浏览器里装了代理扩展，电脑又运行着 Clash，这种组合非常常见。有人是为了让“只有浏览器走代理”，有人则是看到扩展提供了切换按钮，觉得比客户端方便；但也有人在配置之后遇到奇怪问题：同一个网站时好时坏、检测到的 IP 和 Clash 面板不一致、Google 能打开但下载失败、账号频繁要求重新验证，甚至所有网页都无法访问。

这些现象的根源，往往不是节点本身，而是浏览器扩展、系统代理、TUN 模式之间发生了叠加或冲突。理解这三者分别控制什么流量，再选择一种适合自己的方案，网络会稳定得多，后续排障也更简单。

先弄明白：代理到底接管了哪一层流量

对普通用户而言，可以把电脑上的代理方式简单分为三类。

第一类是 Clash 的系统代理。开启后，Clash 会把 Windows 或 macOS 的系统代理地址指向本机端口，例如 127.0.0.1:7890。遵守系统代理设置的应用，包括多数浏览器、部分桌面软件，都会先把网络请求交给 Clash，再由 Clash 根据规则选择直连或代理节点。

第二类是 浏览器代理扩展。这类扩展只影响安装它的那个浏览器配置文件。它通常会直接修改浏览器代理设置，或者把请求交给扩展所指定的本地代理端口、远程代理服务器。其他浏览器、桌面应用和游戏一般不会受到影响。

第三类是 TUN 模式。它通过虚拟网卡或网络栈接管更多系统流量。部分不理会系统代理的软件、命令行工具、游戏启动器等，也可能被纳入 Clash 的处理范围。TUN 的覆盖面更大，但配置与排错也要更谨慎。

关键点在于：浏览器扩展不是 Clash 的“控制面板”。即使它们都叫代理、都有节点或规则选项，也可能完全是两套独立设置。如果扩展指定了另一个出口，而 Clash 系统代理也处于启用状态，浏览器请求就可能经过不止一次转发，或者被其中一项设置覆盖。

常见的四种组合，以及各自适合什么人

方案一：只开 Clash 系统代理，不使用浏览器扩展

这是对大多数用户最省心的方案。

在 Clash 中开启“系统代理”，浏览器代理扩展设为停用或彻底关闭。浏览器流量进入 Clash 后，由 Clash 的规则组决定哪些域名直连、哪些域名走代理。这样浏览器、下载工具和支持系统代理的应用通常能保持一致的出口策略。

适合以下情况：

• 日常主要使用一个代理客户端；
• 希望浏览器与其他软件的网络行为一致；
• 使用订阅中的规则，不想分别维护多套分流；
• 需要排查网页打不开、登录异常等问题。

注意，浏览器扩展“图标没有显示启用”不一定代表它完全不影响设置。部分扩展会保留代理配置或有“自动切换”模式。遇到异常时，最好先在扩展管理页面中停用它，再重启浏览器确认。

方案二：Clash 不开系统代理，只让浏览器扩展指向 Clash 本地端口

这个方案也很实用，尤其适合只希望浏览器使用代理、其他应用保持直连的人。

基本思路是：Clash 负责运行节点和规则；浏览器扩展不保存远程节点，而是把代理服务器填写为 Clash 的本地监听地址。例如 Clash 开启了 Mixed Port，端口为 7890，扩展可以使用 HTTP 或 SOCKS5 方式连接 127.0.0.1:7890。实际出站选择仍交给 Clash。

这种方式的优点是浏览器之外的应用通常不受影响，而且节点、规则、订阅仍集中在 Clash 中维护。浏览器扩展只是一个“把浏览器流量送进 Clash 的入口”。

配置时需要注意三点：

1. 确认 Clash 正在运行，本地端口与扩展中填写的端口一致；
2. 不要同时在扩展内填写另一家远程代理地址；
3. Clash 的“系统代理”应关闭，避免操作系统和浏览器扩展同时改写浏览器的代理链路。

