Clash Verge 如何设置代理端口实现局域网共享？
为什么需要局域网共享代理？
在日常使用 Clash Verge 时，多数用户只在本机配置代理，但往往会遇到这样的场景：台式机通过 Clash Verge 成功连接外网，而手机、平板、电视等设备却无法直接享受同样稳定的跨境网络访问体验。针对每个设备单独安装代理客户端不仅繁琐，还会占用系统资源，甚至有些设备（如智能电视、游戏机）根本不支持代理应用。此时，Clash Verge 设置代理端口实现局域网共享 就成了最经济高效的方案——只需一台主机作为代理服务器，局域网内所有设备即可通过同一代理出口。
这项功能本质上利用了 Clash 内核的「允许局域网连接」能力，让主机上运行的代理服务（HTTP/SOCKS5）监听所有网络接口，而非仅回环地址。其他设备只需将网关或代理指向该主机的 IP 和端口，即可透明使用代理。本文将基于 Clash Verge 截至当前最新版本，一步步拆解配置流程、解析常见陷阱，并给出安全与性能上的取舍建议。
功能定位与原理
Clash Verge 作为 Clash 的图形界面，底层依赖 Clash 内核的 `allow-lan` 配置项。当 `allow-lan: true` 时，代理端口（默认 HTTP 7890、SOCKS5 7891）会绑定到 `0.0.0.0`，即所有网络接口均可访问。这与仅绑定 `127.0.0.1` 的本地模式形成对比：本地模式只有本机进程能使用代理，而局域网共享模式则允许同一子网下的其他设备连接。
需要特别指出的是，Clash Verge 本身不提供用户名/密码认证。这意味着任何能访问该端口的设备都可以直接使用代理，不会经过二次验证。因此，开启局域网共享前必须评估网络环境的安全性：在家庭或受控的办公网络中可以放心使用，但在公共 Wi-Fi 或开放宿舍网络中则存在被滥用或劫持的风险。
⚠️ 安全提醒：Clash Verge 不提供内置认证机制。若必须在不可信网络中开启，建议配合防火墙规则（如只允许特定 MAC 地址或 IP 段）或使用 privacy tool 方式替代。
操作步骤：桌面端通用指南
以下步骤适用于 Windows、macOS 和 Linux 平台，Clash Verge 的界面布局基本一致（以 v1.7.x 系列为例，实际版本请以安装为准）。
第一步：打开设置面板
启动 Clash Verge，点击主界面左下角的「设置」图标（齿轮状）。在设置页面中，找到「端口」或「代理端口」区域。通常默认显示 HTTP 端口 7890，SOCKS5 端口 7891，混合端口 7892（混合端口同时支持 HTTP 和 SOCKS5）。
第二步：开启「允许局域网」
在端口设置下方，有一个「允许局域网连接」或「Allow LAN」的开关，将其切换至开启状态。部分版本可能以复选框形式出现。此处需要注意的是，开启后需要重启内核（或点击「应用」按钮）才能生效。Clash Verge 通常会自动重启内核，但若发现端口未立即监听 `0.0.0.0`，可手动重启一次软件。
第三步：确认主机 IP 地址
在主机上打开终端（Windows 使用 `ipconfig`，macOS/Linux 使用 `ifconfig` 或 `ip addr`），找到局域网接口的 IP 地址。例如常见的有 192.168.1.100 或 10.0.0.5。记下这个 IP，之后其他设备要配置代理时需使用它。
第四步：在其他设备上配置代理
根据设备类型不同，代理配置方式略有差异：
- Windows/macOS/Linux 设备：进入系统网络设置，手动代理选择「HTTP」或「SOCKS5」，填入主机 IP 和端口（如 192.168.1.100:7890）。
- iOS/Android 设备：在 Wi-Fi 设置中开启「HTTP 代理」或「SOCKS 代理」，填入相同信息。部分 Android 版本需要输入代理服务器地址和端口，iOS 则在「配置代理」中选择「手动」。
- 智能电视/游戏机：通常在网络设置中可找到「代理设置」，同样填入主机 IP 和端口。若设备仅支持 HTTP 代理，请使用 HTTP 端口（7890）；若同时支持 SOCKS5，则优先使用混合端口（7892）以减少端口切换。
