Прокси Windows в LAN можно предоставить одному доверенному устройству через аутентифицированный sing-box, привязанный к частному адресу компьютера. Здесь используются Windows 11 x64, sing-box v1.14.2 и Firefox на отдельном клиенте Windows 11. Настраивается явный прокси браузера; проверки предназначены читателю, а не описывают выполненный автором эксперимент.

Ключевые выводы

Привяжите один частный IPv4 и разрешите адрес только одного клиента.

Логин и пароль ограничивают использование, но не шифруют соединение в LAN.

Браузер настраивается явно; остальные приложения сохраняют своё сетевое поведение.

Завершая сеанс, остановите слушатель и восстановите настройки клиента.

Что означает прокси Windows в LAN?

Браузер клиента просит sing-box открыть соединение. Компьютер Windows не превращается в шлюз ICS или прозрачный маршрутизатор. В руководстве по ответственности за собственную настройку определите владельца слушателя, пароля, обновлений и остановки.

Если нужен системный перехват, сначала сравните TUN и явный системный прокси. Одна настройка не обещает охват всех приложений. Проверки VPN при раздаче интернета объясняют, почему передача доступа к сети не равна передаче маршрута VPN.

Базовый исходящий маршрут здесь direct: компьютер открывает соединения через существующий маршрут. Пример показывает аутентифицированный доступ к прокси, а не смену публичного выхода. Уже разрешённый вышестоящий прокси можно добавить отдельно лишь после проверки протокола, аутентификации, маршрутизации и отказа. Копирование удалённой подписки не входит в процедуру.

Что требует доступ к прокси Windows по LAN?

Нужны два подконтрольных устройства в доверенной частной сети. Зарезервируйте 192.168.50.10 для компьютера, 192.168.50.20 для клиента и TCP 2080; замените адреса реальными во всех местах. Предпочтительны DHCP-резервирования: после смены аренды правило не должно неожиданно разрешать другое устройство.

Запишите профиль сети, адреса, правила брандмауэра и настройки соединений обоих браузеров. Сохраните исходный выбор клиента, включая управляемый PAC URL, в закрытом месте. Если браузером или брандмауэром управляет организация, запросите правильную настройку у администратора вместо обхода политики.

Используйте только сеть, обоснованно имеющую профиль Private. Не переименовывайте общедоступную точку доступа ради разрешающего правила. При изоляции Wi-Fi-клиентов остановитесь либо выберите разрешённую частную сеть; не отключайте защиту чужой площадки.

Базовая диагностика устройства помогает отличить прежний сетевой сбой от ошибки конфигурации прокси.

Шаг 1: Установите официальный пакет и защитите конфигурацию

Скачайте пакет Windows amd64 из официального выпуска v1.14.2, распакуйте программу в C:\LANProxy. Обновления Windows и пакета остаются ответственностью владельца устройства. Здесь запускается ручной сеанс, а не автоматически работающая фоновая служба.［1］

Создайте config.json от обычного пользователя. Ограничьте чтение этим пользователем, SYSTEM и Administrators. Не сохраняйте пароль в общей папке, закладке, снимке экрана или репозитории. Повышение прав требуется для правила брандмауэра, но прокси на высоком порте работает от обычного пользователя.

Ниже замените пароль уникальным значением из менеджера паролей и подставьте реальные адреса во всём руководстве. Адрес компьютера в конфигурации и правиле должен совпадать. Mixed принимает поддерживаемые SOCKS/HTTP-протоколы. Список пользователей обязан быть непустым: пустой список разрешает использование без аутентификации.［2］

{
  "log": {"level": "info", "timestamp": true},
  "inbounds": [{
    "type": "mixed", "tag": "trusted-lan",
    "listen": "192.168.50.10", "listen_port": 2080,
    "users": [{"username": "lan-reader", "password": "REPLACE_WITH_UNIQUE_PASSWORD"}],
    "set_system_proxy": false
  }],
  "outbounds": [{"type": "direct", "tag": "direct"}],
  "route": {"final": "direct"}
}

set_system_proxy: false сохраняет существующие системные настройки компьютера. Здесь нет TUN, изменения маршрутов, прозрачного захвата и обещания раздачи UDP. Настроен только direct; другой outbound потребует новых проверок, а не автоматического переноса прежних выводов.

