应用程序忽略代理：如何封装流量

```html

您在Windows设置中配置了代理，重启了程序——但它仍然使用家庭IP。或者相反：浏览器通过代理正常工作，而桌面客户端却继续显示真实地址。这不是代理的错误，也不是凭证的问题。这是操作系统处理“系统代理”的基本特性：它并不强制，而只是提供建议。

以下是四种有效的方法，可以让特定应用程序通过SOCKS5运行，每种方法都有其限制和常见的陷阱。

为什么系统代理不起作用：简短的技术真相

在Windows中没有一个“系统代理”。至少有两个独立的设置集。第一个是WinINET：您在“设置 → 网络和互联网 → 代理”中修改的内容。Internet Explorer/Edge、部分.NET应用程序以及所有使用标准用户HTTP栈的程序都会读取它。第二个是WinHTTP，系统服务和后台进程使用它。关键在于：WinHTTP不会使用WinINET的设置，除非您明确导入它们。可以通过命令netsh winhttp import proxy source=ie来完成，— Microsoft文档中的一个重要细节是，该命令会获取当前设置的快照。如果您稍后在设置中更改了代理，快照不会自动更新，必须重新执行该命令。

但即使导入也无法解决主要问题。大量程序根本不询问系统：它们使用自己的网络栈，并直接打开TCP套接字。许多社交媒体和消息应用的桌面客户端、游戏启动器、种子下载器，以及一些具有内置配置的Electron应用程序、编译的Go和Rust工具都是如此。对于它们来说，操作系统设置中的“代理”字段根本不存在。

因此，规则是：如果应用程序没有自己的代理字段，唯一可靠的方法是在应用程序层以下截获其流量。有四种类型的方法，它们在价格、可靠性和所需权限上有根本的不同。

步骤0：确保问题确实出在这里

启动应用程序并查看它显示的IP（账户资料、服务的服务页面、任何内置指示器）。
同时通过相同的代理打开浏览器并核对地址。不同的IP = 应用程序忽略了系统设置。
检查程序是否有自己的代理设置——它们通常隐藏在“网络”、“连接”或配置文件中。原生支持总是优于外部截获：层次更少，故障更少。
单独检查DNS。如果应用程序在本地解析名称，而流量通过代理，则您的真实提供商仍然可以看到您访问的内容。

方法1. Proxifier — Windows和macOS的商业标准

Proxifier截获应用程序的连接，并根据规则将其转发到指定的代理：可以设置“这个exe通过代理A，那个通过代理B，其余直接连接”，按端口和目标地址进行分割，构建多个代理的链。

截至撰写时的最新版本：Windows的4.14（2025年4月23日发布）和macOS的3.15（2025年9月18日发布）。许可证——每份39.95美元，一次性购买，永久有效，包含免费的次要更新；有31天的全功能试用，购买两份及以上可享受批量折扣，并可在30天内退款。

设置实践：

代理服务器 → 添加：指定地址、端口、SOCKS5协议和凭证。点击检查——测试必须在创建规则之前通过，否则您将同时调试两个问题。
代理规则 → 添加：在应用程序中选择特定的可执行文件，在操作中选择您的代理。
如果不想完全转发整个机器，请将默认规则保持为直接。这是新手最常犯的错误：默认 → 代理会将操作系统的更新程序、防病毒软件和您按千兆计费的多余流量都放入隧道。
实时查看连接选项卡：可以看到哪个连接通过代理，哪个直接连接。

优点——成熟、稳定的规则和清晰的诊断。缺点——收费，以及在激进的反作弊系统下，驱动程序截获可能会被发现。

方法2. ProxiFyre — Windows的免费替代方案，支持UDP

如果预算为零，并且平台为Windows，可以使用开源项目ProxiFyre（许可证AGPL-3.0）。它基于NDISAPI/Windows Packet Filter——即在包过滤驱动程序级别工作，能够做到许多常常缺失的功能：透明地为每个应用程序单独封装TCP和UDP。这对于依赖UDP和QUIC的所有内容至关重要——语音通道、游戏客户端、部分现代浏览器连接。

在新版本中有用的功能：IPv6支持在v2.3.0中出现，SOCKS5-over-TLS在v2.4.0中出现，应用程序的排除规则和针对所有其他的catch-all规则。要求：安装Windows Packet Filter、Visual Studio运行时库和管理员权限。

设置通过配置文件进行，列出应用程序及其关联的SOCKS5端点。入门门槛高于Proxifier，但您无需支付费用并且可以使用UDP。

方法3. proxychains-ng — Linux的快速选项，附带说明

Unix系统的经典：proxychains4 curl https://example.com。机制——LD_PRELOAD：库替换动态链接程序中的套接字调用，并将其引导到SOCKS。

在您建立工作流程之前需要了解的限制：

