共享 Windows 代理给一台可信局域网设备，可用带认证的 sing-box 监听主机私有地址。本文采用 Windows 11 x64、sing-box v1.14.2，以及另一台 Windows 11 上的 Firefox。这里只设置显式浏览器代理，检查项供读者执行，不是已完成的作者设备实验。

关键要点

绑定一个私有 IPv4，只放行一个客户端来源。

用户名和密码限制代理使用，不等于加密局域网链路。

客户端浏览器须明确设置，其他应用仍按自身配置联网。

共享结束后停止监听，恢复客户端设置。

共享 Windows 代理到底覆盖什么？

客户端浏览器请求 sing-box 建立连接，Windows 并没有因此成为 ICS 网关或透明路由器。先按自建维护责任指南确定谁管理监听、密码、更新和停止。

需要系统范围捕获时，先比较 TUN 与显式系统代理的范围；一项代理设置不能保证全部应用经过它。热点 VPN 覆盖检查也说明了共享联网不自动共享 VPN 路由。

本文上游基线为 direct：主机经既有路由直接建立目标连接。它演示带认证的代理共享，不代表出口改变。已有授权代理上游只能在另行核对协议、认证、路由及失败行为后接入；不在此导入远程订阅。

Windows 局域网代理共享需要准备什么？

使用两台受控设备和可信私有局域网。示例主机 192.168.50.10、客户端 192.168.50.20、TCP 2080，实际地址须全文替换。优先用 DHCP 地址保留，避免租约变化后规则误指其他设备。

记录主机网络配置文件、地址、防火墙规则和两个浏览器的连接设置。客户端原设置包括受管理 PAC URL，应私下保存；如浏览器或防火墙受组织管理，应请管理员提供配置，不覆盖策略。

只使用合理属于 Private 的网络，不为使规则生效而把公共热点改成私有网络。Wi-Fi 客户端隔离阻止互访时，停止或换获准私网，不关闭场所控制。

先按设备排障基线区分原有网络故障与代理配置问题。

步骤 1：安装官方包并保护配置

从官方 v1.14.2 下载 Windows amd64 包，解压程序到 C:\LANProxy。Windows 和工具更新由设备所有者维护；本文是手动会话，不建立自动后台服务。［1］

用普通账户建立 config.json，文件只允许该账户、SYSTEM、Administrators 读取。密码不放共享文件夹、书签、截图或仓库。增加防火墙规则需要管理员权限，高端口代理本身用普通账户运行。

把下面密码替换为密码管理器生成的唯一值，并在全文替换实际地址。配置中的主机地址须与防火墙一致。mixed 接受支持的 SOCKS／HTTP 协议；users 必须非空，空列表会允许无认证访问。［2］

{
  "log": {"level": "info", "timestamp": true},
  "inbounds": [{
    "type": "mixed", "tag": "trusted-lan",
    "listen": "192.168.50.10", "listen_port": 2080,
    "users": [{"username": "lan-reader", "password": "REPLACE_WITH_UNIQUE_PASSWORD"}],
    "set_system_proxy": false
  }],
  "outbounds": [{"type": "direct", "tag": "direct"}],
  "route": {"final": "direct"}
}

set_system_proxy: false 保留主机原系统代理。不新增 TUN、路由、透明捕获或 UDP 共享。唯一 outbound 是 direct；日后换上游，需要重新收集证据。

步骤 2：只允许可信客户端来源

先检查 Windows 防火墙活动配置文件与入站策略，保持开启和默认阻断未请求入站。检查 sing-box、2080 的既有规则，包括安装器留下的规则；宽泛允许会破坏单客户端限制，窄规则不会取消它。［3］

仅在管理员 PowerShell 添加自有规则：

New-NetFirewallRule -Name 'SingBox-LAN-Lab' -DisplayName 'Sing-box one-client LAN lab' -Direction Inbound -Action Allow -Protocol TCP -LocalAddress 192.168.50.10 -LocalPort 2080 -RemoteAddress 192.168.50.20 -Program 'C:\LANProxy\sing-box.exe' -Profile Private

随后若弹出允许所有公共网络的应用提示，应拒绝。路由器不映射此端口。来源限制有用，但不能在所有局域网攻击场景中证明设备身份，仍须密码。

示例没有 IPv6 监听，不为方便添加 ::、0.0.0.0、整个子网来源或无限制第二条规则。接口地址变化时先停止，确认新的可信网络，再同步修改配置和规则。

步骤 3：启动 sing-box 并设置一个 Firefox

在普通 PowerShell 按顺序执行；check 只证明配置解析，不证明防火墙、浏览器路径或错误密码拒绝。

cd C:\LANProxy
.\sing-box.exe version
.\sing-box.exe check -c .\config.json
.\sing-box.exe run -c .\config.json

保持前台进程可见，在另一个窗口检查：

Get-NetConnectionProfile
Get-NetIPAddress -AddressFamily IPv4
Get-NetTCPConnection -State Listen -LocalPort 2080 | Select-Object LocalAddress,LocalPort,OwningProcess
Get-NetFirewallRule -Name 'SingBox-LAN-Lab' | Get-NetFirewallAddressFilter