方案三：启用 Clash TUN 模式，不使用浏览器代理扩展

如果你已经通过 TUN 模式让系统流量进入 Clash，通常没有必要再装浏览器代理扩展。浏览器的 TCP、UDP 或 DNS 请求可能已由 TUN 接管；额外的扩展会增加变量，出现问题时也很难判断请求究竟从哪里出去。

这类方案适合有明确需求的用户，例如某些软件不支持系统代理，或你希望减少“软件有没有走代理”的不确定性。

不过，TUN 模式不是“打开就一定更好”。它可能与安全软件、虚拟网卡、企业 VPN、游戏平台的网络组件产生兼容性问题。首次使用建议保留一个可以随时切换回系统代理的配置，并在出现断网时优先关闭 TUN 验证。

方案四：浏览器扩展使用独立远程代理，Clash 处理其他应用

这在技术上可以实现，但不建议作为日常默认配置。

例如，浏览器扩展连接一个独立的 HTTP/SOCKS5 代理，而 Clash 同时给桌面软件提供网络代理。此时浏览器和其他软件的出口不同、DNS 策略不同、规则也不同。它适合有严格隔离需求、并且能够自行维护多套配置的人；但对普通用户来说，账号风控、地区内容不一致、排错困难等问题都会更多。

如果确实需要隔离，建议至少记录清楚：哪个浏览器配置文件走哪条线路、扩展当前是直连还是代理、Clash 是否开启系统代理、TUN 是否启用。不要只靠“看图标颜色”判断状态。

为什么双重代理会导致网页异常

所谓双重代理，并不总是指流量真的“绕了两次远程节点”。更常见的是，多个组件都在争夺浏览器的代理控制权，造成设置覆盖、循环连接或 DNS 路径不一致。

例如，浏览器扩展把浏览器请求发送到本机 127.0.0.1:7890，而 Clash 的系统代理也指向同一个端口。部分环境下这未必立刻报错，但配置链条变复杂后，浏览器可能不断重复读取或刷新代理设置。若扩展又启用了“自动代理脚本（PAC）”，则可能出现部分域名能打开、部分域名一直转圈的情况。

还有一种情况是扩展直接配置了远程 SOCKS5，而 Clash 开了 TUN。浏览器流量先被扩展交给远程代理，底层连接又可能被 TUN 重新接管，最终造成连接循环、延迟增加，或让目标网站看到与预期不同的网络特征。

DNS 也是容易被忽视的一环。浏览器扩展、浏览器自身的安全 DNS、操作系统 DNS、Clash DNS 模块，都可能参与域名解析。当网页连接的出口和 DNS 查询的出口不一致时，可能出现地区判断异常、解析结果不稳定或隐私暴露风险。日常配置的目标不是让所有开关都打开，而是让请求路径尽可能清晰、可预测。

用一个检查表，找出当前是谁在接管浏览器

遇到网页打不开、IP 不一致或速度异常时，不要急着频繁切节点。按照下面顺序检查，效率通常更高。

第一步：查看 Clash 的运行状态

确认 Clash 是否正在运行，当前配置是否已成功加载，代理模式是规则、全局还是直连。再确认“系统代理”和“TUN 模式”各自是否开启。不同客户端的名称略有区别，但核心状态基本都能在首页或设置页找到。

第二步：检查浏览器扩展

打开浏览器的扩展管理页，重点看代理类、VPN 类、广告拦截类和网络切换类扩展。先停用明确会修改代理设置的扩展，再完全退出并重新打开浏览器。

只关闭扩展弹窗中的开关有时不够，因为扩展可能处于自动规则、PAC 或按域名代理状态。排障阶段建议直接停用，确认无误后再决定是否保留。

第三步：检查浏览器自己的安全 DNS

Chrome、Edge、Firefox 等浏览器可能提供“安全 DNS”“DNS over HTTPS”等选项。它不一定会造成问题，但当你正在排查解析异常时，建议暂时使用“使用当前服务提供商”或关闭自定义 DNS，避免浏览器绕开你预期的解析路径。

