Windows 代理已经正常开启，但网页依然打不开、客户端提示连接失败，或者关闭 Windows Defender 防火墙后突然恢复，这种情况很可能不是代理配置本身的问题，而是Windows 防火墙正在拦截代理程序或相关网络连接。
常见表现包括：
- Windows 代理开启后没有网络
- 代理客户端可以启动，但浏览器打不开网页
- 节点延迟正常，实际连接却失败
- 关闭防火墙后代理立即恢复
- Windows Defender 提示已阻止部分功能
- 客户端更新后突然无法联网
- 只有某个代理客户端打不开网络
- 本地代理端口已经监听，但程序无法访问外网
- 开启 TUN / 增强模式后网络异常
- Windows 重启后代理突然失效
遇到这种情况，不建议一开始就删除客户端、重装系统或者反复修改系统代理。
正确的排查顺序应该是：
先确认是不是防火墙拦截 → 再检查程序权限 → 再检查入站/出站规则 → 最后排查安全软件和网络组件。
下面按照实际操作顺序进行排查。
Windows 代理频繁被防火墙拦截，想获取更稳定的 Windows 代理线路？
获取稳定 Windows 代理线路一、先判断：真的是 Windows 防火墙拦截代理吗？
很多网络问题都会表现为“代理打不开”，所以第一步要先判断问题是不是防火墙造成的。
比较典型的判断方法是：
方法一：临时关闭 Windows Defender 防火墙测试
进入：
Windows 安全中心 → 防火墙和网络保护
找到当前正在使用的网络，例如：
- 域网络
- 专用网络
- 公用网络
临时关闭对应网络的 Microsoft Defender 防火墙。
然后重新打开代理客户端测试。
如果原来：
代理无法连接
关闭防火墙后：
立即恢复正常
那么基本可以确认：
Windows 防火墙规则正在拦截代理程序或相关连接。
注意，这一步只用于排查。
确认问题以后不要长期关闭防火墙。
二、为什么 Windows 防火墙会拦截代理客户端？
Windows 防火墙主要负责控制程序的网络访问权限。
当代理客户端第一次运行时，系统可能弹出提示：
Windows Defender 防火墙已阻止此应用的部分功能
如果当时点击了：
取消
或者没有允许正确的网络类型，后面客户端就可能无法正常通信。
另外以下情况也可能重新触发防火墙限制：
- 客户端升级
- 程序路径变化
- 程序文件被替换
- 新安装 TUN 驱动
- 切换代理核心
- Windows 更新
- 网络类型由专用变成公用
所以即使之前一直能用，更新后突然失效，也有可能是防火墙规则变化。
三、Windows 弹出“已阻止此应用的部分功能”怎么办？
如果启动代理客户端时看到 Windows Defender 防火墙弹窗，一般不要直接关闭。
先确认程序确实是自己安装的代理客户端。
然后根据实际网络环境勾选：
专用网络
例如：
- 家庭 Wi-Fi
- 自己的路由器
- 可信办公网络
通常可以勾选。
公用网络
例如：
- 酒店 Wi-Fi
- 商场 Wi-Fi
- 机场 Wi-Fi
- 公共热点
如果客户端确实需要在这些环境使用，也可以允许。
对于普通个人电脑，至少应确保：
当前实际使用的网络类型已被允许。
然后点击：
允许访问
四、没有弹窗怎么办？手动允许代理程序通过防火墙
如果之前已经点过拒绝，Windows 可能不会再次自动弹窗。
这时可以手动添加。
打开：
控制面板 → 系统和安全 → Windows Defender 防火墙
进入：
允许应用或功能通过 Windows Defender 防火墙
然后点击：
更改设置
在列表里找到代理客户端。
可能显示为：
- Clash
- Mihomo
- v2rayN
- sing-box
- Hiddify
- FlClash
- 客户端自身名称
- core.exe
- mihomo.exe
- clash.exe
确认对应程序已经允许当前网络。
如果列表中没有，就点击：
允许其他应用
然后手动选择程序的 .exe 文件。
五、客户端和代理核心可能是两个不同程序
这是非常容易忽略的一点。
很多 Windows 代理客户端实际上分成两部分：
客户端界面
例如：
client.exe
负责显示节点、设置和按钮。
代理核心
例如：
mihomo.exe
clash.exe
sing-box.exe
