共用 Windows 代理予一部可信區域網絡裝置，可用設有認證的 sing-box 監聽主機私有地址。本文採用 Windows 11 x64、sing-box v1.14.2，以及另一部 Windows 11 的 Firefox。這是明確設定的瀏覽器代理，檢查項目供讀者執行，並非已完成的作者裝置實驗。

關鍵要點

綁定一個私有 IPv4，只容許一個客戶端來源。

用戶名稱和密碼限制代理使用，不等於加密區域網絡連線。

客戶端瀏覽器須自行設定，其他應用仍按原有方式連網。

共用結束後停止監聽，還原客戶端設定。

共用 Windows 代理實際涵蓋甚麼？

客戶端瀏覽器要求 sing-box 建立連線，Windows 並未成為 ICS 閘道或透明路由器。先按自建維護責任指引確認誰管理監聽、密碼、更新與停止。

如需系統範圍捕獲，先比較 TUN 與明確系統代理的範圍；單一代理設定不能保證所有應用經過它。熱點 VPN 覆蓋檢查亦說明共用連網不會自動共用 VPN 路由。

本文上游基線是 direct：主機經既有路由直接連接目標。示例展示有認證的代理共用，不代表更換出口。已有授權代理上游，須另行核對協議、認證、路由及故障行為才接入；這裏不匯入遠端訂閱。

Windows 區域網絡代理共用要準備甚麼？

使用兩部受控裝置和可信私有網絡。示例主機 192.168.50.10、客戶端 192.168.50.20、TCP 2080，須在全文換成實際地址。優先用 DHCP 地址保留，避免租約變更後規則錯指其他裝置。

記錄主機網絡設定檔、地址、防火牆規則和兩個瀏覽器的連線設定。私下保存客戶端原設定，包括受管理的 PAC URL；若瀏覽器或防火牆由機構管理，應請管理員提供設定，不覆蓋政策。

只使用合理屬於 Private 的網絡，不為使規則生效而把公共熱點改成私人網絡。Wi-Fi 客戶端隔離阻止互訪時，停止或改用獲准私網，不關閉場所管制。

先按裝置排障基線分辨原有網絡故障與代理設定問題。

步驟 1：安裝官方套件並保護設定

從官方 v1.14.2 下載 Windows amd64 套件，解壓程式至 C:\LANProxy。Windows 及工具更新由裝置擁有者負責；本文是手動工作階段，不建立自動背景服務。［1］

用一般帳戶建立 config.json，只容許該帳戶、SYSTEM 和 Administrators 讀取。密碼不放共用資料夾、書籤、截圖或儲存庫。新增防火牆規則需要管理員權限，高連接埠代理本身以一般帳戶執行。

把下面密碼換成密碼管理器產生的唯一值，並在全文換上真實地址。設定的主機地址須與防火牆一致。mixed 接受支援的 SOCKS／HTTP 協議；users 必須非空，空清單會容許未認證存取。［2］

{
  "log": {"level": "info", "timestamp": true},
  "inbounds": [{
    "type": "mixed", "tag": "trusted-lan",
    "listen": "192.168.50.10", "listen_port": 2080,
    "users": [{"username": "lan-reader", "password": "REPLACE_WITH_UNIQUE_PASSWORD"}],
    "set_system_proxy": false
  }],
  "outbounds": [{"type": "direct", "tag": "direct"}],
  "route": {"final": "direct"}
}

set_system_proxy: false 保留主機原有系統代理。不加入 TUN、路由更改、透明捕獲或 UDP 共用。唯一 outbound 是 direct；日後更換上游，須重新收集證據。

步驟 2：只容許可信客戶端來源

先檢查 Windows 防火牆活動設定檔及輸入政策，保持啟用，預設阻擋非請求的輸入連線。查看 sing-box、2080 的既有規則，包括安裝器留下的規則；寬泛容許會破壞單客戶端限制，窄規則不會取消它。［3］

只在管理員 PowerShell 新增自有規則：

New-NetFirewallRule -Name 'SingBox-LAN-Lab' -DisplayName 'Sing-box one-client LAN lab' -Direction Inbound -Action Allow -Protocol TCP -LocalAddress 192.168.50.10 -LocalPort 2080 -RemoteAddress 192.168.50.20 -Program 'C:\LANProxy\sing-box.exe' -Profile Private