监听应为指定私有 IPv4，不能是通配地址或意外 IPv6。将 PID 对应到本次 sing-box。其他进程占用端口时，选空闲高端口并改全套引用，不结束无关进程。

客户端 Firefox：设置 → 常规 → 网络设置 → 设置 → 手动配置代理；HTTP 填 192.168.50.10、2080，勾选 HTTPS 使用相同代理。若版本单列 HTTPS 字段，填相同地址端口；不配置 SOCKS、自动配置。Mozilla 文档说明了这些选择。［4］

保存后开新隐私浏览会话，访问获准 HTTPS 站点，提示时输入 lan-reader 和新密码。不装新 CA、不忽略证书警告，此中继不需要解密 TLS。“HTTPS 代理”字段指 HTTPS 请求经 HTTP 代理 CONNECT，不代表浏览器到代理段加密。

如何验证 sing-box 代理认证和覆盖范围？

凭据测试之间新建会话或重启 Firefox，避免缓存密码、已建立连接掩盖失败。密码不写命令行 URL；临时日志私下保存，结束后撤销凭据。

读者检查	预期结果	能证明什么
允许客户端用正确凭据	新 HTTPS 请求成功，与代理活动对应	该浏览器请求走可用代理路径
取消认证或错误密码	请求失败或再次认证	此请求不能匿名转发
另一台获授权实验设备请求	有效代理转发前被阻断	正确密码也不能越过来源限制
保留 Firefox 设置，停止 sing-box	新的非例外 HTTPS 请求失败	浏览器依赖该显式监听
另一个未设代理的应用	原联网行为保留	浏览器设置不证明全应用捕获

没有第二来源设备时，如实标注防火墙运行态拒绝未测；查看规则不能替代它。每次拒绝测试后恢复正确凭据和新会话，缓存页面不算新请求。

可比较设置前后的本次请求出口 IP。direct 上游可能让出口相同，既不能证明也不能否定代理使用；应结合监听活动和停监听失败检查。主机已有 VPN 也可能影响出口，本文不改它。

代理绕过列表、本地目标、浏览器 DNS 和已有加密 DNS 策略需分别关注。一张 HTTPS 页面不证明 DNS、UDP、IPv6 或全应用覆盖。先选非例外目标，记录浏览器实际设置。

休眠后如何恢复，结束时怎样撤销？

休眠、重启或换网后重新查主机地址、Private 配置文件、客户端地址、监听所有者及认证。手动进程不保证重启后自动运行。切到 Public 时，Private 专用规则应停止放行，不为恢复共享而扩大到不可信网络。

故障时区分Windows 系统代理字段与浏览器独立设置。若 LAN 来自 Windows 移动热点，先解决热点基础连接故障；这是前提排障，不是在这里启用 ICS。

结束时在本进程前台窗口 Ctrl+C，确认监听消失，保留代理设置发新请求确认失败。恢复记录的 Firefox 连接设置并清除临时代理凭据。管理员 PowerShell 只执行 Remove-NetFirewallRule -Name 'SingBox-LAN-Lab'，再查看规则列表。

不再需要时删除私有配置与会话日志，只保留无凭据模板。升级前保存旧可信包和私有配置，替换版本先验证再开放规则，重复认证、来源拒绝和停止检查。改用 Android 分享端时，按Every Proxy 热点操作步骤，不移植 Windows 防火墙命令。

总结

单客户端防火墙和代理认证同时保留。
浏览器成功仅是该请求的证据。
睡眠、重启后重新核对地址和网络分类。
停止监听、恢复客户端并移除自有规则。

常见问题

mixed 会加密局域网流量吗？

监听本身不建立浏览器到代理的加密链路。目标 HTTPS 保护自身载荷，HTTP 代理认证不是局域网加密。

为什么公网 IP 没变？

direct 可能使用客户端原本相同的互联网出口；应靠认证和停监听失败测试确认代理依赖，而不是只看 IP。

其他应用会自动使用吗？

只有遵循相应代理设置的应用才会使用；Firefox 专属设置不配置其他浏览器、游戏或 Windows 更新服务。

可以允许整个私有子网吗？

本文只授权一个客户端当前来源。扩到子网会改变访问边界，需要单独决定和验证，不能当作便捷替换。

Firefox 为什么不询问密码？

检查缓存凭据、已建立连接、用户列表和绕过规则；新会话及错误密码测试，比没有提示本身更有证明力。

这会共享已有 VPN 吗？

本文不建立该结论。代理使用主机可用上游，和已有 VPN 的交互须单独验证，不能默认捕获所有流量。

客户端断开后能继续监听吗？

进程运行时可以保持可用，但本实验默认按会话共享；可信客户端不再需要时，停止进程并撤销临时访问。

免责声明：仅管理获授权设备和网络。本文依据官方资料编写，未在 Windows 局域网完成端到端自测。

来源:

Sources checked 2026 年 10 月 11 日。

延伸阅读:

共享 Windows 代理给局域网设备：认证、范围与撤销