Clash Verge 是否支持配置局域网代理供其他设备使用？
Clash Verge 支持通过开启“允许局域网连接”功能，为同网段设备提供 HTTP/SOCKS5 代理，本文详解配置步骤与注意事项。
功能定位：Clash Verge 的局域网代理能力
Clash Verge 是基于 Clash 核心的跨平台代理客户端，覆盖 Windows、macOS 和 Linux。它的核心价值在于将复杂的代理规则通过图形界面统一管理，并支持系统代理、TUN 模式以及局域网共享。当你希望将一台安装了 Clash Verge 的电脑作为代理网关，让同局域网下的手机、平板、游戏机等设备通过这台电脑访问互联网时，就需要启用“允许局域网连接”功能。这一功能让 Clash Verge 在内核层面监听 0.0.0.0 地址，从而接收来自局域网内其他设备的代理请求。
从工程角度看，这是一个“代理旁路”场景：主设备（电脑）承担代理转发计算，从设备（手机等）只需配置代理地址即可。这种方式相比在每台设备上安装代理客户端，具有配置集中、规则统一、节省移动设备电量和存储空间等优势。但同时也带来性能依赖（主设备网络吞吐量）和安全暴露面（局域网内无认证的代理端口）等问题。因此，在后续章节中需要根据具体场景权衡利弊。
最短可达路径：开启局域网代理的 4 步
以当前最新版本的 Clash Verge 为例（具体界面可能因版本迭代略有变化，但核心逻辑一致）。操作路径如下：
- 打开 Clash Verge 主窗口，在左侧导航栏点击“设置”或“Settings”标签（具体位置以实际 UI 为准）。
- 找到“允许局域网连接”开关（英文通常为“Allow LAN”或“Allow LAN Connections”），将其打开。
- 确认本机局域网 IP 地址：在“设置”页面内，通常会自动显示本机在局域网内的 IP（如 192.168.1.100），以及代理端口（默认 7890 HTTP/SOCKS5 混合端口）。
- 在其他设备上配置代理：在 Wi-Fi 设置或系统代理中，填入该 IP 和端口，例如 HTTP 代理为 192.168.1.100:7890，SOCKS5 代理为 192.168.1.100:7891（若单独启用）。
完成后，其他设备即可通过该电脑访问被代理的互联网资源。此路径适用于 Windows、macOS 和 Linux，仅界面布局可能存在微小差异。
提示：如果您的 Clash Verge 版本未显示自动的 IP 地址，可以通过命令行（Windows 下 ipconfig，macOS/Linux 下 ifconfig 或 ip addr）查询局域网 IP。端口号通常为 7890，但可在“设置”中自定义。
小场景示例：家庭 Wi-Fi 共享代理
假设您有一台 Windows 台式机（IP 192.168.31.10）安装了 Clash Verge，并且开启了“允许局域网连接”。您想用 iPhone 通过这台台式机访问境外服务。操作步骤：
- 在 iPhone 上打开“设置” → “无线局域网”，点击当前 Wi-Fi 网络名称右侧的 “i” 图标。
- 向下滚动找到“HTTP 代理”，选择“手动”。
- 在“服务器”填入 192.168.31.10，“端口”填入 7890，“认证”保持关闭。
- 点击“存储”。此时 iPhone 的 HTTP/HTTPS 流量将通过台式机代理。
需要注意：部分流媒体 App 可能忽略系统代理，需配合 Surge 等增强配置，或使用 Clash Verge 的“TUN 模式”配合局域网共享（但 TUN 模式下局域网共享需额外注意路由冲突，下文会涉及）。
例外与副作用：哪些情况不适合局域网代理？
开启“允许局域网连接”并非总是最优解。以下场景需要谨慎评估：
- 主设备性能瓶颈：如果局域网内有多台设备同时进行高带宽活动（如 4K 流媒体、大型下载），对主设备的 CPU、内存和网络吞吐形成压力。经验性观察表明，当并发连接数超过数百时，Clash 内核的 CPU 占用率明显升高，可能影响主设备自身使用体验。例如：一台配置较低的旧笔记本同时为三台设备转发 4K 视频流量时，可能出现播放卡顿或系统响应变慢。
- 安全性缺位：代理端口默认不设认证，任何连接到同一局域网的人只要知道 IP 和端口，就可以利用您的代理发送请求。这可能导致流量被滥用、IP 被封禁，甚至暴露内网信息。因此，切勿在公共 Wi-Fi 或不可信网络下开启此功能。示例：在咖啡馆连接到同一 Wi-Fi 的陌生人若扫描到您的代理端口，可能将其用作匿名出口。
