修改特定桌面环境；很多命令行程序则只看环境变量。

哪些程序不走系统代理

这是系统代理最大的局限：

类型	原因	解决办法
命令行工具（curl、git、npm、pip 等）	大多读取 http_proxy、https_proxy 环境变量，而非系统设置	设置环境变量，或开启 TUN
Windows 商店（UWP）应用	默认禁止访问本机回环地址	开启 TUN，或使用客户端自带的 UWP 回环豁免工具
游戏、游戏平台下载	直接建立连接，且依赖 UDP	开启 TUN
部分 Electron、Java 或自带网络库的应用	自己实现网络请求，忽略系统设置	在应用内设置代理，或开启 TUN
虚拟机、WSL、Docker 容器	运行在独立网络环境	在其中单独配置代理指向宿主机，或在宿主机开启 TUN 并允许局域网连接

让终端临时走代理

不想开 TUN 时，在终端设置环境变量即可（端口以客户端实际设置为准）：

# macOS / Linux（bash、zsh）
export https_proxy=http://127.0.0.1:7890
export http_proxy=http://127.0.0.1:7890
export all_proxy=socks5://127.0.0.1:7890

# Windows PowerShell（仅对当前窗口有效）
$env:HTTPS_PROXY="http://127.0.0.1:7890"
$env:HTTP_PROXY="http://127.0.0.1:7890"

并非所有程序都识别这些变量。ping 使用 ICMP 协议，永远不会经过代理，所以不能用 ping 判断代理是否生效，应该用 curl -I https://www.google.com 这类实际请求测试。在终端调用 AI 接口、运行 AI 编程工具时经常卡在这一步，排查方法见 调用 AI API 和命令行工具时网络连不上、超时怎么办。

系统代理还是 TUN

你的需求	推荐
只用浏览器上网	系统代理，资源占用低、冲突少
偶尔让终端走代理	系统代理 + 环境变量
游戏、UWP 应用、大量命令行工具都要走代理	TUN 模式详解
在意 DNS 是否被系统直接解析	TUN 并开启 DNS 劫持，参考 代理环境下 DNS 泄露怎么检测与彻底防护

两者不必同时开启，按需切换即可。

允许局域网连接

客户端的“允许局域网连接”（Allow LAN）开启后，本地代理端口会监听在局域网地址上。同一局域网的手机、平板可以在 Wi‑Fi 的代理设置中手动填写电脑的局域网 IP 和端口来共享代理。

只在可信的家庭网络中开启这个选项。在公共 Wi‑Fi 下开启，等于把你的代理和机场流量开放给同一网络里的陌生人。

常见问题

关闭客户端后无法上网怎么办

客户端崩溃或被强制结束时，系统代理设置可能残留，所有请求仍发往一个已不存在的端口。到系统代理设置里手动关闭即可，详见 系统代理错误怎么解决。

开了系统代理，浏览器却不走代理

• 浏览器装了代理扩展（如 SwitchyOmega 一类）时，扩展会覆盖系统设置。
• Firefox 可能使用自身的代理设置，需要在其网络设置中选择“使用系统代理设置”。
• 确认本地端口没被其他程序占用，见 端口被占用（7890 等）怎么解决。

系统代理总被别的软件改掉

同时运行多个代理工具或加速器时，它们会互相覆盖系统代理设置。只保留一个代理客户端运行，其他的彻底退出，并检查它们是否设置了开机自启。

系统代理会不会让国内网站变慢

不会，前提是客户端处于规则模式。国内域名会命中直连规则，只是多经过一次本机端口，开销可以忽略。如果明显变慢，多半是误开了全局模式。

哪些客户端支持系统代理

几乎所有桌面客户端都支持，包括 Clash Verge Rev、v2rayN 等，按平台挑选可看 机场客户端大全。