Clash 开启系统代理后浏览器仍未走代理排查方案

故障现象与根本原因快速定位

直接答案：Clash 的「系统代理」本质上仅是在操作系统网络设置中写入了一个本机的 HTTP/SOCKS5 代理地址（默认通常为 127.0.0.1:7897 或 127.0.0.1:7890）。如果应用本身不读取操作系统的代理接口，或该接口被第三方软件劫持篡改，系统代理就会彻底失效。

很多刚接触科学上网的新手用户常误以为「开启系统代理 = 全局所有流量都被强制转发」。实际上，系统代理属于脆弱的应用层协同机制。以下是系统代理失效的三大底层机制：

+---------------------------------------------------------------------------------+
|                       系统代理失效根因诊断决策拓扑树                             |
+---------------------------------------------------------------------------------+
                                      |
                [ 用户勾选 Clash「系统代理」开关 ]
                                      |
                      +---------------+---------------+
                      |                               |
             [ Windows 注册表更新 ]             [ 浏览器网络请求发出 ]
                      |                               |
         +------------+------------+                  +---------------+
         |                         |                                  |
   [ 写入成功 ]             [ 杀软/域策略拦截 ]             [ 检查浏览器扩展状态 ]
         |                         |                                  |
   [ 端口匹配校验 ]       [ 报: ProxyEnable=0 ]         +-------------+-------------+
         |                         |                   |                           |
   +-----+-----+            [ 修复: 开启 TUN ]   [ 装有 SwitchyOmega ]       [ 原生未装插件 ]
   |           |                                       |                           |
[ 正常 ]  [ 端口冲突 ]                           [ 扩展覆盖系统代理 ]       [ 检查 IPv6 泄漏 ]
   |           |                                       |                           |
 [OK]     [ 修改端口 ]                           [ 设为系统代理/停用 ]     [ 禁用 IPv6 / 开启 TUN ]

1. WinINet 注册表项遭锁死或拦截：Windows 系统的系统代理依赖注册表项 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings 下的 ProxyEnable 和 ProxyServer。火绒、360 安全卫士、卡巴斯基或企业 AD 域控制器的安全策略，经常会将这些键值列为高危变动项并予以静默拦截或强制覆写回 0。
2. Chromium 扩展程序的最高接管权：Chrome 或 Edge 如果安装了 SwitchyOmega、ZeroOmega 或其他代理管理插件，浏览器会直接将网络代理控制权全权移交插件。若插件处于「直接连接」或某个独立的规则列表中，浏览器就会完全无视 Windows 操作系统的代理设置。
3. 原生 IPv6 双栈直连绕过：主流网站（如 Google、YouTube、GitHub）均已普及 IPv6 地址解析。如果用户的本地宽带分配了 IPv6 公网地址，而 Clash 客户端默认未开启 IPv6 代理拦截，浏览器就会优先通过 IPv6 发起直连握手，从而完全绕过 IPv4 系统代理通道。

4 步排查与精准修复操作指南

直接答案：按照「检查注册表代理状态 -> 停用冲突浏览器扩展 -> 统一端口配置 -> 启动 TUN 虚拟网卡」的递进顺序进行排查，能够在 3 分钟内彻底解决浏览器不走代理的问题。

第一步：验证操作系统底层注册表代理配置

按下快捷键 Win + R，输入 inetcpl.cpl 打开经典「Internet 选项」，切换至「连接」标签页并点击右下方的「局域网设置 (LAN)」：

• 查看「为 LAN 使用代理服务器」复选框是否已被勾选；
• 检查地址是否为 127.0.0.1，端口是否与当前 Clash 客户端设置的混合端口（Mixed Port，通常为 7890 或 7897）严格一致；
• 如果每次勾选后点击确定，再次打开发现被重置清空，说明本地存在常驻防护软件劫持注册表。请在杀毒软件中将 Clash 内核（clash-core / mihomo）添加到白名单，或者直接执行下文的 TUN 方案。

第二步：排查 Chrome 与 Edge 浏览器的扩展冲突

在 Chromium 内核浏览器中，扩展程序对代理的优先级高于操作系统：

1. 打开浏览器地址栏输入 chrome://extensions/ 或 edge://extensions/；
2. 检查是否存在 Proxy SwitchyOmega、ZeroOmega 等代理切换扩展；
3. 若存在，点击插件图标，将其切换为「系统代理 (System Proxy)」模式，或在测试期间直接临时关闭该插件；
4. 按下 F12 打开开发者工具，在「Console (控制台)」中输入网络测速指令，观察实际路由走向。