排查完成后，再根据个人隐私需求决定是否启用。最重要的是知道它是否开启、用了哪一家解析服务，而不是盲目追求某个固定选项。

第四步：只保留一条明确的代理路径

为了验证问题，建议临时选择下面其中一种最简单的状态：

• 开 Clash 系统代理，关闭浏览器代理扩展；
• 关闭 Clash 系统代理，用扩展连接 Clash 本地端口；
• 开 Clash TUN，关闭浏览器代理扩展和系统代理。

每次只改一个变量，然后重新打开浏览器测试。若一次改动太多，即使恢复正常，也很难知道真正的故障点是什么。

推荐给普通用户的稳定配置

如果没有“仅代理某一个浏览器”的明确需求，优先采用下面的配置：

1. 在 Clash 中更新并选中需要使用的配置；
2. 代理模式使用“规则”；
3. 开启系统代理；
4. 浏览器内所有代理/VPN 扩展保持停用；
5. 根据客户端配置实际情况使用 Clash 的 DNS 设置，不同时叠加多个来路不明的 DNS 扩展；
6. 当无需代理时，先关闭 Clash 的系统代理或退出客户端，再检查浏览器扩展没有自动接管。

“规则模式”并不意味着所有网站都会走同一个节点。它的含义是由配置中的规则决定流量去向：需要代理的域名进入相应策略组，国内常用服务或局域网地址通常可以直连。规则是否合理取决于配置本身，因此遇到某个网站异常时，应先确认该域名被分到哪个策略组，而不是马上切换成全局模式。

全局模式可以用于临时定位问题：如果全局模式可以访问、规则模式不行，故障更可能出在规则匹配、DNS 或策略组选择；如果全局模式也不行，才更值得检查节点、网络环境和客户端连接状态。定位完成后，建议回到规则模式，避免不必要的流量全部经过代理。

账号登录与隐私：保持“出口一致”比频繁切换更重要

访问邮箱、云盘、AI 服务、社交平台等需要登录的网站时，频繁在直连、不同地区节点、浏览器独立代理之间切换，可能触发网站的安全验证。这不是某个客户端独有的问题，而是许多服务都会根据登录地点、设备信息、Cookie、网络出口变化等信号进行风险判断。

更稳妥的做法是：对同一个重要账号，尽量在一段时间内使用相对固定的浏览器配置和网络路径。不要为了打开一个页面临时叠加扩展、切换多个节点，完成后又忘记恢复。尤其不要在不明来源的浏览器扩展中输入账号密码、导入包含认证信息的链接，或授予超出必要范围的网站访问权限。

代理扩展需要较高的网络访问权限，因此应定期清理不再使用的扩展。保留扩展越多，越容易出现设置冲突，也会扩大浏览器中的潜在攻击面。

出问题时，最有效的恢复顺序

当浏览器突然全面无法联网，可以按以下顺序恢复：

1. 退出浏览器；
2. 停用所有代理类浏览器扩展；
3. 在 Clash 中关闭系统代理，并确认 TUN 模式状态；
4. 重启 Clash，确认配置加载正常；
5. 只启用一种方案，例如仅开启系统代理；
6. 重新打开浏览器，访问一个普通网站和一个需要代理的网站分别确认；
7. 若仍异常，再检查防火墙、安全软件、企业 VPN 或其他网络加速软件是否占用了代理或虚拟网卡功能。

不要把“重装浏览器”当成第一选择。多数浏览器代理问题本质上是设置叠加，先把链路简化，通常比反复安装软件更有效。

总结

浏览器代理扩展和 Clash 并非不能共存，但它们必须分工明确。对多数人来说，最简单可靠的原则是：一个设备、一个主要代理入口；一个浏览器、不要让多个扩展和客户端同时改代理设置。

想让全电脑内支持系统代理的应用一起工作，就使用 Clash 系统代理；想只让浏览器走代理，就让浏览器扩展连接 Clash 的本地端口，同时关闭系统代理；已经使用 TUN 模式时，则尽量不要再让浏览器扩展插手网络路径。

配置越少不一定功能越少，反而往往意味着更稳定、更容易判断问题，也更容易保护自己的登录状态和网络隐私。