免费代理软件 直接结论：客户端可以免费获得，它连接的服务器不行。判断一款代理软件是否值得装，先看发布来源与安装包能否核验，再看它拿到什么系统权限，最后比较协议与界面。Mihomo、Xray-core、sing-box 属于内核，Clash Verge Rev、Mihomo Party、v2rayN、v2rayNG 属于外壳，版本错配时先查版本与日志，换节点解决不了。
核验日期 2026-10-24 阅读 30 分钟编辑 免梯指数编辑部方法说明，不构成对任何具体服务的可用性承诺。
结论与适用边界 先给三条可以立刻执行的判断。
第一条，来源决定风险上限。同一个客户端，从项目官方仓库的 Release 下载，与从聚合下载站下载，代码可能完全不同。前者可以用校验和与签名验证，后者只能靠对方的信誉，而信誉无法复算。
第二条，权限决定能力边界。系统代理只影响愿意读取系统代理设置的应用，TUN 接管路由层，需要管理员或系统扩展授权。Android 走 VpnService，iOS 走 Network Extension。授权范围不清楚时，先别点确认。
第三条，分工决定排查顺序。图形界面、内核、配置、订阅、线路是五层，故障时按层排除。界面显示已连接但本地端口没有监听，问题在进程层，改规则和换节点都不会有结果。
适用边界 只讨论可公开核验的开源项目与官方文档，包括 Mihomo、Xray-core、sing-box、v2rayN、v2rayNG、FlClash、Hiddify、Clash Verge Rev、Mihomo Party、OpenClash、ShellCrash 等。 不评价具体商业客户端的性价比，也不给出 iOS 应用的购买建议。商店地区与 TestFlight 只解释分发机制。 不承诺版本号、下载量、协议兼容性与节点可用性。版本信息以官方发布页和项目文档为准。 不提供规避执法、规避实名制或绕过企业网络管理的操作步骤。 不同司法辖区对代理工具的规定不同，使用前自行确认当地法律、服务条款与可接受使用政策。 判断依据 本页的技术判断来自四类材料，RFC 规范、内核项目的官方文档、平台开发者文档、官方仓库的发布页。四类之外的材料只作为线索，不作为结论。正文出现的数值都标注单位与条件，没有条件的数值不写。涉及价格的段落一律标注测算假设，不冒充市场报价。
这个专题解决什么问题 搜索“免费代理软件”的人通常带着一个具体故障，而故障发生在哪一层，决定该读哪一节。把问题按层分开，能省掉大量重复安装和反复换节点的动作。
四类具体问题 来源问题。搜索结果前排经常是聚合下载站，安装包被重新打包，附带启动器、主页锁定、额外的后台服务。这类包不一定有恶意代码，但它已经脱离了项目方可验证的范围，出问题时无法用哈希和签名回溯。
选型问题。同一台电脑装了两个客户端，都默认监听同一个本地端口，第二个启动就报端口占用。另一种情况是客户端不支持订阅里的协议，节点能显示出来，连接一直失败，日志里出现无法识别的字段。
权限问题。不理解系统代理与 TUN 的差别，开了系统代理却发现某个应用完全不走代理；或者为了开 TUN 长期保留管理员权限，把内核漏洞的影响面从当前用户扩大到整台机器。
维护问题。升级后配置字段不兼容，订阅解析失败，内核与 GUI 版本错配。日志里出现字段错误或协议不支持，用户却按“节点失效”处理，越换越乱。
谁该读 第一次在 Windows、Android、macOS 上安装客户端的人，读完能知道每一个下载与授权动作对应什么后果。从第三方站下载过安装包、想确认有没有问题的人，可以按核验一节逐项检查。订阅导入失败、TUN 模式无网络、端口冲突的人，可以直接看故障现象与层级的对应表。在 OpenWrt 或 Linux 网关上部署透明代理的人，重点看路由、DNS 与防火墙三节。需要判断某个客户端是否仍在维护的人，看发布页与维护状态的判断方法。
谁不必读 已有稳定服务、只比较价格的人，直接看便宜梯子与机场推荐两个专题。想找“最好用客户端排名”的人，这里没有排名，也不打算做。需要在 iOS 上完成购买决策的人，本页只解释商店地区与测试分发的机制。企业网络管理员也不适合读，本页不讨论绕过管理策略的方法。
本页不回答什么 不回答哪个机场快、哪个节点能解锁某个流媒体服务。不回答如何让代理流量不被检测。不回答具体版本的兼容性承诺，因为版本会变，承诺会过期。不回答账号地区切换的具体操作。这四类问题要么依赖未公开的实时数据，要么涉及绕过他人管理策略，都不在本站的写作范围内。
如果你只想知道先装哪个，跳到决策树一节。如果你已经装好但连不上，跳到故障现象与层级对应表。如果你还在判断“免费软件是否安全”，先读安全边界一节，再回来看安装步骤。
概念与实体关系 这个专题里有十个反复出现的实体。把它们的依赖关系画清楚，故障定位就有了固定顺序，不必靠猜。
十个实体 实体关系 一张关系图 text [官方发布页 Release] │ 下载安装包 + 校验和 + 签名 ▼ [图形客户端 GUI] ──── 生成 ────► [配置文件 YAML / JSON] │ │ 读取并校验 │ 写系统代理 ▼ ▼ [内核 core] [系统代理设置] │ │ 部分应用遵循 │ 监听 127.0.0.1:port ▼ ▼ [应用请求] ───────────────────────► [本地代理端口] │ 隧道握手 ▼ [远端出口] ──► [目标站点] [TUN 虚拟网卡] ──── 默认路由 ────► [内核转发] 图中有一条容易忽略的边，图形客户端并不转发流量。它只负责生成配置、启动内核、把系统代理指向内核。流量路径里没有 GUI，所以 GUI 卡死时连接可能仍然正常，GUI 正常时连接也可能完全不通。
三条依赖链 安装链从发布页开始。发布页给出安装包、校验和、可选的签名文件。任一环节缺失，后面的动作都失去验证基础。这条链断裂的典型表现是安装包能装、程序能开，但版本号与官方发布页对不上。
配置链从订阅开始。订阅被解析成配置文件，内核读取前会做一次校验，校验失败的字段会被忽略或导致启动失败。这条链断裂时，界面通常还能显示节点，因为节点列表来自订阅文本，不来自内核。
