在 Windows 操作系统中配置随便云订阅时，许多用户会遇到这样一个典型现象：在 Clash Verge Rev 或 Clash Party 等客户端中勾选了“系统代理（System Proxy）”之后，使用 Microsoft Edge 或 Google Chrome 浏览器能够顺畅访问目标网络，但打开某些特定桌面软件、Git 命令行工具、游戏更新器或者 Windows 自带的 UWP 应用时，流量却依然走本地直接连接，甚至直接提示网络错误。这并非随便云的节点订阅出现故障，而是因为 Windows 系统对“代理”这一概念的处理存在多层次的架构边界。
一、Windows 系统代理的底层机制与作用边界
所谓 Windows 系统代理，本质上是客户端软件通过调用操作系统 API，在注册表的 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings 路径下，将 ProxyEnable 键值置为 1，并写入了本地监听的代理服务器地址与端口（例如 127.0.0.1:7890 或 127.0.0.1:7897）。
这种机制主要服务于遵循 Windows Internet（WinINet）标准协议栈的应用程序。标准的 Web 浏览器（如 Edge、Chrome、Firefox）在启动时会自动读取这组系统设置，因此浏览器的网页请求会被无缝转发至本地客户端，再由客户端结合随便云的策略分流规则发往目标节点。然而，并非所有运行在 Windows 上的程序都会主动去读取注册表中的代理配置。
二、为什么某些软件会绕过系统代理？
根据网络请求发起方式的不同，Windows 平台的网络流量大致可以划分为以下四类：
- 标准浏览器与遵循 WinINet 的桌面软件：完全受系统代理控制，开启即可正常分流。
- Windows 应用商店 UWP 应用程序：UWP 应用运行在独立的 AppContainer 沙箱环境中。为了安全起见，微软在底层默认禁止 UWP 应用与本地回环地址（127.0.0.1）建立 TCP 通信，这被称为 Loopback 隔离机制。即使开启了系统代理，UWP 应用在默认情况下也无法将流量发往本地客户端端口。
- 命令行终端与开发工具：如 CMD、PowerShell、Git Bash 以及 Node.js、Python 等运行环境。这些工具通常只认特定的环境变量（如
HTTP_PROXY和HTTPS_PROXY），完全忽略 Windows 图形界面的系统代理设置。 - 自建私有协议或底层 Socket 软件：部分多人在线游戏客户端、P2P 传输工具和自研通信软件直接使用底层 TCP/UDP 原始套接字，根本不具备处理 HTTP/SOCKS 代理的能力。
三、实用成果：Windows 网络流量代理生效范围判定表
为了帮助随便云用户快速核对不同程序的工作状态，请参考下方的生效范围对照表：
| 应用类别 | 代表软件 | 系统代理默认生效？ | 典型表现与原因 | 推荐解决方案 |
|---|---|---|---|---|
| 主流网页浏览器 | Chrome, Edge, Firefox | 是 | 直接读取系统注册表代理配置，正常分流 | 保持系统代理开启，检查规则分流 |
| Electron 架构桌面端 | Slack, Discord, VS Code | 是 / 部分 | 大多数内置 Chromium 核心可生效，少数扩展需独立设置 | 无需额外配置，个别插件在设置中配代理 |
| 命令行与版本控制 | Git, PowerShell, CMD, curl | 否 | 默认直连，忽略系统注册表，导致 clone 缓慢或失败 | 设置终端环境变量，或启用 TUN 模式 |
| UWP 微软商店应用 | 微软邮件, Xbox 商店, OneNote | 否（默认隔离） | 受微软沙箱回环限制，提示连接错误代码 | 在客户端开启 UWP 工具箱解除 Loopback |
| 原生套接字客户端 | Steam 下载, 射击网游, VoIP 软件 | 否 | 直接发送裸 TCP/UDP 报文，完全不走代理协议 | 必须开启基于 Wintun 的 TUN 增强模式 |
四、从系统代理进阶：何时需要启用 TUN 虚拟网卡？
如果您希望让电脑中的所有流量（包括游戏 UDP 包、CMD 终端命令、UWP 应用）都受随便云节点规则调配，单纯依赖“系统代理”是无法达成的，此时您需要启用客户端的 TUN 模式（增强模式）。
TUN 模式会在 Windows 网络适配器中安装一个名为 Wintun 的虚拟网络驱动，在操作系统的网络协议栈底层创建一个虚拟网卡，将整机的所有 IP 数据包拦截并导入到客户端内核中进行分流处理。在开启 TUN 模式前，需要注意以下事项：
- 管理员权限：安装与接管虚拟网卡属于系统底层特权操作，启动客户端时必须以管理员身份运行。
- DNS 防污染：开启 TUN 模式后，客户端通常会接管系统的 DNS 请求，请确保客户端的 Fake-IP 功能正常运行，避免本地 DNS 缓存冲突。
- 与第三方安全软件共存：部分杀毒软件会拦截虚拟网卡驱动的注入，如遇驱动报错，请在安全软件中将客户端目录添加至信任白名单。
五、Windows 代理排障四步判定流程
当您在 Windows 上遇到访问异常时，建议按照以下步骤逐一判定：
第一步：验证基础端口监听。打开 PowerShell，执行 Test-NetConnection -ComputerName 127.0.0.1 -Port 7890，确认客户端的本地端口处于正常监听状态。
第二步：核对注册表配置。在 Windows 设置中搜索“代理”，查看“使用代理服务器”开关是否处于打开状态，IP 与端口是否与客户端一致。
第三步：区分故障类型。若浏览器正常而特定软件异常，根据上方表格判断该软件是否属于命令行、UWP 或裸协议类型，若是，则开启 TUN 模式或解除 UWP 回环隔离。
第四步：检查节点延迟与订阅状态。在随便云客户端节点列表中点击延迟测试，若所有节点全红，请检查系统时间是否与北京时间同步，误差超过5秒会导致鉴权握手失败。