Шаг 2: Ограничьте доступ адресом доверенного клиента

Сначала проверьте активный профиль и входящую политику Windows Firewall. Оставьте защиту включённой, непрошеные входящие соединения заблокированными. Найдите прежние правила для sing-box и порта 2080, включая созданные установщиком: широкое разрешение может отменить смысл узкого ограничения.［3］

В отдельном PowerShell администратора создайте только своё правило:

New-NetFirewallRule -Name 'SingBox-LAN-Lab' -DisplayName 'Sing-box one-client LAN lab' -Direction Inbound -Action Allow -Protocol TCP -LocalAddress 192.168.50.10 -LocalPort 2080 -RemoteAddress 192.168.50.20 -Program 'C:\LANProxy\sing-box.exe' -Profile Private

Отклоняйте дальнейшее предложение разрешить программу во всех общедоступных сетях. Не перенаправляйте этот порт на маршрутизаторе. Ограничение источника полезно, но пароль всё равно нужен: один IP не доказывает подлинность устройства против любого участника LAN.

Пример не содержит IPv6-слушателя. Не добавляйте ::, 0.0.0.0, всю подсеть источников или второе неограниченное правило ради удобства. Если адрес интерфейса меняется, остановите процесс, подтвердите новую доверенную сеть, затем согласованно измените настройку и правило.

Шаг 3: Запустите sing-box и настройте один Firefox

В обычном PowerShell выполните последовательность ниже. Успешный check подтверждает разбор конфигурации, но не брандмауэр, путь браузера или отказ при неверном пароле.

cd C:\LANProxy
.\sing-box.exe version
.\sing-box.exe check -c .\config.json
.\sing-box.exe run -c .\config.json

Оставьте процесс на переднем плане. В другом окне проверьте адрес и порт:

Get-NetConnectionProfile
Get-NetIPAddress -AddressFamily IPv4
Get-NetTCPConnection -State Listen -LocalPort 2080 | Select-Object LocalAddress,LocalPort,OwningProcess
Get-NetFirewallRule -Name 'SingBox-LAN-Lab' | Get-NetFirewallAddressFilter

Слушатель должен иметь заданный частный IPv4, не wildcard и не неожиданный IPv6. Сопоставьте PID с sing-box этого сеанса. Если порт занят другой программой, выберите свободный высокий порт и обновите все ссылки; не завершайте посторонние процессы.

На клиенте откройте Firefox: Настройки → Основные → Настройки сети → Настроить → Ручная настройка прокси. В поле HTTP укажите 192.168.50.10, порт 2080; включите использование того же прокси для HTTPS. Если версия показывает отдельные HTTPS-поля, повторите адрес и порт. SOCKS и автоматическую конфигурацию не используйте. Эти варианты описаны Mozilla.［4］

Сохраните выбор, откройте новый приватный сеанс и запросите разрешённый HTTPS-сайт. По запросу введите lan-reader и новый пароль. Не устанавливайте CA и не игнорируйте предупреждения сертификата: ретранслятор не требует расшифровки TLS. Поле HTTPS обозначает передачу HTTPS через CONNECT к HTTP-прокси, а не шифрование между браузером и прокси.

Как работает аутентификация прокси sing-box и что она охватывает?

Между попытками создавайте новый сеанс или перезапускайте Firefox, иначе сохранённые пароли и открытые соединения могут скрыть отказ. Не помещайте пароль в URL командной строки. Временные журналы храните закрыто; по завершении отзовите временные учётные данные.

Проверка читателя	Ожидаемый результат	Подтверждаемая граница
Правильные данные разрешённого клиента	Новый HTTPS-запрос работает, активность прокси совпадает	Этот запрос использует доступный путь прокси
Отмена ввода или неправильный пароль	Ошибка либо повторный запрос аутентификации	Для этого запроса нет анонимной пересылки
Другое разрешённое лабораторное устройство	Соединение блокируется до полезной пересылки	Ограничение источника действует даже с правильным паролем
sing-box остановлен, Firefox настроен прежним образом	Новый HTTPS-запрос вне исключений не работает	Браузер зависит от явного слушателя
Другое приложение без настройки прокси	Сохраняется его прежний маршрут	Настройка браузера не доказывает захват всех приложений

Если второго источника нет, отметьте реальную проверку отказа брандмауэра как невыполненную. Просмотр правила не равен такой проверке. После каждой отрицательной попытки восстановите правильные данные и новый сеанс; кэшированная страница не считается новым запросом.