数据链从应用开始，经过系统代理或 TUN，进入本地端口，再经隧道到出口。这条链断裂的表现最直接，网页打不开、握手超时、只有部分应用异常。排查时先确认数据链走到哪一跳断了，再回头查前两条链。
三个常被混淆的区分 订阅不是协议。订阅是一份文本，里面可以同时包含多种协议的节点。客户端支持订阅格式，不代表支持里面所有协议。导入成功、连接失败，多数时候问题在协议支持，订阅本身没有坏。
内核不是服务。内核只提供本地端口和隧道能力，它不提供任何服务器。把内核装好、配置写成空文件，客户端仍然无法上网。软件免费与服务免费是两件事，这一点在成本一节会用量化方式展开。
GUI 不是内核。同一份配置可以喂给不同 GUI，同一个 GUI 也可以切换多个内核。遇到“同一个订阅在别的客户端能用”这类现象，先比较两边的内核与配置字段，再比较界面设置。
组件之间的版本约束 GUI 对内核有版本要求，通常写在发布说明或配置文件里。内核新增字段后，旧 GUI 可能无法识别；内核移除字段后，新 GUI 生成的配置在旧内核上会报错。订阅内容也会随服务端升级而变化，服务端启用新传输方式时，旧内核可能直接拒绝连接。三个版本变量同时存在，排查时必须分别记录，不能只写“客户端已经更新过”。
技术参数与平台矩阵 这一节只放能标注单位、口径与数据性质的参数。没有条件的数字不进入表格，例如“平均速度快”“延迟低”这类描述，无法复核，也不构成技术参数。
参数对比表 表中“数据性质”分四类。规范值是协议或标准规定的固定值。计算值由公式推导得出。平台机制由操作系统或运行时决定。工程惯例是长期形成的默认做法，可以被修改。
表中 WireGuard 的开销按 IPv4 计算。IPv6 下头部从 20 字节变成 40 字节，总开销约 80 字节，有效载荷相应减少。这类差异在隧道叠加时会被放大，因为每一层封装都要占掉一部分 MTU。
平台矩阵 这张表解释了一个常见困惑，为什么同一个订阅在手机上能用、在电脑上不能用。差异通常不在订阅，而在权限模型与接管方式。手机端强制走 VpnService，所有流量默认进入隧道；桌面端如果只开了系统代理，不读取系统代理的应用就完全绕过。
协议支持 表中的“支持”只表示官方文档列出了该协议，不构成版本兼容承诺。项目调整协议实现时不会另行通知，以各自文档为准。这张表最实用的地方是排除法，订阅里是 Hysteria2 节点时，先确认客户端内核是否列了这个协议，再去查线路。
故障现象与层级 排查顺序从上往下。先确认进程活着，再确认端口在听，再确认配置能解析，再确认出站握手，最后才怀疑线路和目标站点。跳步的代价是把配置问题当成线路问题，越换越糟。
选型决策树 选客户端的标准是三件事，设备权限、订阅格式、使用场景，三者匹配优先于功能数量。下面这棵树按设备分流，最后一层落到动作，走完一遍再下载，能避开大部分返工。
text 需要给一台设备装代理软件 ├─ 第一步，确认设备 │ ├─ Windows │ │ ├─ 要图形界面与规则分流 │ │ │ ├─ 订阅是 Clash YAML ──────► Mihomo 系 GUI │ │ │ └─ 订阅含 Xray 专有协议 ──► v2rayN 加 Xray-core │ │ └─ 要无人值守或脚本调用 ─────► 直接运行内核二进制 │ ├─ Android │ │ ├─ 订阅是 Clash YAML ────────► FlClash │ │ ├─ 需要分应用代理 ───────────► v2rayNG │ │ └─ 订阅是 sing-box JSON ─────► Hiddify 或 NekoBox │ ├─ iOS │ │ ├─ 账号所在商店能搜到 ───────► 按客户端支持的格式选 │ │ └─ 搜不到 ───────────────────► 停在这里，只判断机制 │ ├─ macOS │ │ ├─ 要菜单栏操作 ─────────────► Mihomo 系 GUI │ │ └─ 要命令行 ─────────────────► 内核二进制加系统代理 │ ├─ OpenWrt │ │ ├─ 闪存剩余空间足够 ─────────► 插件加内核 │ │ └─ 空间不足 ─────────────────► 外置存储或旁路由 │ └─ Linux │ ├─ 单机使用 ─────────────────► 内核加环境变量或系统代理 │ └─ 作为网关 ─────────────────► TUN 或 TPROXY 加 nftables └─ 第二步，回答三个问题 ├─ 订阅是什么格式 ──────────────► 决定客户端类型 ├─ 是否需要 UDP ────────────────► 决定系统代理还是 TUN └─ 是否愿意授权管理员 ──────────► 决定能否开启 TUN 三个问题的判断依据 订阅格式可以直接看出来。把订阅链接在浏览器里打开，返回一段可读的 YAML，说明是 Clash 格式；返回一串 Base64，解码后是每行一个 URI，说明是通用链接列表；返回 JSON 且顶层有 outbounds，说明是 sing-box 格式。格式与客户端不匹配时，导入会失败或只导入一部分节点。
是否需要 UDP，取决于你要用的应用。网页、邮件、文件传输以 TCP 为主，系统代理足够。DNS 查询、HTTP/3、游戏、语音通话依赖 UDP，只有 TUN 或 VpnService 能完整接管。判断方法很直接，开系统代理后访问一个只支持 HTTP/3 的站点，若连接退回到 TCP，说明 UDP 没被接管。
是否愿意授权管理员，取决于使用时长与设备归属。公司电脑、共用电脑不适合长期保留提权组件。个人设备且需要 TUN 时，授权是必要代价，但要确认授权对象是哪个组件，是内核服务、虚拟网卡驱动，还是系统扩展。
场景与接管方式 换客户端解决不了的四种情况 第一种，订阅本身失效。链接返回 404 或内容为空，换任何客户端都一样。第二种，服务端参数变了。协议、端口、传输方式改动后，旧配置连不上，需要重新获取订阅。第三种，网络层阻断。目标端口或协议特征被拦截，客户端只能换协议或换线路。第四种，目标站点限制。站点按 IP 信誉或地区拒绝请求，本地怎么调都没用。这四种情况的共同点是，问题不在软件层，继续折腾客户端只会浪费时间。
