認識系統代理、TUN 與混合連接埠

混合連接埠：用戶端在本機開的那扇門

用戶端一啟動就在本機監聽一個連接埠，預設常見是 7890。mixed-port 是說這一個連接埠同時收 HTTP 和 SOCKS5，進來哪種它自己認。舊設定分開寫 port 和 socks-port 也能用，混合只是少記一個數字。

mixed-port: 7890
allow-lan: false

門開著不等於有流量進來，得有程式主動把請求送到這個位址才算數。下面一條看它在不在聽，一條看它能不能真出去；macOS 換 lsof -i :7890，Linux 換 ss -tlnp。curl 拿到 204 就表示鏈路沒問題。

netstat -ano | findstr 7890
curl -x http://127.0.0.1:7890 https://www.gstatic.com/generate_204 -I

系統代理：給作業系統留的便條

這個開關做的事比想像中少：把 127.0.0.1:7890 寫進作業系統的代理設定，然後就沒了。Windows 在「設定 → 網路和網際網路 → Proxy」看得到，macOS 在「系統設定 → 網路 → 詳細資訊 → 代理伺服器」。

• 瀏覽器都讀它，Electron 打包的桌面軟體跟著 Chromium 一起讀，所以這兩類最先通。
• 命令列工具多半不看系統設定，只認 http_proxy、https_proxy 這類環境變數。
• UDP 不歸它管。遊戲、語音通話、部分即時通訊的流量走 UDP，開著系統代理照樣直連。

TUN：往系統裡插一塊虛擬網路卡

TUN 不指望程式配合。核心建一塊虛擬網路卡，改路由表把預設出口指過去，機器上所有對外流量（含 UDP）都被抓進來依規則處理。程式認不認代理，它不問。

tun:
  enable: true
  stack: mixed
  auto-route: true
  dns-hijack:
    - any:53

stack 常見取值是 system、gvisor、mixed，軟體在 TUN 下不正常就換一個試。auto-route 是改路由表那一步，關掉它網路卡建起來也沒流量。代價是權限：Windows 要裝背景服務，macOS 首次要輸密碼。

擺在一起看差別

• 涵蓋範圍：連接埠只服務主動找上門的程式，系統代理多涵蓋一層願意讀設定的程式，TUN 是全機接管。
• UDP：只有 TUN 穩。SOCKS5 裡有 UDP 轉送，但要程式自己實作，實際支援的不多。
• 權限：前兩者一般使用者就能跑，TUN 要管理者或背景服務，公司電腦上這項經常是灰的。
• 殘留：連接埠隨行程消失，系統代理是持久設定，用戶端被強制結束就可能留著。
• 區域網路：allow-lan: true 讓同網段裝置也能用這台機器的 7890，只對連接埠生效。