Можно сравнить видимый выход данного запроса до и после настройки. С direct адрес нередко одинаков. Равенство не доказывает ни наличие, ни отсутствие прокси: сопоставляйте активность и отказ после остановки слушателя. Уже настроенный VPN компьютера тоже может влиять на выход; эта инструкция его не меняет.

Отдельного внимания требуют исключения прокси, локальные адреса, DNS браузера и управляемый шифрованный DNS. Одна страница не подтверждает DNS, UDP, IPv6 или полный охват приложений. Выберите цель вне исключений и запишите фактические настройки браузера.

Как восстановить работу после сна и удалить сеанс?

После сна, перезагрузки или смены сети заново проверьте адрес компьютера, профиль Private, адрес клиента, владельца слушателя и аутентификацию. Ручной процесс не обещает запуск после перезагрузки. При переходе в Public правило Private должно перестать разрешать раздачу; не расширяйте его для недоверенной сети.

При сбое разделяйте системные поля прокси Windows и независимую настройку Firefox. Если сама LAN организована мобильной точкой доступа Windows, сначала устраните её проблемы связи. Это проверка предпосылки, а не указание включить ICS.

Завершая сеанс, нажмите Ctrl+C в окне именно этого процесса, подтвердите исчезновение слушателя и отказ нового проксируемого запроса. Восстановите записанную настройку Firefox и очистите временные прокси-данные. В PowerShell администратора удалите только SingBox-LAN-Lab командой Remove-NetFirewallRule -Name 'SingBox-LAN-Lab', затем проверьте список правил.

Удалите закрытую конфигурацию и журналы, когда они больше не нужны; оставляйте лишь шаблон без действующих секретов. При обновлении сохраняйте прежний доверенный пакет и конфигурацию, проверяйте замену до открытия правила, повторяйте аутентификацию, отказ источнику и остановку. Если раздавать должен Android, используйте процедуру Every Proxy для точки доступа, а не переносите команды Windows.

Итоги

Совмещайте правило для одного клиента с обязательной аутентификацией.
Успешный запрос браузера подтверждает только этот запрос.
После сна и перезапуска проверяйте адрес и профиль заново.
По завершении остановите слушатель, восстановите клиент и удалите своё правило.

Часто задаваемые вопросы (FAQ)

Шифрует ли mixed трафик внутри LAN?

Сам слушатель не создаёт шифрованный канал до прокси. HTTPS защищает собственную полезную нагрузку, но аутентификация HTTP-прокси не шифрует LAN-соединение.

Почему публичный IP остался прежним?

Direct часто использует тот же выход в интернет, что уже был у клиента. Зависимость от прокси проверяйте аутентификацией и остановкой слушателя.

Будет ли другое приложение автоматически использовать прокси?

Только приложение, учитывающее соответствующую настройку, использует этот путь. Настройка Firefox не настраивает другой браузер, игру или службу обновления Windows.

Можно ли разрешить всю частную подсеть?

Здесь разрешается текущий адрес одного клиента. Расширение до подсети меняет границу доступа и требует отдельного решения и проверки.

Почему Firefox не запрашивает пароль?

Проверьте сохранённые данные, открытые соединения, список пользователей и обход прокси. Новый сеанс и неверный пароль дают больше информации, чем отсутствие запроса.

Раздаётся ли уже работающий VPN?

Эта процедура такого вывода не устанавливает. Прокси использует доступный маршрут компьютера; взаимодействие с VPN проверяется отдельно без предположения полного захвата.

Можно ли оставить слушатель после отключения клиента?

Пока процесс работает, он может оставаться доступным. Однако лабораторный режим здесь сеансовый: при отсутствии необходимости остановите его и удалите временный доступ.

Отказ от ответственности: Администрируйте только разрешённые устройства и сети. Эта инструкция по официальным источникам не прошла полное авторское испытание в Windows LAN.

Источники:

Sources checked 11 октября 2026 г.

Рекомендуемые статьи:

Прокси Windows в LAN: доступ одному доверенному устройству