底层网络原理 客户端之间的行为差异，最后都能落到几个协议细节上。这一节按数据实际走过的顺序展开，先看一次请求怎样进入隧道，再看传输层、TLS、QUIC、DNS 与 MTU 分别在哪里制造差异。
代理握手与数据路径 text 应用 本地代理端口 内核 远端出口 目标站点 │ SOCKS5 或 HTTP CONNECT │ │ │ │ ├────────────────►│ 解析目标，匹配规则 │ │ │ │ ├────────────────────────►│ 建立隧道 │ │ │ │ ├─────────────────►│ 握手与认证 │ │ │ │◄───── 就绪 ──────┤ │ │ │◄─────── 确认 ───────────┤ ├─ 发起请求 ────►│ │◄──── 响应 ──────┤◄────────────────────────┤◄─────────────────┤◄────────────────┤ │ │ │ │ │ │ 本地段明文 │ 隧道段加密 │ │ 端到端连接 │ 本地段是明文。应用通过 SOCKS5 或 HTTP CONNECT 告诉客户端目标地址，这段通信发生在本机回环接口上，同一台机器上的其他程序可以看到目标域名与端口。隧道段是否加密取决于协议，VLESS 本身不加密，安全性完全来自外层 TLS 或 REALITY。出口到目标是新建连接，访问 HTTPS 站点时，TLS 仍然由应用与站点端到端协商，代理只能看到 SNI 与流量特征。
这段路径解释了两个常见现象。本地端口被占用时，应用报的是连接失败，不是认证失败。隧道握手成功但目标站点拒绝时，日志里是出口侧的错误，不是本地配置错误。
TCP 与 UDP 的分岔 TCP 面向连接，三次握手占一个往返，重传与拥塞控制由系统内核处理。UDP 无连接，没有握手与重传，DNS、QUIC、游戏、语音都建立在它之上。系统代理是一份地址设置，只对愿意读取它的应用生效，而多数应用的 UDP 流量根本不查询系统代理。这就是“网页能开、游戏连不上”的技术原因。
TLS 握手与 SNI text TLS 1.3 over TCP QUIC over UDP 客户端 服务器 客户端 服务器 │ ClientHello │ │ Initial(CH) │ ├──────────────────►│ ├──────────────────►│ │◄─ ServerHello ────┤ │◄─ Initial(SH) ────┤ │ Finished │ │ Finished │ ├──────────────────►│ ├──────────────────►│ │◄══ 应用数据 ══════►│ │◄══ 应用数据 ══════►│ │ 完整握手 1 RTT │ │ 1 RTT，可 0-RTT │ TLS 1.3 把完整握手压缩到一个往返，会话恢复可以做到 0-RTT，代价是早期数据存在重放风险。ClientHello 里的 SNI 默认是明文，中间设备能看到你访问的域名。ECH 把 SNI 加密后放进外层，需要客户端与服务器同时支持，部署条件较高。
REALITY 走的是另一条路。它借用真实站点的证书链完成握手，客户端看到的是目标站点的证书，代理服务器不持有自己的证书。这种设计减少了证书签发的暴露面，也意味着客户端必须拿到正确的公钥与短 ID，参数抄错时表现为握手直接失败，不会给出“证书不正确”的提示。
QUIC、Hysteria2 与 TUIC QUIC 把传输与加密合并到 UDP 上，避免 TCP 的队头阻塞，支持连接迁移。代价是它对 UDP 的依赖，网络对 UDP 限速或阻断时，QUIC 的表现会比 TCP 更差。浏览器通常会回退到 TCP，代理客户端则要看配置是否允许回退。
Hysteria2 与 TUIC 都建立在 QUIC 之上。Hysteria2 提供可调的拥塞控制策略，在高丢包链路上可以换取更高吞吐，但这种策略不参与常规的拥塞退让，与其他流量共存时公平性较差。TUIC 更接近轻量传输，功能面窄一些。两者都要求客户端内核列出对应协议，Xray-core 的官方协议文档中没有这两项，订阅里出现这类节点时需要换内核。
DNS 解析、fake-ip 与泄漏 text redir-host 模式 fake-ip 模式 应用查 example.com 应用查 example.com │ │ ▼ ▼ 本地或代理 DNS 返回真实 IP 内核立即返回 198.18.x.x │ │ ▼ ▼ 按 IP 规则分流 应用连接假地址 │ │ ▼ ▼ 连接目标 IP 内核按域名匹配规则，再解析真实地址 redir-host 先解析再分流，规则基于 IP，配置简单，缺点是解析发生在分流之前，域名信息已经丢失，基于域名的规则无法生效。fake-ip 先返回一个保留网段的假地址，等应用发起连接时，内核用域名匹配规则，再解析真实地址。它让域名成为分流的第一依据，代价是部分应用会缓存假地址、部分网络诊断工具显示异常、少数游戏反作弊会拒绝假地址。
fake-ip 需要配置排除列表。局域网设备名、打印机、投屏、部分即时通讯的直连域名，都应该放进 fake-ip-filter，否则这些应用会拿到无法连接的假地址。DNS 泄漏通常来自三条路径，系统解析器没有指向内核、应用自带 DoH 绕过了本地设置、IPv6 解析走了未接管的通道。三条路径要分别验证，只改一条不会消除泄漏。
MTU、分片与 MSS 以太网 MTU 是 1500 字节，PPPoE 拨号环境是 1492 字节。隧道封装会占掉 20 到 80 字节，TUN 默认继承 1500 时，内层数据包可能超过链路实际承载能力。TCP 会用 MSS 协商单段大小，IPv4 下 1500 减 20 减 20 等于 1460，隧道内通常需要把 MSS 压到 1360 至 1400。
