v2rayN 系统代理不生效:浏览器绕过代理与终端命令行变量分别排查

一、系统代理只提供入口，不等于全部流量接管

v2rayN 的「设置系统代理」会向操作系统写入代理配置，但应用是否读取这份配置，取决于应用自身。浏览器可能遵循系统设置，也可能被扩展、启动参数或企业策略改写；命令行工具通常有独立的代理参数与环境变量。浏览器能访问某个站点，不能直接证明终端也已使用代理。

还要区分两次选择：应用先决定是否连接本地代理，内核再决定该连接走代理出站还是直连出站。应用已经接入 v2rayN，仍可能因为路由分流规则而直连。VMess、VLESS 属于远端连接的协议配置，不负责让浏览器或终端自动读取系统代理。

• 应用绕过：应用没有连接本地监听，应检查系统配置、扩展、环境变量与绕过名单。
• 路由直连：本地代理已收到请求，但规则选择直连，应查看当前路由模式与规则顺序。
• 出站失败：请求已进入内核，连接远端节点或目标服务失败，应转向节点、DNS、认证与传输配置排查。

二、先用显式代理验证本地入口

先记录 v2rayN 当前显示的本地监听地址、端口及协议。可在「设置」→「参数设置」中核对本地监听相关配置，并以当前内核运行配置为准；不同界面布局的字段位置可能变化。下文统一使用 127.0.0.1:10808 作为支持 HTTP 的本地入口示例，不把它当作所有安装环境的默认值。若实际只有 SOCKS 监听，请使用对应的 SOCKS 测试命令。

在 Windows PowerShell 中使用 curl.exe，避免旧版 Windows PowerShell 的 curl 别名被解释为另一个命令。macOS 与 Linux 使用 curl。测试地址仅用于演示，可换成需要诊断的真实 HTTPS 站点；不要用本地地址判断公网代理是否正常。

# Windows PowerShell：HTTP 或混合监听
curl.exe -v --noproxy "" --proxy http://127.0.0.1:10808 --connect-timeout 5 --max-time 15 https://example.com/ -o NUL

# macOS / Linux：HTTP 或混合监听
curl -v --noproxy "" --proxy http://127.0.0.1:10808 --connect-timeout 5 --max-time 15 https://example.com/ -o /dev/null

# 仅当该端口支持 SOCKS5 时使用；目标域名交给代理侧解析
curl -v --noproxy "" --proxy socks5h://127.0.0.1:10808 --connect-timeout 5 --max-time 15 https://example.com/ -o /dev/null

--noproxy "" 用于在这次测试中清空绕过名单。详细输出应先显示连接 127.0.0.1；HTTP 代理访问 HTTPS 时还会出现 CONNECT 隧道协商。出现目标站点的 HTTP 响应，说明至少已走到服务响应环节，即使状态码不是 200，也不能简单归类为“系统代理没生效”。

三、浏览器绕过代理：逐项排除设置覆盖

排查时保持同一个目标地址与同一个节点，不要同时切换节点、DNS 和路由。只用“网页能否打开”作为判断条件过于粗糙：页面缓存、已有连接和站点自身可直连，都可能掩盖实际路径。可结合请求发生时的内核连接记录判断流量是否进入本地代理；未启用访问日志时，没有日志不能直接证明没有请求。

1. 重设系统代理

   在 v2rayN 托盘菜单「系统代理」中先选「清除系统代理」，再选「自动配置系统代理」。若当前版本把菜单放在主窗口底部，使用对应的同名选项；随后核对系统里保存的地址与端口。

2. 暂停代理扩展

   Chrome 或 Edge 打开「扩展程序」→「管理扩展程序」，临时停用能够修改代理的扩展。普通无痕窗口不一定隔离所有代理设置，建议关闭浏览器全部进程后重开再测。

3. 核对浏览器源

   Chrome 打开「设置」→「系统」→「打开您计算机的代理设置」。Firefox 打开「设置」→「常规」→「网络设置」→「设置」，确认使用系统代理，而不是「不使用代理」或过期的手动代理。

4. 检查绕过名单

   检查系统代理例外、自动配置脚本及浏览器规则。若名单包含目标域名、过宽的域后缀或通配符，请先记录原值再缩小范围。内网与回环地址本来就常被排除，不能拿它们作为唯一测试目标。

5. 检查策略覆盖

   Chrome 查看 chrome://policy，Edge 查看 edge://policy，确认是否存在代理策略。受管理设备上的强制配置应交由管理员处理，不要反复修改被策略覆盖的系统项。

如果只有某个浏览器异常，还应检查其启动快捷方式是否附带代理相关参数。浏览器的安全 DNS 设置也不是“启用代理”的开关：它影响部分解析行为，不能代替 HTTP 或 SOCKS 入口配置。先确认代理来源，再单独分析 DNS 失败，避免把两个问题一起改动。

四、各平台如何读取当前系统代理

系统设置界面与命令输出需要交叉核对。以下命令以读取为主，不会替你修改系统代理。重点看服务器地址、端口、启用状态、自动配置脚本和例外列表是否与 v2rayN 当前入口一致。