配置完成后，打开浏览器访问被墙网站验证连通性。如果一切正常，其他设备即可通过主机代理上网。
端口选择与冲突处理
Clash Verge 默认提供三个端口：HTTP（7890）、SOCKS5（7891）、混合（7892）。在实际使用中，绝大多数设备只需用到 HTTP 代理即可，因为 SOCKS5 在部分应用（如邮件客户端、某些游戏）中支持更好。混合端口则能同时接收两种协议，减少配置复杂度。
端口冲突是常见问题。假如主机上已有其他服务占用了 7890 或 7891 端口（例如 V2Ray 客户端、系统代理工具），Clash Verge 启动时会报错。此时可在设置中修改端口号，例如将 HTTP 改为 7899，SOCKS5 改为 7900。修改后需要重启内核，并确保其他设备上配置的端口也同步更新。
💡 经验性观察：建议将 HTTP 端口和 SOCKS5 端口设置为不同值，但混合端口可以设置为与 HTTP 端口不同。如果只使用 HTTP 代理，可以只开 HTTP 端口，并关闭 SOCKS5 以减小攻击面。
安全风险与防范措施
如前所述，Clash Verge 开启局域网后，任何能够访问该端口的设备都可以直接使用代理，无需认证。这意味着：
- 未授权访问：同一 Wi-Fi 下的其他用户（甚至恶意设备）可以扫描到开放端口，进而使用你的代理流量，可能产生异常流量消耗或法律风险。
- 中间人攻击：虽然代理本身是加密的，但如果攻击者控制了网络，可能通过代理劫持未加密的 HTTP 请求。
- 端口扫描暴露：开放端口会成为网络扫描的目标，增加被攻击面。
针对这些风险，推荐以下缓解措施：
- 仅在受信任的局域网内开启：如家庭网络、公司内部办公网络。避免在公共 Wi-Fi、酒店网络中使用。
- 使用防火墙限制访问：在主机上配置防火墙规则，只允许特定 IP 段（如 192.168.1.0/24）访问代理端口，或仅允许特定 MAC 地址。
- 关闭不必要的端口：如果只使用 HTTP 代理，可关闭 SOCKS5 端口。如果不需要 UDP 转发，也可关闭相关功能。
- 定期检查日志：Clash Verge 的日志面板会记录所有连接请求，如果发现异常 IP 频繁连接，应立即关闭共享。
⚠️ 重要提示：以上措施均为经验性建议，Clash Verge 本身不提供强制访问控制。若需更严格的认证，可考虑在主机上运行专用代理软件（如 Squid、Shadowsocks）并配合 ACL 使用。
故障排查
配置后其他设备无法连接代理时，可按以下顺序排查：
现象一：设备无法访问外网
可能原因与验证方法：
- 主机防火墙拦截：在主机上使用 `telnet <主机IP> <端口>` 或 `nc -zv <主机IP> <端口>` 测试端口是否可达。若超时，说明防火墙或路由规则阻止了入站连接。Windows 需在防火墙中放行 Clash Verge 进程或端口；macOS 需在系统偏好设置中允许；Linux 需检查 iptables 或 ufw 规则。
- Clash Verge 未正确绑定 0.0.0.0：在主机上运行 `netstat -an | grep 7890`（Windows 用 `netstat -ano | findstr 7890`），查看端口是否监听在 `0.0.0.0` 而非 `127.0.0.1`。如果只有 `127.0.0.1`，说明「允许局域网连接」未真正生效，请重启 Clash Verge 或重新开启开关。
- IP 地址错误：确认主机 IP 地址是否与当前网络环境一致（尤其是连接了 privacy tool 或切换了网络）。
- 设备代理设置错误：检查设备上输入的 IP 和端口是否与主机一致，注意 HTTP 代理不要误填为 SOCKS5 端口。
现象二：部分应用无法代理
有些应用（如游戏、即时通讯软件）可能使用 UDP 或 QUIC 协议，而 HTTP 代理仅支持 TCP。此时需要配置 SOCKS5 代理，并确保 Clash 内核支持 UDP 转发。在 Clash Verge 的「设置」-「混合端口」中开启 UDP 转发（部分版本默认开启）。若设备不支持 SOCKS5，则只能为这些应用单独配置直连或其他方案。
适用与不适用场景清单