MTU 不匹配的典型症状是小包通、大包卡。ping 能通，DNS 能解析，TLS 握手在 ClientHello 之后没有响应，网页加载到一半停住。验证方法是逐步下调探测包大小，Windows 用 ping -f，Linux 用 ping -M do，找到能通过的最大值，再加上 28 字节的 IP 与 ICMP 头，就是链路 MTU。
修复顺序是先调 TUN 的 MTU，再配置 MSS clamp，最后才怀疑线路。反过来做，会在一个只需要改一个数字的问题上耗费几个小时。
本地端口与回环 本地代理端口默认只监听回环地址，只有本机可以连接。开启局域网访问后，监听地址变成所有网卡，同一网络内的设备都能使用这个出口，也意味着同一网络内的人可以扫描到它。需要共享时，至少配合防火墙规则与认证，不要把一个无认证的开放代理放进公共网络。
端口冲突来自默认值重合。两个客户端都使用 7890 时，第二个启动会在日志里报绑定失败，界面可能仍显示运行中。处理方式是改端口，不是反复重启。改完端口后，系统代理与规则里的旧端口也要同步更新，否则出现“内核在跑、流量不动”的假象。
成本模型与预算测算 免费软件的成本不是零，它把许可费转移到了别处。把支出拆成五项，才能判断某个方案是真的省钱，还是把成本换成了时间与风险。
text 月总成本 = 服务月费 + 设备折旧 + 电费 + 维护时间成本 + 超额流量费 设备折旧 = 设备购置价 ÷ 折旧月数 电费 = 功率(W) × 24 × 30 ÷ 1000 × 电价(元/kWh) 维护时间成本 = 每月维护小时 × 时薪 单位流量成本 = 月总成本 ÷ 月实际用量(GB) 公式里的服务月费可以为 0，其余四项不会自动为 0。设备折旧对应路由器、迷你主机或额外硬盘。电费对应常开网关。维护时间对应配置、升级、排障。超额流量费对应超出套餐后的计费。
三个测算例子 例一，订阅方案。假设月费 10 元、月用量 100 GB、每月维护 0.5 小时、时薪 60 元。时间成本 30 元，月总成本 40 元，单位流量成本 0.40 元/GB。忽略时间成本时是 0.10 元/GB，差了四倍。这个例子说明，低月费方案的单位成本对维护时间极其敏感。
例二，自建方案。假设服务器 5 美元/月、汇率 7.2，折合 36 元。月用量 200 GB 时单位成本 0.18 元/GB；月用量 40 GB 时升到 0.90 元/GB。加上每月 2 小时维护，成本增加 120 元，两种用量下的单位成本分别变成 0.78 元/GB 与 3.90 元/GB。自建的优势在用量大且维护熟练时成立，用量小的时候比订阅贵。
例三，路由器网关。假设二手路由器 200 元、折旧 24 个月，每月 8.33 元；功耗 6 W、电价 0.6 元/kWh，每月电费 2.59 元；首次配置 3 小时、时薪 60 元，按 12 个月摊销，每月 15 元。月总成本 25.92 元。三台设备分摊后每台 8.64 元。设备越多，单台成本越低，但故障影响面也越大。
测算假设表 这张表的所有取值都是测算假设，不是市场报价，也不是实测数据。换一个时薪或汇率，结论会变。把假设写出来，读者才能按自己的情况重算。
免费软件免掉了什么 许可费确实免了。Mihomo、Xray-core、sing-box 都是开源项目，源码可查，发布包可下载，不需要付费授权。这一项在总成本里占比通常最小。
服务器没有免。内核只负责把流量送出去，出口服务器由服务方提供，或者由你自己租用。订阅费、VPS 费用、专线费用都属于这一项。
时间没有免。配置、升级、排障、迁移都要占用时间，而时间有价格。一个月维护两小时，按 60 元时薪计算就是 120 元，超过多数低价订阅的月费。
风险没有免。来源不明的安装包、权限过大的客户端、泄露的订阅链接，都会带来重置成本。这类成本不常发生，一旦发生就很高。
什么时候免费软件反而更贵 三种情况。第一，维护时间超过订阅价格。第二，多设备重复配置，每台设备各调一遍，边际成本没有下降。第三，安装包来源不可核验，为了确认安全性投入的检查时间超过软件本身的价值。
判断方法很简单，把上个月的维护时间记下来，乘以自己的时薪，再和同期的订阅支出比较。时间成本更高时，付费买省心是理性选择；时间成本更低且愿意折腾时，继续用开源方案也合理。这个判断不需要道德立场，只需要算术。
核验方法与可复现条件 核验要回答三个问题，“我下载了什么、它来自哪里、它有没有被改过”。它不能证明某个软件绝对安全，但能让这三个问题都有证据，证据还要能被他人复现。
三步核验 第一步核来源。打开项目主页，确认组织归属、仓库名与 README 里给出的官方文档域名一致。从仓库进入 Releases 页面，检查资产文件名是否对应你的平台与架构。页面上出现的下载按钮如果指向第三方域名，直接放弃。
第二步核完整性。下载同页面的校验和文件，对安装包计算 SHA-256 并比对。项目提供签名时，先验证签名，再安装。校验和文件本身也必须来自同一个发布页，从别的页面拿到的校验和没有意义。
第三步核行为。安装后观察三件事，内核监听了哪些端口，客户端向哪些地址发起更新检查，系统代理或路由表被改成了什么。三项都能在系统工具里看到，不需要抓包也能完成基础判断。
证据清单 命令清单 text Windows PowerShell Get-FileHash .\client.exe -Algorithm SHA256 Windows CMD certutil -hashfile client.exe SHA256 macOS shasum -a 256 client.dmg Linux sha256sum client.AppImage Android apksigner verify --print-certs client.apk macOS 签名 codesign -dv --verbose=4 /Applications/Client.app macOS 公证 spctl -a -vv /Applications/Client.app 命令只做一件事，把文件内容变成一个固定长度的摘要。摘要一致，说明文件与发布页声明的一致；摘要不一致，说明下载被替换或文件损坏。摘要一致不代表软件没有漏洞，它只回答完整性问题。