Windows：当前用户设置与 WinHTTP 分开看

# PowerShell：读取当前用户代理项
Get-ItemProperty 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' |
  Select-Object ProxyEnable, ProxyServer, ProxyOverride, AutoConfigURL

# 查看另一套 WinHTTP 代理配置
netsh winhttp show proxy

ProxyEnable 为 1 表示启用静态代理，仍需核对 ProxyServer 的实际内容。自动配置脚本属于另一条配置路径。netsh winhttp show proxy 显示直连，并不等于浏览器没有使用代理；WinHTTP 与当前用户的 Internet 设置不是同一份配置，不要为了让两个输出一致而盲目导入设置。

macOS：读取当前有效代理字典

scutil --proxy

检查 HTTPEnable、HTTPSEnable 及其服务器、端口字段，也要关注 ProxyAutoConfigEnable 和例外列表。切换 Wi-Fi、有线网络或其他网络服务后，应重新读取；旧网络服务上的代理配置不代表当前连接正在使用它。

Linux GNOME：读取桌面代理设置

gsettings get org.gnome.system.proxy mode
gsettings get org.gnome.system.proxy.http host
gsettings get org.gnome.system.proxy.http port
gsettings get org.gnome.system.proxy.https host
gsettings get org.gnome.system.proxy.https port
gsettings get org.gnome.system.proxy ignore-hosts

这些命令适用于具备相应设置架构的 GNOME 会话，不是所有 Linux 环境的通用接口。SSH 会话、容器和后台服务通常不会直接继承桌面代理；读到桌面设置正确，也仍要继续检查命令行自身的环境。

五、终端 http_proxy 与 https_proxy 单独配置

终端窗口不负责统一代理，真正读取配置的是窗口里运行的程序。curl、包管理器和开发工具的支持规则可能不同。先用 curl 做可控验证，再查看具体工具的代理选项，不能把某一个工具成功当作整个终端已经接管。

macOS / Linux：查看与临时设置

# 查看大小写两套变量及绕过名单
env | grep -iE '^(http_proxy|https_proxy|all_proxy|no_proxy)='

# 仅设置当前 shell 及其后续子进程
export http_proxy=http://127.0.0.1:10808
export https_proxy=http://127.0.0.1:10808

# 清空本次测试的绕过名单，测试结束后恢复原设置
curl -v --noproxy "" --connect-timeout 5 --max-time 15 https://example.com/ -o /dev/null

https_proxy 中的 https 表示目标 URL 的协议，不要求变量值也以 https:// 开头。常见本地 HTTP 代理使用 http://127.0.0.1:10808，通过 CONNECT 访问 HTTPS 目标；只有代理入口本身支持 TLS 时，才使用 HTTPS 代理地址。

• http_proxy：为 HTTP 目标提供代理。curl 对这个变量只接受小写形式，不应仅设置大写 HTTP_PROXY。
• https_proxy：为 HTTPS 目标提供代理。其他程序对大小写的处理可能不同，应查对应工具文档。
• all_proxy：部分工具的通用后备代理，可用 SOCKS 地址；协议专用变量通常优先，不要同时保留互相冲突的值。
• no_proxy：绕过代理的目标列表。对 curl 而言，值为 * 会让所有目标绕过代理，是“变量已设但仍直连”的重点检查项。

Windows PowerShell：设置当前进程环境

# 查看当前进程中的代理环境变量
Get-ChildItem Env: | Where-Object Name -Match '^(http_proxy|https_proxy|all_proxy|no_proxy)$'

# 为当前 PowerShell 及后续启动的子进程设置
$env:http_proxy = 'http://127.0.0.1:10808'
$env:https_proxy = 'http://127.0.0.1:10808'

curl.exe -v --noproxy "" --connect-timeout 5 --max-time 15 https://example.com/ -o NUL

上述设置不会反向修改已经启动的程序，也不会自动写入新开的其他终端。长期使用前，再考虑用户环境变量或 shell 配置文件；使用 setx 写入的值主要供后续进程读取，不会立刻改变当前 PowerShell。不要在还没完成验证时把错误端口永久保存。

六、常见报错如何对应到排查层级

以下是 curl 常见错误原文示例；具体地址与输出措辞会随系统和版本变化。优先处理最早失败的环节：本地端口未连接时，调整远端协议没有意义；收到目标 TLS 错误时，也不能再把问题归因于“没有设置系统代理”。

如果出现证书验证错误，不要用长期关闭验证来代替排查。检查系统时间、证书信任链与网络中的 HTTPS 检查设备；能建立代理隧道但 TLS 失败，已经与“终端完全没读代理变量”属于不同层级。

七、用对照结果决定下一步，而不是直接开启 TUN

TUN 通过虚拟网络接口接管流量，适合处理不遵循系统代理的应用，但会引入权限、路由和 DNS 等新的检查项。它不是验证系统代理的必要条件。显式代理尚未打通时直接开启 TUN，往往只会增加变量；应先完成本地入口与远端出站的基本验证。