真正负责网络连接。
如果只给客户端界面放行，却没有给代理核心放行，就可能出现：
- 客户端正常打开
- 节点正常显示
- 点击连接没有效果
- 网络始终失败
所以在防火墙规则中，要特别检查：
核心程序是否也被允许联网。
六、先确认代理程序安装目录
不知道防火墙应该放行哪个程序时，可以先打开客户端安装目录。
常见方法：
方法一
任务管理器中找到客户端进程。
右键：
打开文件所在的位置
方法二
右键桌面快捷方式：
属性 → 打开文件所在位置
然后重点观察目录中是否存在：
- clash.exe
- mihomo.exe
- sing-box.exe
- core.exe
- service.exe
这些文件很可能才是真正执行代理连接的核心。
七、检查 Windows 防火墙入站规则
打开：
Windows Defender 防火墙 → 高级设置
进入：
入站规则
这里控制外部或本机其他程序访问当前程序开放端口的权限。
在列表中查找：
- Clash
- Mihomo
- sing-box
- 代理客户端名称
如果发现：
操作 = 阻止连接
就可能造成代理异常。
可以右键查看规则属性。
重点看：
- 是否启用
- 操作是否为允许
- 应用程序路径是否正确
- 网络配置文件是否匹配
八、检查 Windows 防火墙出站规则
相比入站规则，代理客户端更关键的往往是：
出站规则。
因为代理核心需要主动连接远程节点服务器。
进入：
高级安全 Windows Defender 防火墙 → 出站规则
查看有没有针对代理客户端的：
阻止连接
规则。
如果存在明确针对：
clash.exe
mihomo.exe
sing-box.exe
的阻止规则，就可能导致：
- 节点无法连接
- 延迟测试失败
- 所有线路变红
- 客户端提示网络错误
九、为什么防火墙关闭后能用，开启后又不行？
这是典型的规则问题。
如果关闭防火墙：
代理正常
开启防火墙：
代理立即失效
说明通常不是：
- 订阅问题
- 节点问题
- 浏览器问题
而是：
程序权限或端口被防火墙限制。
此时正确做法不是长期关闭防火墙。
而应该：
删除错误规则 → 重新允许代理程序。
十、可以删除旧的代理防火墙规则重新生成
如果客户端升级过很多次，防火墙中可能出现多条重复规则。
例如：
- Clash
- Clash 2
- Clash Old
- Mihomo
- Mihomo Core
而其中某些路径已经失效。
这种情况下可以考虑删除旧规则。
然后：
- 完全退出代理客户端
- 删除与该客户端相关的旧防火墙规则
- 重新启动客户端
- 重新允许 Windows 防火墙访问
这样可以让系统重新建立正确规则。
十一、注意程序路径变化
有些客户端升级以后：
原来核心在：
C:\Program Files\Client\mihomo.exe
更新后变成：
C:\Users\用户名\AppData\Local\Client\mihomo.exe
但 Windows 防火墙里的旧规则仍然指向原路径。
结果就可能出现：
- 客户端升级完成
- 界面能打开
- 节点正常显示
- 网络突然全部失效
因此防火墙异常时，要确认规则里的：
程序路径和当前实际文件路径一致。
十二、Windows 网络类型也会影响防火墙规则
Windows 会把网络分成：
- 公用网络
- 专用网络
- 域网络
假设你之前只允许代理客户端在：
专用网络
运行。
后来 Windows 把当前 Wi-Fi 判断成：
公用网络
那么代理就可能突然受到限制。
可以进入：
设置 → 网络和 Internet → 当前网络
查看网络配置文件类型。
如果规则只允许专用网络，而当前网络属于公用网络，就可能出现不匹配。
十三、TUN 模式被防火墙拦截怎么办？
部分代理客户端开启：
- TUN
- 增强模式
- 虚拟网卡
- Service Mode
以后，会建立新的虚拟网络适配器。
这时 Windows 防火墙看到的流量路径已经和普通系统代理不同。
可能出现：
- 普通代理模式能用
- 一开 TUN 就断网
- TUN 启动成功但所有网页打不开
- 关闭 TUN 后恢复
这种情况下重点检查：
- TUN 驱动
- 虚拟网卡
- 代理核心
- Windows 防火墙规则
十四、先关闭 TUN 测试普通系统代理