可复现条件 记录五件事，核验时间、操作系统版本、客户端版本、内核版本、配置摘要。缺一项，结论就无法被他人复现。时间要写到日，版本要写到发布标签，配置摘要可以是文件哈希，也可以是关键字段的截图。
本站的核验口径写在资源检测专题的方法一节，包含采样次数、单位与证据格式。代理软件的核验不涉及速度测试，但同样要求时间、环境与证据三要素齐全。没有这三要素的结论，只能算个人印象。
常见核验误区 第一个误区，把“能打开官网”当成来源可靠。仿冒站点的页面可以做得一模一样，真正的判断依据是域名归属与下载链接指向。
第二个误区，只比对文件大小。大小可以伪造成一致，哈希不行。
第三个误区，验证了签名就认为万事大吉。签名只证明发布者身份，不证明代码没有漏洞，也不证明发布者可信。
第四个误区，用在线哈希网站处理安装包。把文件上传到第三方站点，等于把样本交给了未知方，安装包本身可能包含账号信息或配置。
安全、隐私与合规边界 代理软件同时扮演两个角色，本机的高权限组件，以及流量的中间人。两个角色都会扩大攻击面，所以安全讨论要分开看，软件本身的风险与服务端的风险不是一回事。
威胁模型 威胁模型怎么用 七个威胁不需要同时防。先看可能性，再看影响。个人设备上最可能发生的是安装包被替换与订阅泄露，两者都能用低成本手段降低。供应链投毒的影响更大，但个人用户能做的有限，固定版本与关注公告已经是合理范围。企业环境里，权限过度与更新通道是重点，因为设备数量放大了单点失败的后果。
加密不等于匿名 TUN 模式把流量送进隧道，隧道只加密到出口。出口之后的连接由出口服务器发起，目标站点看到的是出口地址。链路上的中间人看不到内容，但能看到你在什么时间连接了哪个地址，TLS 握手中的 SNI 默认也是明文。
匿名性还会被账号体系打破。用同一个账号登录多个服务，出口 IP 再换也无法消除关联。DNS 请求、浏览器指纹、时区与语言设置，都能提供额外的识别信息。代理软件解决的是可达性问题，不解决身份问题，这一点在任何配置下都成立。
本地端口与局域网暴露 本地代理端口默认监听回环地址，只有本机能连。开启局域网共享后，监听地址变成所有网卡，同一网络里的设备都能把它当出口使用，也能扫描到它的存在。家庭网络里这通常可以接受，公共网络里等于开放了一个无认证代理。
需要共享时，至少做三件事，限制来源地址段、设置认证、在防火墙上只放行必要端口。三件事都做完，仍然要接受一个事实，通过这个端口的流量会与你的出口地址绑定，他人的行为可能被记在你名下。
日志、订阅与截图 客户端日志默认会记录连接目标、时间、命中的规则，排障时非常有用，分享时非常危险。把日志贴到公开 issue 或论坛前，先删掉域名、IP、订阅地址与账号标识。规则命中日志同样会暴露访问习惯。
订阅链接本身就是凭据。它通常包含账号令牌，拿到链接就能拉取节点列表并消耗额度。截图时遮住链接，不要把订阅写进云笔记的公开分享，也不要用同一个链接在多个陌生设备上反复导入。
权限最小化 Windows 上的 TUN 需要管理员权限或一个以服务方式运行的内核，macOS 上需要 helper 或系统扩展，Android 上需要 VpnService 授权，iOS 上需要 Network Extension。这些授权都有明确用途，判断标准是它是否只在需要时存在。
可执行的做法有三条。不用 TUN 时切回系统代理并撤销提权。关闭客户端后检查服务是否仍在运行。系统更新后重新确认扩展与授权状态，更新有时会重置这些设置。
合规边界 不同司法辖区对代理工具的规定不同，使用前自行确认当地法律、服务条款与可接受使用政策。本页不提供规避执法、规避实名制或绕过企业网络管理的操作指南。企业设备与公司网络先看 IT 政策，个人设备也要看所访问服务的使用条款。
软件开源、协议公开，不代表使用场景自动合规。判断依据是当地规则与服务条款，不是软件许可证。
分类地图 八个二级分类按一条主线排列，先按设备找客户端，再回到来源与权限，最后处理配置与维护。每个分类下的集群都指向一个可独立回答的问题，不是关键词的排列组合。
Windows 客户端 覆盖 Mihomo 系与 Xray 系两条线。重点在 GUI 与内核的分离、配置目录、服务模式与端口冲突。Windows 的复杂度主要来自权限与系统代理接口，不是协议本身。
Android 客户端 以 v2rayNG 与 FlClash 为主，附带 NekoBox 与 Hiddify 的定位比较。核心概念是 VpnService 授权、单实例限制、分应用代理与后台省电策略。安卓端的问题多数能在系统设置里找到答案。
Apple 客户端 iOS 与 macOS 分开处理。iOS 的重点是商店地区、TestFlight 机制、Network Extension 的能力边界；macOS 的重点是公证、helper 授权、Apple 芯片构建与睡眠唤醒后的重连。这一分类只解释机制，不给购买建议。
路由器与 Linux OpenWrt 与 Linux 网关放在一起，因为两者都要处理透明代理、DNS 接管与防火墙规则。差别在工具链，OpenWrt 用 opkg 与 LuCI，Linux 用包管理器与 systemd。共同点是故障影响面大，配置前要留好回退路径。
官方来源与版本 这一分类回答“从哪里下载”。GitHub Release 的资产命名、latest 与预发布标签、fork 与镜像的区分、假官网的识别，都属于发布页阅读能力。它不提供版本号承诺，只提供判断方法。
权限与隐私 系统代理与 TUN 的差异、TUN 的路由改写、VPN 权限的真实含义，都集中在这里。权限决定了软件能做什么，也决定了出问题时影响多大。理解这一层，才能判断某个授权请求是否合理。
配置与订阅 从订阅链接到可用规则。四种订阅载荷、格式转换、更新策略、规则顺序、DNS 分流、fake-ip 的行为，都属于这一层。配置问题的特点是现象明确、原因隐蔽，需要按日志逐条验证。
更新与故障 版本错配、通道选择、配置迁移、回滚、分层排查。维护阶段的目标是在可控范围内保持可用，追新排在后面。故障排查的顺序在参数表一节已经给出，这一分类展开每一步的具体做法。