- 规则穿透性不足：其他设备通过 HTTP 代理时，Clash Verge 能正确处理 HTTP/HTTPS 请求；但非 HTTP 流量（如 UDP 游戏、DNS 查询）可能无法被代理，需配合 TUN 模式或额外配置。如果您的使用场景包含大量 UDP 应用（如实时语音、游戏），建议在主设备上开启 TUN 模式并选择“全局代理”或“规则代理”，但 TUN 模式的局域网共享存在已知的路由环路风险，需仔细核对规则。示例：玩《使命召唤》时，UDP 语音包可能直连导致延迟升高。
- IPv6 兼容性：若局域网内设备使用 IPv6 访问互联网，而代理规则仅覆盖 IPv4，则 IPv6 流量会直连，可能导致“代理失效”或 DNS 泄漏。建议在 Clash Verge 中开启“IPv6 路由”功能（如果内核支持），同时确保规则中包含 IPv6 地址处理。示例：当主设备仅配置 IPv4 代理策略时，从设备的 IPv6 请求将绕过代理，导致访问某些仅 IPv6 站点时无法被正确路由。
警告：在办公或商业网络环境中，未经 IT 部门允许私自搭建局域网代理可能违反网络使用政策，甚至导致网络安全事故。请务必确认合规性。
验证与回退：如何确认配置生效并安全撤销？
验证方法
- 在从设备上访问 http://myip.ip/ 或类似 IP 查询网站，确认显示的出口 IP 与主设备代理节点出口 IP 一致。例如，若主设备使用美国节点，从设备查询到的 IP 也应显示美国地址。
- 使用命令行工具测试：在从设备上执行
curl -x http://192.168.1.100:7890 https://www.google.com（Windows 需安装 curl），若能成功返回 HTML 内容则代理正常。注意：首次使用 curl 可能需要安装，Windows 用户可从 curl.se 下载。 - 观察 Clash Verge 的“连接”面板（如果有）：如果开启了临时日志，可以看到来自从设备 IP 的连接记录。点击面板可查看具体请求详情，确认是否全部走代理。
回退操作
如果不再需要局域网代理，只需在 Clash Verge 中关闭“允许局域网连接”开关，或直接将主设备代理软件完全退出。从设备应同时移除手动代理配置，恢复为 DHCP 自动获取。为防止遗忘造成持续占用，建议在从设备代理配置中设置一个简单的“关闭”按钮，或在 Wi-Fi 设置中切换为“自动代理（PAC）”或“关闭”。示例：iOS 设备可在代理设置中选择“关闭”后点击存储，即可恢复直连。
适用与不适用场景清单
| 场景 | 是否适合 | 原因 |
|---|---|---|
| 家庭多设备跨境网络访问 | ✅ | 主设备常开，网络环境信任 |
| 临时给朋友设备用 | ⚠️ 谨慎 | 无认证风险，建议使用后关闭 |
| 游戏主机（PS5/Xbox）代理 | ✅ 部分 | 需手动设置 HTTP 代理，部分游戏 UDP 不支持 |
| 公司网络多人协作 | ❌ | 违规风险、安全审计、性能不可控 |
| 公共 Wi-Fi（咖啡馆、机场） | ❌ | 不安全，代理端口暴露易被滥用 |
故障排查：常见问题与解决步骤
现象 1：从设备无法连通代理
可能原因：主设备防火墙阻止端口；Clash Verge 未正确监听 0.0.0.0；从设备代理配置错误。示例：Windows 防火墙默认可能阻止非系统服务的入站连接。
解决步骤：
- 在主设备上执行
netstat -an | findstr 7890（Windows）或lsof -i :7890（macOS/Linux），确认 Clash Verge 正监听在 0.0.0.0:7890。若仅监听 127.0.0.1，则“允许局域网连接”未生效。 - 检查 Windows 防火墙/高级安全防火墙，确认已放行入站 TCP/UDP 端口 7890（和 7891 如果启用）。若不确定，可临时关闭防火墙测试，但测试后务必恢复。
- 在从设备上测试能否 ping 通主设备 IP（例如 ping 192.168.1.100），确保二层连通。若不可达，检查两台设备是否在同一子网。
- 在从设备上使用浏览器访问主设备 IP:端口（如 http://192.168.1.100:7890），预期应返回空响应或错误页面（但连接成功），若直接超时则表明连接被阻断。
现象 2：部分流量未被代理
可能原因：HTTP 代理无法处理 UDP 流量；从设备的 DNS 查询直连；规则不匹配。示例：使用视频会议软件时，音频流可能使用 UDP 而绕过代理。
解决步骤：在 Clash Verge 中尝试开启“TUN 模式”，并确保在“设置”中允许 TUN 的局域网共享（需将 TUN 的 device 设为“auto”，且内核支持）。注意，TUN 模式 + 局域网共享可能存在路由环路风险，建议先在小范围测试。若问题依旧，检查规则是否包含相关域名或 IP 段。