如果怀疑防火墙和 TUN 冲突，可以先做一个简单测试。
关闭：
TUN / 增强模式
只保留：
系统代理
然后重新连接节点。
如果普通系统代理可以正常使用，而 TUN 一开启就失败，说明问题重点应该转向：
TUN 虚拟网卡、防火墙或驱动。
十五、管理员权限不足也可能影响代理组件
部分客户端需要：
管理员权限
才能：
- 修改路由
- 创建虚拟网卡
- 启动服务
- 调整系统代理
- 配置 TUN
如果程序权限不足，也可能表现得很像防火墙拦截。
可以：
右键代理客户端 →
以管理员身份运行
然后重新测试。
如果管理员模式下恢复，就需要进一步检查客户端服务权限。
十六、检查 Windows Security 有没有拦截记录
打开：
Windows 安全中心
查看：
- 病毒和威胁防护
- 防火墙和网络保护
- 保护历史记录
有时 Windows Defender 不只是防火墙拦截网络，还可能把代理核心误判为异常程序。
如果核心文件被：
- 隔离
- 删除
- 阻止运行
客户端可能还能打开，但实际代理功能已经失效。
十七、代理核心被 Defender 删除会有什么表现？
比较典型的是：
- 昨天正常
- 今天突然失效
- 客户端还能打开
- 点击连接无反应
- 所有节点测试失败
- 日志提示 Core not found
- 核心无法启动
这种情况不是单纯网络拦截。
需要检查：
代理核心文件是否还存在。
十八、第三方安全软件也会拦截代理
除了 Windows Defender，还要检查是否安装了：
- 360 安全卫士
- 360 杀毒
- 火绒
- 腾讯电脑管家
- 卡巴斯基
- ESET
- Bitdefender
- 企业安全软件
这些程序可能拥有独立防火墙。
即使 Windows Defender 防火墙已经放行，第三方软件仍可能继续拦截。
十九、如何判断是第三方防火墙问题？
可以做临时测试。
例如：
- 完全退出第三方安全软件
- 重启代理客户端
- 重新连接节点
如果立即恢复，就应该检查第三方安全软件的：
- 网络防护
- 应用联网控制
- 防火墙
- 行为防护
而不是一直修改 Windows Defender。
二十、不要同时运行多个网络安全软件
如果电脑同时安装：
- Windows Defender
- 第三方防火墙
- 企业网络防护
- VPN 安全模块
多个组件同时过滤网络流量，很容易产生冲突。
尤其代理软件会使用：
- 本地监听端口
- 虚拟网卡
- DNS 转发
- 路由修改
这些行为很容易被多个安全组件同时处理。
所以排查时应尽量简化环境。
二十一、本地代理端口被拦截也可能导致浏览器打不开
Windows 代理软件通常会在本机监听某个端口，例如：
127.0.0.1:7890
或者：
127.0.0.1:1080
浏览器访问网页时，会先连接这个本地端口。
如果代理核心没有正常监听，浏览器就可能出现：
- ERR_PROXY_CONNECTION_FAILED
- 代理服务器拒绝连接
- 无法连接到代理服务器
这时候不要只检查远程节点。
还要确认本地代理服务是否正常启动。
二十二、怎么判断本地代理核心有没有运行？
最简单的方法：
打开任务管理器。
查看是否存在：
- mihomo.exe
- clash.exe
- sing-box.exe
- 对应客户端核心进程
如果客户端界面存在，但核心进程完全没有启动，说明问题可能发生在：
- 防火墙
- Defender
- 权限
- 核心文件
这一层。
二十三、重启 Windows 后突然被防火墙拦截怎么办？
有些规则问题会在重启后暴露。
尤其：
- Windows 更新
- 客户端自动更新
- 网络配置文件变化
之后。
可以按下面顺序处理：
- 完全退出代理客户端
- 重启 Windows
- 管理员身份启动客户端
- 检查 Windows 防火墙提示
- 重新允许程序访问
- 再连接节点
二十四、恢复 Windows 防火墙默认设置有用吗？
如果防火墙规则已经非常混乱，可以考虑恢复默认设置。
路径通常是：
Windows Defender 防火墙 → 还原默认值
但需要注意：
这会清除很多手动建立的防火墙规则。
包括其他软件的自定义权限。
所以不要把“恢复默认值”作为第一步。
更适合：
确认防火墙规则已经严重混乱时再使用。