i 选题是编辑路线图，不是已经发布的页面。未完成独立核验与写作的题目不会生成可点击链接，避免空页面、重复内容和虚假覆盖。已发布的长文在各专题页首屏与页尾单独列出。
01 Windows 客户端 # 选择适合 Windows 的开源客户端
2 个集群 Clash Verge Rev、Mihomo Party 等 GUI 与内核关系。
查看长尾选题 8 01 Mihomo 内核和图形客户端各自负责什么，配置、规则与系统代理的分工 规划 02 Clash Verge Rev 首次启动要检查的设置，内核、配置目录与开机自启 规划 03 Mihomo Party 的多配置切换怎么整理，避免订阅互相覆盖 规划 04 Mihomo 配置里的 proxies、proxy-groups、rules 与 dns 各控制什么 规划 05 GUI 升级后内核没跟着更新，Mihomo 版本错配会出现哪些现象 规划 06 Mihomo 系客户端索要管理员权限时，先确认它要开 TUN 还是改系统代理 规划 07 Windows 上 Mihomo 客户端安装包该从哪里下载，Release 页面怎么读 规划 08 旧 Clash 配置迁到 Mihomo 时哪些字段已废弃，迁移前先做哪几步 规划 v2rayN 等客户端的功能、依赖与维护状态。
查看长尾选题 7 01 v2rayN 与 Xray-core 的版本对应关系，内核缺失时界面为什么只显示灰色 规划 02 v2rayN 从官方 Release 到可用，解压、内核、语言与开机启动 规划 03 v2rayN 的路由规则怎么改，域名、IP、端口与应用分流 规划 04 在 Windows 上直接跑 Xray-core，配置文件、日志与本地监听端口 规划 05 Windows 上 v2rayN 与 Mihomo 系客户端怎么选，协议支持与规则生态差异 规划 06 客户端配置 REALITY 要核对哪些字段，SNI、公钥与短 ID 分别从哪来 规划 07 v2rayN 提示找不到内核或缺少 DLL，按这三处顺序排查 规划 02 Android 客户端 # 在安卓设备上安全导入订阅并控制权限
2 个集群 Xray 内核、订阅导入、分应用代理与路由。
查看长尾选题 7 01 v2rayNG 的 APK 只该从哪里下载，资产名与签名指纹怎么核对 规划 02 v2rayNG 导入订阅后节点列表为空，链接、格式与更新时间逐项检查 规划 03 v2rayNG 分应用代理怎么设，哪些应用应该走直连 规划 04 v2rayNG 的路由方案预设有什么区别，全局、绕过大陆与自定义 规划 05 安卓后台清理导致 v2rayNG 断流，电池优化与前台服务怎么设 规划 06 v2rayNG 的 VPN 服务怎样接管流量，与桌面 TUN 的权限模型差异 规划 07 v2rayNG 长期不更新还能不能用，内核版本决定哪些协议不可用 规划 FlClash、NekoBox、Hiddify 的定位与差异。
查看长尾选题 7 01 FlClash 在 Android 上的首次配置，内核、配置导入与 VPN 授权 规划 02 FlClash 与 v2rayNG 的定位差异，规则分流、订阅格式与资源占用 规划 03 NekoBox 与 sing-box 生态的关系，客户端停更后配置怎么迁移 规划 04 Hiddify 支持哪些平台，跨平台客户端在规则与订阅格式上的取舍 规划 05 安卓代理客户端的签名怎么校验，apksigner 输出里看哪几行 规划 06 FlClash 导入 Clash 配置后规则不生效，覆盖项与字段兼容排查 规划 07 Android 的 VPN 权限弹窗代表什么，为什么重启后还要再确认 规划 03 Apple 客户端 # 理解 iOS/macOS 的客户端与商店限制
2 个集群 地区商店、TestFlight、免费与付费客户端的取舍。
查看长尾选题 7 01 iOS 代理客户端为什么只在部分地区上架，账号地区与下载权的关系 规划 02 TestFlight 分发是什么机制，名额、有效期与版本回退的限制 规划 03 iOS 上免费客户端与付费客户端差在哪，内购、功能与更新节奏 规划 04 iOS 客户端导入订阅的三条路径，链接、二维码与配置文件 规划 05 iOS 的按需连接与分流规则怎样工作，切换网络后为什么会重连 规划 06 iOS 没有桌面式 TUN，Network Extension 能做到什么、做不到什么 规划 07 代理应用被下架后，已购应用还能不能重新下载 规划 原生、跨平台客户端与 TUN 权限。
查看长尾选题 7 01 macOS 上原生客户端与跨平台客户端的差别，菜单栏、规则与资源占用 规划 02 macOS 开 TUN 为什么要授权，系统扩展与网络权限的区别 规划 03 macOS 提示无法验证开发者，公证状态与手动放行的边界 规划 04 用 Homebrew 安装代理内核与 GUI 的路径，cask 来源与更新方式 规划 05 macOS 客户端启动后系统代理没生效，网络服务与 helper 排查 规划 06 Apple 芯片与 Intel 构建怎么区分，Universal 二进制与 Rosetta 的取舍 规划 07 macOS 睡眠唤醒后代理断流，网络位置切换与重连设置 规划 插件、内核、DNS 与旁路由部署。
查看长尾选题 8 01 OpenWrt 上透明代理插件的分工，内核、LuCI 界面与 DNS 组件 规划 02 在 OpenWrt 上部署 Mihomo 内核，配置文件、启动脚本与日志位置 规划 03 旁路由模式怎么接，网关、DNS 与主路由 DHCP 的改法 规划 04 OpenWrt 上的 DNS 劫持与分流怎样配合透明代理 规划 05 nftables 的 TPROXY 与 REDIRECT 在路由器上有什么区别 规划 06 路由器存储空间不足装不上内核，overlay 与 U 盘扩展怎么选 规划 07 OpenWrt 升级固件后代理配置丢失，保留配置与重刷的取舍 规划 08 把旧路由器改成代理网关的成本构成，硬件、功耗与维护时间 规划 systemd、TUN、nftables 与命令行内核。