第三步：核实 Clash 核心混合端口与活动监听

不同版本的 Clash 默认端口不尽相同：

• 经典老版本 Clash for Windows 默认混合端口为 7890；
• 新一代 Clash Verge Rev 默认混合端口通常为 7897；
• 若之前使用过 v2rayN（默认 10809）或 Shadowsocks（默认 1080），残留的系统设置可能会将流量导向一个没有服务监听的僵尸端口，导致浏览器弹出「ERR_PROXY_CONNECTION_FAILED」代理服务器拒绝连接报错。

可在 PowerShell 中以管理员身份运行以下命令核实端口监听状态：

Get-NetTCPConnection -LocalPort 7897, 7890 -ErrorAction SilentlyContinue | Select-Object LocalAddress, LocalPort, State, OwningProcess

若端口状态显示为 Listen 且所属进程为 Clash 内核，证明后端监听完全正常。

第四步：启用 TUN 虚拟网卡模式（终极推荐）

TUN 模式是彻底告别系统代理不稳定性的一劳永逸方案。它在系统网络协议栈创建一块虚拟网络适配器，通过系统路由表将全局三层数据包无差别捕获到 Clash 内核：

1. 打开 Clash Verge Rev 设置面板；
2. 在「TUN 模式」卡片中，点击安装 Service 模式或 Wintun 驱动服务；
3. 将 TUN 模式开关切换为开启，同时可以完全关闭脆弱的「系统代理」开关；
4. 此时无论浏览器安装何种插件、或者命令行终端工具（Git、PowerShell、curl、Docker），均会自动享受底层透明代理分流，不再依赖任何注册表配置。

系统代理 vs TUN 虚拟网卡全维度技术对照

直接答案：普通网页浏览使用系统代理资源消耗极低，但对于开发调试、防劫持和全局终端覆盖，TUN 模式具备压倒性的稳定性和抗干扰能力。

企业域环境与群组策略 (GPO) 强制锁死系统代理的穿透解决方案

直接答案：在企业办公电脑或加入 Windows Active Directory (AD) 域的设备上，系统管理员通常通过群组策略（GPO）将注册表 ProxyEnable 强行锁死，导致 Clash 客户端无论如何勾选系统代理都会在 5 秒内被域策略重置。此时唯一的终极解决方案是在网络层开启 TUN 虚拟网卡模式。

企业级管控通过组策略对象（GPO）在注册表路径 HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Internet Explorer\Control Panel\Proxy 写入策略限制。常规应用层代理对此束手无策，但 TUN 虚拟网卡工作在网络第 3 层，完全不与 WinINet 注册表产生交互：

+---------------------------------------------------------------------------------+
|                       企业环境穿透与分流安全架构                                |
+---------------------------------------------------------------------------------+

                       公司办公电脑发出混合数据包
                                   |
                     [ Clash TUN 虚拟网卡强制捕获 ]
                                   |
         +-------------------------+-------------------------+
         |                                                   |
   [ 目标: 公司内网 OA/邮箱/ERP ]                     [ 目标: 海外学术/开发/网页 ]
   (10.0.0.0/8, 192.168.0.0/16)                      (google.com, github.com)
         |                                                   |
   [ 分流规则: DIRECT 直连通道 ]                      [ 分流规则: 走 IEPL 专线节点 ]
         |                                                   |
   [ 本地办公网络原路放行，绝不告警 ]                  [ 加密出境，规避企业 GPO 拦截 ]

• TUN 模式企业安全合规配置： 为防止办公电脑访问公司内部 OA 系统时触发安全审计告警，必须在 TUN 模式中严格配置私有 IP 直连过滤：

  tun:
    enable: true
    stack: mixed
    dns-hijack:
      - "any:53"
      - "tcp://any:53"
    auto-route: true
    auto-detect-interface: true
  rules:
    - IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
    - IP-CIDR,172.16.0.0/12,DIRECT,no-resolve
    - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
    - DOMAIN-SUFFIX,company.com,DIRECT
  

• 这样配置后，不仅成功规避了 GPO 对系统代理的锁死限制，而且公司内网办公网络原汁原味直连，互不干扰。

搭配高可靠专线机场彻底根除连接异常

直接答案：客户端层面的系统代理与 TUN 模式调优是解决本地分流的基础，而底层网络链路的抗封锁能力与毫秒级延迟则取决于机场节点的服务品质。

为了确保排查完毕后获得丝滑的海外访问体验，推荐选用具备纯物理 IEPL 专线骨干网的企业级服务商：

对于网络重度依赖者，还可以参阅本站编制的深度选型指南：

• 追求极致延迟稳定性可参考 稳定机场推荐评测与选型指南；
• 多设备并发与轻量备用方案可参考 平价高性价比机场精选 与 百兆轻量机场推荐；
• 如遇到虚拟网卡驱动安装受阻，请查阅 Clash TUN 模式 Wintun.dll 缺失与权限修复全集。

常见问题解答 (FAQ)

直接答案：以下汇总了系统代理与浏览器网络异常中最具代表性的 8 个高频实战问题与诊断对策。