二十五、不要为了代理长期关闭 Windows 防火墙
有些用户发现：
“关闭防火墙以后代理就能用。”
于是直接长期关闭。
这不推荐。
正确解决方式应该是：
只允许可信的代理客户端和核心程序联网。
而不是让整个系统防火墙一直关闭。
这样既能保证代理正常工作，也不会明显降低系统安全性。
二十六、代理客户端更新后被防火墙重新拦截怎么办？
客户端更新后，程序：
- 文件哈希
- 路径
- 核心文件
- 服务组件
都可能变化。
Windows 防火墙可能把它当成一个新程序。
所以每次更新后如果突然无法连接，可以优先检查：
防火墙授权是否重新出现。
如果出现新的授权弹窗，确认程序来源可信后重新允许即可。
二十七、节点延迟正常为什么网页还是打不开？
这并不能排除防火墙。
因为客户端的：
延迟测试
和：
实际代理流量
不一定经过完全相同的流程。
例如延迟测试可以完成，但浏览器流量可能被：
- 防火墙
- TUN
- 系统代理
- DNS
其中某一层阻断。
所以：
延迟绿色 ≠ 代理一定完全正常。
二十八、只有浏览器打不开，其他程序正常怎么办？
如果：
- Telegram 正常
- 客户端正常
- 浏览器打不开
就不应该只怀疑防火墙。
还要检查：
- 浏览器代理插件
- 系统代理
- 浏览器安全扩展
- 浏览器 DNS
- 浏览器自身缓存
但如果所有需要代理的程序都同时失效，防火墙优先级会更高。
二十九、只有一个客户端被拦截怎么办？
如果电脑上：
- A 代理客户端正常
- B 代理客户端完全无法联网
则说明网络本身大概率没问题。
重点检查 B：
- 防火墙规则
- 核心程序
- 安装目录
- 权限
- 安全软件拦截
不需要优先折腾路由器或 DNS。
三十、Windows代理被防火墙拦截的标准排查顺序
以后遇到类似问题，可以直接按照下面顺序进行。
第一步：临时关闭防火墙测试
如果关闭后恢复，确认与防火墙有关。
第二步：重新允许客户端
检查“允许应用通过 Windows Defender 防火墙”。
第三步：放行代理核心
不要只检查客户端界面程序。
第四步：检查入站/出站规则
重点查找明确的“阻止连接”规则。
第五步：检查程序路径
确认规则指向当前最新核心文件。
第六步：检查网络类型
专用/公用网络权限是否匹配。
第七步：关闭 TUN 测试
判断是不是虚拟网卡相关问题。
第八步：管理员运行
排除权限不足。
第九步：检查 Defender 保护历史
确认核心没有被隔离或删除。
第十步：检查第三方安全软件
排除其他防火墙继续拦截。
三十一、常见现象快速对照
| 现象 | 优先排查方向 |
|---|---|
| 关闭防火墙后立刻恢复 | Windows 防火墙规则 |
| 客户端能开但无法连接 | 核心程序、防火墙 |
| 更新客户端后突然失效 | 新程序路径、重新授权 |
| 普通代理能用，TUN 不能用 | 虚拟网卡、防火墙 |
| 所有节点都红 | 核心网络权限、出站规则 |
| ERR_PROXY_CONNECTION_FAILED | 本地代理核心、监听端口 |
| 只有一个客户端不工作 | 该客户端规则或核心 |
| Defender 删除核心 | 保护历史记录 |
| Windows 防火墙放行仍无效 | 第三方安全软件 |
| 管理员运行后恢复 | 权限、服务或驱动 |
三十二、哪些情况说明可能不是防火墙问题？
如果临时关闭 Windows 防火墙后：
问题完全没有变化
那么就不要继续只围绕防火墙排查。
需要转向：
- 订阅
- 节点
- 系统代理
- DNS
- TUN
- 代理核心
- 网络环境
尤其是所有节点同时不可用时，要结合客户端日志判断。
总结
Windows 代理被防火墙拦截时，最典型的特征就是：
代理客户端能够打开，但实际网络连接失败，而关闭防火墙以后立即恢复。
这类问题通常不需要重装 Windows。
重点检查：
代理客户端权限
代理核心程序权限
Windows 防火墙入站/出站规则
TUN 虚拟网卡
第三方安全软件
如果确认是防火墙导致，正确的处理方式不是长期关闭防火墙，而是：
重新允许可信的代理客户端和代理核心正常联网。
排查时按照：
临时测试 → 程序放行 → 核心放行 → 检查规则 → 检查 TUN → 检查安全软件
这个顺序处理，大多数 Windows 代理被防火墙拦截的问题都可以比较快定位。