查看长尾选题 7 01 在 Linux 上用 systemd 托管 Mihomo，服务单元、日志与开机自启 规划 02 Linux 网关的两条接管路径，TUN 设备与 TPROXY 的适用场景 规划 03 用 nftables 把流量重定向到本地代理端口，表、链与标记怎么写 规划 04 无图形界面的服务器上跑代理内核，配置校验与端口监听 规划 05 Linux 上分流 DNS 怎么做，systemd-resolved 与 dnsmasq 的差异 规划 06 容器流量怎么走宿主机代理，网络模式与网关地址的坑 规划 07 代理内核需要哪些 Linux 能力，CAP_NET_ADMIN 与 root 的边界 规划 Release、签名文件、校验和与版本号。
查看长尾选题 7 01 GitHub Release 的资产命名怎么读，架构、平台与压缩格式 规划 02 官方仓库、镜像仓库与 fork 的区别，怎样确认提交来源 规划 03 用 Release 里的校验和核对安装包，三个平台的命令写法 规划 04 latest 标签与预发布版本的区别，什么情况下不该追新 规划 05 假官网与镜像站怎么识别，域名、证书与页面特征 规划 06 源码自编译与官方构建产物的差异，构建环境与可复现性 规划 07 提 issue 前要准备的版本信息，日志、平台与复现步骤 规划 哈希校验、代码签名、macOS 公证与安卓签名。
查看长尾选题 7 01 Windows 安装包的 Authenticode 签名怎么查，签名者与时间戳 规划 02 macOS 的应用签名与公证怎么验证，codesign 与 spctl 命令 规划 03 Android APK 签名校验，apksigner 输出里该看哪几行 规划 04 下载后先算 SHA-256，再与发布页比对的顺序与常见错误 规划 05 哈希与数字签名各防什么，为什么两者不能互相替代 规划 06 GPG 签名发布的校验流程，公钥来源与指纹确认 规划 07 没有签名的构建产物意味着什么，什么情况下仍然可以使用 规划 06 权限与隐私 # 理解 VPN 权限、TUN 与系统代理的真实能力
2 个集群 应用覆盖率、DNS 处理与流量接管差异。
查看长尾选题 7 01 系统代理能覆盖哪些程序，为什么有些应用完全不理它 规划 02 系统代理与 TUN 在覆盖率、DNS、UDP 与权限上的差异 规划 03 Windows 系统代理写在哪里，WinINET 与 WinHTTP 的区别 规划 04 PAC 脚本能做什么、不能做什么，为什么不适合复杂分流 规划 05 Linux 与命令行工具的代理环境变量，http_proxy 与 ALL_PROXY 的差别 规划 06 只开系统代理时 DNS 仍在本地解析，泄漏路径与修复顺序 规划 07 代理自己走代理导致环路，绕过列表与回环地址怎么配 规划 虚拟网卡、路由表、管理员权限与性能开销。
查看长尾选题 7 01 TUN 虚拟网卡怎样接管流量，从路由表到用户态转发 规划 02 开启 TUN 后路由表被改了哪些条目，默认路由与分流路由 规划 03 TUN 的 MTU 设小了会怎样，分片、MSS 与握手失败的关系 规划 04 Android 的 VpnService 与桌面 TUN 的异同，权限模型与生命周期 规划 05 开启 TUN 需要什么权限，管理员、系统服务与驱动的差别 规划 06 TUN 模式下 IPv6 绕过代理，禁用、转发与路由三条路 规划 07 UDP 流量在 TUN 里怎么走，游戏与语音的延迟来自哪里 规划 Base64、Clash YAML、sing-box JSON 的解析。
查看长尾选题 7 01 订阅链接的四种载荷，Base64、明文 URI、Clash YAML 与 sing-box JSON 规划 02 订阅链接后面的参数是什么，UA、flag 与流量信息字段 规划 03 把 Clash YAML 转成 sing-box JSON，字段映射与丢失项 规划 04 订阅自动更新的间隔怎么定，覆盖本地修改的风险 规划 05 订阅导入失败的六种原因，从 404 到 YAML 缩进 规划 06 订阅链接本身就是凭据，泄露、剪贴板与截图的风险 规划 07 手动添加单个节点，字段从哪来、哪些必须核对 规划 直连、代理、拒绝规则与 DNS 分流。
查看长尾选题 7 01 规则匹配顺序，域名、后缀、关键词、IP CIDR 与 GEOIP 谁先谁后 规划 02 远程规则集怎样工作，更新、缓存与体积代价 规划 03 DNS 分流与代理分流为什么要分开配 规划 04 fake-ip 模式怎样工作，哪些程序会因此出错 规划 05 规则没命中时流量去哪，final 与 MATCH 的默认行为 规划 06 用日志确认一条连接命中了哪条规则 规划 07 GeoIP 与 GeoSite 数据库从哪来，更新频率与误判边界 规划 08 更新与故障 # 保持客户端安全可用，快速定位常见错误
2 个集群 内核与 GUI 的版本错配、迁移与回滚。
查看长尾选题 8 01 内核与 GUI 的版本对应关系，谁兼容谁由什么决定 规划 02 稳定版与测试版通道怎么选，回滚要付什么代价 规划 03 大版本升级后的配置字段迁移，废弃项与新增项 规划 04 升级出问题怎么回滚，配置、内核与安装包三件套 规划 05 客户端自动更新从哪里取包，什么情况下应该关掉 规划 06 升级后订阅解析失败，格式版本与解析器的变化 规划 07 客户端停止维护后怎么迁移，配置导出与规则重建 规划 08 追新版本的隐性成本，测试时间、回滚窗口与兼容验证 规划 启动失败、订阅错误、TUN 无网络与权限问题。