仅支持TCP。 UDP和ICMP根本不被封装——通过proxychains的ping不会检查任何有意义的内容。
仅支持动态链接的二进制文件。 静态编译的工具（Go的典型情况）会默默忽略LD_PRELOAD——流量将直接传输，您不会注意到。
在macOS上受限于SIP。 系统完整性保护阻止将库加载到系统二进制文件中：proxychains4 ssh user@host将无法工作。可行的变通方法是将二进制文件复制到自己的目录中（cp /usr/bin/ssh ~/.local/bin/）并运行副本。为了方便而禁用SIP我不建议：您会削弱整个系统的保护以换取一个工具。

对于特定任务（curl、python脚本、控制台工具）来说，proxychains仍然是最快的方法——只需一条命令即可安装，并且不需要root权限。

方法4. TUN模式：在虚拟接口级别截获

最通用的解决方案类别。创建一个虚拟网络接口，系统的路由被转发到它，而用户的TCP/IP栈解析数据包并通过SOCKS5将其输出。这就是tun2socks（使用gVisor栈，支持TCP和UDP，适用于所有平台）和sing-box在TUN模式下的工作方式。

相较于LD_PRELOAD的关键优势在于：可以截获所有内容，包括静态二进制文件和具有自己栈的应用程序。sing-box还具有按进程路由的功能——process_name、process_path和process_path_regex字段，提供真正的每应用规则；根据文档，这在Linux、Windows和macOS上得到支持（在移动平台上，规则通过包名称或捆绑ID设置）。

几乎所有人都会遇到的两个陷阱：

路由环。 如果所有流量都进入TUN，那么连接到SOCKS5服务器的连接也会试图进入TUN——隧道开始自我封装。通过物理接口到代理的明确排除路由可以解决这个问题。这是sing-box配置中一个常见且经常出现的问题。
权限。 创建TUN接口和修改路由表需要root/管理员权限。在有政策的企业机器上，这可能不可用。

在Linux上还有两种相关的方法：redsocks——通过iptables规则截获并重定向到本地端口（仅限Linux，需要root），以及sshuttle，它在普通SSH访问之上建立类似VPN的路由，解决经典的“TCP在TCP上”问题。

最常见的故障

DNS泄漏。 即使配置正确的SOCKS5，应用程序也可能在本地解析域名。请检查解析是否通过代理而不是您的提供商。
选择了SOCKS4而不是SOCKS5。 SOCKS4根本不支持UDP，并且在某些实现中无法传递域名。要截获任意流量，请仅使用SOCKS5——为什么要这样，详细分析见SOCKS5工作原理的材料。
HTTP代理而非SOCKS。 HTTP代理可以代理HTTP并通过CONNECT进行TLS连接。它不会封装游戏客户端或消息应用的任意TCP流量。
默认规则适用于所有流量。 封装整个机器会消耗居民池的流量用于更新和遥测。
设置后未进行检查。 始终检查应用程序的实际输出IP，而不是旁边浏览器的IP。

选择哪种类型的代理进行截获

从技术上讲，截获可以与任何SOCKS5端点一起工作，但类型的选择决定了您的场景能否成功。

居民代理——当应用程序与评估IP声誉的服务交互时：社交网络、市场、广告后台、支付表单。数据中心地址几乎可以瞬间识别。适合带有SOCKS5和sticky会话支持的居民代理——后者至关重要，因为在活跃会话中更改IP对反欺诈系统的影响比最初使用“外部”IP更糟糕。
数据中心代理——用于没有严格反欺诈的技术任务：API访问、内部服务、测试环境，所有需要速度和稳定性的地方，而不是“居住”地址的外观。在这里，数据中心代理提供更好的延迟和可预测性。
移动代理——当应用程序本质上是移动的（模拟器、社交网络客户端），并且需要平台的最大信任。

另外：在应用程序级别的截获并不是VPN，二者不应互换。如果您需要的是整个机器的一个安全通道，而不是不同程序的不同IP，关于方法的比较见WireGuard与代理的比较。

如何在一分钟内选择方法

应用程序有自己的代理设置 → 使用它们，不要截获。
Windows，今天需要结果，有预算 → Proxifier。
Windows，需要UDP且免费 → ProxiFyre。
Linux，控制台工具的一次性任务 → proxychains-ng。
需要截获静态二进制文件、游戏或所有内容，带有每应用规则 → TUN模式（sing-box，tun2socks），别忘了到代理的排除路由。

主要结论很简单：“代理不起作用”在十个案例中有九个意味着“代理未在正确的层次上配置”。系统设置是对应用程序的礼貌请求，而在驱动程序级别、LD_PRELOAD或TUN接口上的截获则是强制。正确选择层次，检查应用程序的实际输出IP，并不要忘记DNS——这样问题就能一次性解决，而不是在每次程序更新后再次出现。