为了帮助读者快速判断是否应该采用局域网共享代理，列出以下场景清单：
✅ 适用场景
- 家庭局域网：一台 PC 作为代理服务器，家中手机、平板、电视、游戏机统一跨境网络访问。
- 小型办公室（少于20人）：同事间共享一个代理出口，减少重复配置。
- 实验室开发环境：多个测试设备需要访问海外资源，可临时共享。
- 临时设备接入：朋友来访时，无需为他的设备安装客户端。
❌ 不适用场景
- 公共 Wi-Fi 或开放网络：无认证机制，极易被滥用。
- 需要严格访问控制的场景：如校园网、酒店网络，建议使用带有认证的代理方案。
- 大量设备并发（超过30台）：Clash 单内核性能有限，同时连接数过高可能导致内存溢出或延迟增加。经验性观察表明，当活跃连接数超过 2000 时，延迟会明显上升。
- 需要 UDP 转发的场景（如游戏加速）：虽然 Clash 支持 UDP，但局域网共享时 UDP 转发稳定性取决于网络环境，不如本地客户端稳定。
- 需要日志审计或流量统计：Clash Verge 的日志功能有限，无法记录每个设备的流量明细。
最佳实践清单
根据以上分析，总结出一份可快速落地的操作清单：
- 确认网络环境：仅在家庭或受控企业网络中使用。
- 配置 Clash Verge：开启「允许局域网」，并记下主机 IP 和端口。
- 测试连通性：用另一台设备连接代理，验证访问正常。
- 加固安全：在主机防火墙中限制仅允许特定 IP 段访问代理端口。
- 按需关闭端口：视情况关闭 SOCKS5 端口，减少暴露面。
- 定期检查日志：留意异常连接，及时关闭共享。
- 备份配置：导出 Clash Verge 的配置文件（YAML），以便快速恢复。
- 考虑替代方案：若需要认证或更高级功能，可考虑使用 Squid 等专业代理软件。
常见问题（FAQ）
Q1: 开启局域网共享后，主机本身还能正常上网吗？
可以。主机的代理配置不受影响，Clash Verge 会同时处理本机和其他设备的代理请求。但要注意，如果主机同时使用代理，其他设备的流量同样经过主机，会占用主机的网络带宽和 CPU 资源。
Q2: 为什么其他设备配置后无法连接，但主机上测试端口是通的？
常见原因是设备上的代理设置错误。例如，误将 HTTP 代理端口填为 SOCKS5 端口，或填错了 IP 地址。另外，某些设备（如 iOS 部分版本）要求代理服务器地址必须为纯数字 IP，不能是域名。请检查设备上的代理配置。
Q3: 开启局域网共享会影响代理速度吗？
会。所有设备共享主机的代理出口和带宽，连接数增多后，延迟和吞吐量都会受到一定影响。经验性观察表明，在家庭网络（100Mbps）下，同时连接 5 台设备浏览网页，延迟增加约 10-30ms，下载速度可能下降 20%-30%。如果对速度要求较高，建议限制同时连接数或升级主机带宽。
Q4: 如何判断局域网共享是否生效？
在主机上运行 `netstat -an | grep 7890`（Windows 用 `netstat -ano | findstr 7890`），如果看到监听地址为 `0.0.0.0:7890` 或 `*:7890`，即表示生效。另外，用其他设备连接后，在 Clash Verge 的日志面板中可以看到来自该设备 IP 的请求记录。
Q5: 能否让局域网共享只对部分设备生效？
Clash Verge 本身不提供设备白名单功能。但可以通过主机防火墙实现：只允许指定 IP 或 MAC 地址访问代理端口。例如在 Windows 防火墙中添加入站规则，允许特定 IP 段（如 192.168.1.50-192.168.1.100）访问 7890 端口，其他 IP 拒绝。这样即可实现部分设备共享。
结语
Clash Verge 设置代理端口实现局域网共享是一项实用且免费的扩展功能，无需额外硬件，一台主机即可让整个局域网享受到代理便利。但务必牢记安全边界：开启前评估网络环境，开启后做好防火墙隔离。如果你只是临时使用，可用完后立即关闭「允许局域网」开关，避免长期暴露。
下一步，你可以尝试为不同设备配置不同的代理规则（例如通过 Clash 的规则集实现分流），或者结合 Docker 部署 Clash 作为独立网关服务器。但这些都是更进阶的话题了。先动手配置起来，让局域网共享代理真正为你所用吧。