查看长尾选题 7 01 客户端双击没反应或直接闪退，先看日志与运行库 规划 02 订阅更新成功但节点列表为空，解析、过滤与格式排查 规划 03 显示已连接却打不开网页，分层定位 DNS 与路由 规划 04 握手超时的四种来源，端口、时间、证书与线路 规划 05 TLS 证书错误的常见原因，系统时间与 SNI 先查哪个 规划 06 连上之后变慢，先分清本地瓶颈与出口瓶颈 规划 07 从日志里读出关键行，时间、级别、连接与错误码 规划 跨专题选择路径 软件只是链条的一环。装好客户端之后，下一步通常是找服务、验证线路或补概念，下面这张表按当前状态分流。
已发布的四篇长文可以配合阅读。开源客户端与免费服务器的区别 解释软件与服务的分工，免费代理软件是否安全 展开权限与来源核验，免费机场无法使用时怎么办 给出分层排查流程，免费节点为什么经常失效 从成本与滥用角度解释失效机制。四篇都不推荐具体服务，只给判断方法。
常见问题 免费代理软件是不是就不用花钱了 软件许可确实不花钱，服务器、设备、时间与风险仍然有成本。内核开源不等于出口免费，订阅费或服务器租金是另一笔支出。以测算假设为例，月费 10 元、每月维护半小时、时薪 60 元，时间成本就是 30 元，达到月费的三倍。把这几项加起来才是完整成本，单看软件标价容易得出错误结论。订阅到期后额度归零，这笔支出不会因为客户端开源而消失。
客户端和内核必须成对使用吗 不必须，但要匹配。GUI 生成配置并调用内核，只要配置字段被内核识别，跨项目组合也能工作。风险在版本与字段，GUI 更新了而内核没更新时，新字段会被忽略或直接报错；反过来，新内核遇到旧 GUI 生成的配置，可能启动失败。跨项目组合出问题时，先分别记录 GUI 与内核版本，再对照发布说明查字段变更。版本信息在客户端的关于页面与内核的版本输出里都能看到。
从 GitHub 下载的安装包就一定安全吗 不一定。GitHub 只保证托管，不保证每个仓库的代码质量与发布流程。判断依据是仓库归属、发布者身份、校验和与签名是否齐全。项目维护者账号被盗后发布带后门安装包的事件真实发生过，下载量与收藏数都不能当作安全证据。下载后仍要核对 SHA-256，项目提供签名时先验签，条件允许时比对源码构建结果。
系统代理和 TUN 应该选哪个 看应用是否读取系统代理，以及是否需要 UDP。只浏览网页时系统代理足够，不用提权，退出即恢复，适合共用电脑。需要游戏、语音、HTTP/3 或某些不读系统设置的应用时，用 TUN 或 VpnService。两者差别不在速度快慢，而在覆盖范围与权限代价，TUN 会改写路由表，出问题时表现为整机断网，不再局限于单个应用。先确定需要接管哪些流量，再挑客户端，顺序不要反过来。
手机上开代理会影响银行类应用吗 可能影响。部分银行与支付应用会检测 VPN 或代理环境，触发风控或直接拒绝启动，这类检测属于应用自身的策略，客户端无法保证兼容。用分应用代理把这些应用排除，通常能缓解。排除后它们走本地网络，仍受当地网络环境影响。遇到登录异常时先关闭代理重试，再判断问题在应用风控还是网络。分应用清单里同时保留系统框架应用，避免通知与推送异常。
iOS 上为什么搜不到某些客户端 App Store 的可见性由账号所属商店地区决定，开发者也可以选择只在部分地区上架。应用被下架后，已购记录与更新通道都会受影响，能否重新下载取决于购买记录与当前商店状态。TestFlight 是另一条分发路径，有测试名额与有效期限制，到期后需要新的构建。本页只解释机制，不讨论切换账号地区的操作。商店可见性也会随地区与时间变化，这里不构成购买建议。
订阅链接可以发给别人吗 不建议。订阅链接通常包含账号令牌，拿到链接就能拉取节点并消耗额度，部分服务还会把它与支付信息关联。截图、剪贴板同步、公开求助帖、浏览器同步都是常见泄露路径。需要共享时，先确认服务条款是否允许，再使用服务方提供的独立分享机制。确认泄露后尽快重置链接，并检查用量是否异常。
客户端提示版本不兼容怎么办 先记录三个版本，客户端、内核、订阅格式。对照发布说明确认字段变更，再用内核自带的配置校验命令验证文件，校验通过再启动。多数不兼容来自内核新增或移除字段，回退到上一个可用版本通常比逐行改配置更快。回退后保留旧安装包与旧配置，每次升级前备份一份可用配置，避免重复排查。
路由器上装代理插件值不值得 设备多、长期开、愿意维护时值得。一次配置覆盖全屋，单台成本随设备数下降，按测算假设三台设备分摊后每台约 8.64 元。代价是故障影响面覆盖所有设备，固件升级可能丢配置，闪存空间有限。只有一两台设备且不常看视频时，桌面客户端加手机客户端更简单，排查也更快。决定前先数设备数量与观看时长，再算成本。
开了 TUN 之后 IPv6 还能用吗 取决于是否接管 IPv6 路由与解析。只接管 IPv4 时，IPv6 流量会绕过代理直连，出现部分站点走代理、部分直连的现象，也可能暴露真实地址。三条处理路径是禁用 IPv6、把 IPv6 路由也指向虚拟网卡、或在 DNS 层不返回 AAAA 记录。选哪条取决于本地网络是否真的支持 IPv6，盲目禁用可能影响只提供 IPv6 的服务。改动后分别用 IPv4 与 IPv6 测试站点确认接管范围。
客户端停止维护了要马上换吗 不必马上，但要有迁移计划。停更客户端的风险来自未修复的漏洞与协议变化，短期仍可用，长期会逐渐失效，尤其是服务端启用新传输方式之后。迁移时先导出配置与规则，确认新客户端支持订阅里的全部协议，再切换。切换后保留旧客户端与旧配置一段时间，出现问题时可以回退。评估标准是能否覆盖现有设备与协议，价格排在后面。
数据来源与更新记录 本页只引用公开规范、项目官方文档与平台开发者文档。第三方打包站、聚合下载页与论坛转贴不作为来源。
更新记录 版本号不写入正文，因为版本会变，写死的数字很快过期。需要版本信息时，以对应项目的发布页为准。页面中的测算数字全部标注为假设，不是实测，也不是市场报价。
下一步 先做一次完整的来源与权限核验，再谈速度。免费代理软件是否安全 给出权限与安装包的检查顺序。资源检测的方法一节 说明证据要记录到什么程度才算可复现。第一次配置可以按新手帮助 的顺序走，从术语到可用连接，每一步都有回退点。
OFFICIAL SOURCES
先把软件来源搞对 软件免费，不等于背后的服务器免费。下面只指向开源项目的官方发布页，不含推广参数；下载前仍要核对版本、校验和与签名。