最佳实践清单
- 最小权限原则：仅在需要时开启“允许局域网连接”，使用后立即关闭。例如，朋友来访结束后及时关闭开关。
- 固定局域网 IP：为主设备设置静态 IP（或 DHCP 保留），避免代理地址变化导致从设备频繁修改。可在路由器管理界面设置 DHCP 静态分配。
- 验证代理端口可达性：每次首次连接前，从其他设备通过 Telnet 或 nc 测试端口连通性。命令示例：
telnet 192.168.1.100 7890。 - 监控连接状态：在 Clash Verge 界面定期查看连接数，若发现大量异常请求（非本机 IP），立即断开并检查是否有恶意访问。可利用“日志”功能过滤来源 IP。
- 避免混用 TUN 和 HTTP 代理：在同一主设备上同时开启 TUN 模式并允许局域网共享，可能造成从设备的流量循环。建议只选一种方式：如果从设备支持 HTTP 代理，优先使用；若不支持，再考虑 TUN 模式并配置严格的路由规则。
- 升级前备份配置：每次更新 Clash Verge 版本前，导出配置文件（YAML/JSON），防止升级后设置丢失。备份路径通常可在“设置”的“配置”页面找到导出按钮。
版本差异与迁移建议
Clash Verge 早期版本（如 1.3.x）的“允许局域网连接”设置在“Clash 设置”标签页内；新版本可能将其整合到“核心设置”或“网络”区域。若您找不到开关，请仔细检查每个子标签页。建议定期关注 GitHub 仓库的 Release Notes 了解界面变更。例如，从 v1.4.0 开始，设置位置可能已移动到“系统代理”区域。
迁移建议：如果您正在使用其他代理客户端（如 Clash for Windows、ClashX），切换到 Clash Verge 时，可将原配置文件直接复制至 Clash Verge 的配置目录（通常位于用户文档目录下的 .config/clash-verge/ 或软件安装目录的 profiles 文件夹），但需注意版本兼容性——Clash Verge 基于 Clash.Meta 内核，部分规则语法（如 rule-provider、script）与原始 Clash 存在差异，请参考官方 Wiki 进行调整。示例：Clash for Windows 中使用的 external-controller 字段在 Clash Verge 中可能改为 external-controller 的同名，但需注意端口冲突。
风险与边界总结
局域网代理功能是 Clash Verge 的一个实用附件，但并非万能解决方案。其核心风险在于安全暴露与单点瓶颈。当您决定启用时，请确保：
- 主设备有足够冗余性能（如双核以上 CPU，至少 2GB 空闲内存）。
- 局域网内无未授权设备连接（如访客网络隔离）。可在路由器端开启“访客网络”并禁止其访问内网。
- 重要敏感操作（如网银、登录）建议直接从主设备发起，避免经过代理路径增加泄密风险。因为代理本身无法保证 HTTPS 终结的安全性，但存在中间人攻击的潜在威胁。
对于不适用场景，请考虑替代方案：路由器固件（如 OpenWrt）刷入 Clash 插件，或者使用专门代理盒子（如 GL.iNet 系列），这些设备承担主路由角色，性能更匹配且安全边界清晰。随着 Clash Verge 未来版本的迭代，可能加入更完善的认证机制（如白名单 IP、端口认证），届时局域网代理的安全性将进一步提升。
常见问题 (FAQ)
Q: 开启“允许局域网连接”后，其他设备需要安装 Clash 客户端吗？
Q: 为什么其他设备能访问 Google，但无法观看 Netflix？
Q: 如何让智能电视通过局域网代理？
Q: 开启局域网代理后主设备网速变慢怎么办？
Q: 局域网代理支持 UDP 流量吗？
结语与下一步行动
Clash Verge 的局域网代理功能为多设备统一代理提供了便捷途径，通过简单配置即可实现。然而，它并非零成本——安全、性能与稳定性需要您根据实际场景权衡。建议您先从一台从设备开始测试，确认稳定后再扩展至全家设备。如果您需要更高级的隔离与策略，可以考虑结合路由器插件或专用网关设备。
下一步行动：打开 Clash Verge，在设置中找到“允许局域网连接”，按照本文步骤开启并测试。如果您在操作中遇到任何问题，欢迎在相关社区论坛留言讨论（本网站不提供评论功能，建议前往 GitHub Issues 或 Telegram 群组）。未来 Clash Verge 可能加入更细粒度的权限控制，如 MAC 地址绑定、流量限速等，届时局域网共享将更加灵活可控。