之後如有容許所有公共網絡的提示，應拒絕。路由器不轉發此連接埠。來源限制有用，但不能在所有區域網絡攻擊情境證明裝置身份，仍要密碼。

示例沒有 IPv6 監聽，不為方便加入 ::、0.0.0.0、整個子網來源或無限制第二條規則。介面地址更改時先停止，確認新可信網絡，才同步改設定及規則。

步驟 3：啟動 sing-box 並設定一個 Firefox

在一般 PowerShell 依次執行；check 只證明設定解析，不證明防火牆、瀏覽器路徑或錯誤密碼拒絕。

cd C:\LANProxy
.\sing-box.exe version
.\sing-box.exe check -c .\config.json
.\sing-box.exe run -c .\config.json

保持前台程式可見，在另一個視窗檢查：

Get-NetConnectionProfile
Get-NetIPAddress -AddressFamily IPv4
Get-NetTCPConnection -State Listen -LocalPort 2080 | Select-Object LocalAddress,LocalPort,OwningProcess
Get-NetFirewallRule -Name 'SingBox-LAN-Lab' | Get-NetFirewallAddressFilter

監聽應是指定私有 IPv4，不可為萬用地址或意外 IPv6。將 PID 對應至本次 sing-box。如其他程式佔用連接埠，選空閒高連接埠並改全套引用，不結束無關程式。

客戶端 Firefox：設定 → 一般 → 網絡設定 → 設定 → 手動代理設定；HTTP 填 192.168.50.10、2080，勾選 HTTPS 使用同一代理。如版本另列 HTTPS 欄位，填相同地址及連接埠；不設 SOCKS 或自動設定。Mozilla 文件解釋了這些選項。［4］

儲存後開新私人瀏覽工作階段，請求獲准 HTTPS 網站，提示時輸入 lan-reader 及新密碼。不安裝新 CA、不忽略證書警告，此中繼毋須解密 TLS。「HTTPS 代理」欄位是指 HTTPS 請求經 HTTP 代理 CONNECT，不代表瀏覽器至代理一段已加密。

如何驗證 sing-box 代理認證及覆蓋範圍？

測試不同憑據時，另開工作階段或重新啟動 Firefox，避免快取密碼、既有連線掩蓋失敗。密碼不寫在命令列 URL；臨時日誌私下保存，結束後撤銷憑據。

讀者檢查	預期結果	可證明甚麼
獲准客戶端用正確憑據	新 HTTPS 請求成功，與代理活動對應	此瀏覽器請求經可用代理路徑
取消認證或錯誤密碼	請求失敗或再次認證	此請求不能匿名轉發
另一部獲授權實驗裝置請求	有效代理轉發前被阻擋	正確密碼亦不能越過來源限制
保留 Firefox 設定，停止 sing-box	新非例外 HTTPS 請求失敗	瀏覽器依賴此明確監聽
另一個未設代理的應用	原有連網行為保留	瀏覽器設定不證明全應用捕獲

沒有第二來源裝置時，如實標示防火牆運行拒絕未測；檢視規則不能代替它。每次拒絕測試後還原正確憑據及新工作階段，快取頁面不算新請求。

可比較設定前後的本次請求出口 IP。direct 上游可能令出口相同，既不證明也不否定代理使用；要結合監聽活動及停監聽失敗檢查。主機已有 VPN 亦可能影響出口，本文不改動它。

代理略過清單、本機目標、瀏覽器 DNS 及既有加密 DNS 政策須分別處理。單一 HTTPS 頁面不證明 DNS、UDP、IPv6 或全應用覆蓋。先選非例外目標，記錄實際瀏覽器設定。

睡眠後如何復原，結束時怎樣撤銷？

睡眠、重新開機或轉網後，重查主機地址、Private 設定檔、客戶端地址、監聽擁有者及認證。手動程式不保證重新開機後自動執行。轉到 Public 時，Private 專用規則應停止放行，不為恢復共用而擴至不可信網絡。

故障時分清Windows 系統代理欄位與瀏覽器獨立設定。如 LAN 來自 Windows 流動熱點，先解決熱點基本連線故障；這是前提排障，不是在此啟用 ICS。

結束時在此程式的前台視窗按 Ctrl+C，確認監聽消失，保留代理設定發新請求確認失敗。還原記錄的 Firefox 連線設定，清除臨時代理憑據。管理員 PowerShell 只執行 Remove-NetFirewallRule -Name 'SingBox-LAN-Lab'，再查看規則清單。

不再需要時刪除私有設定和工作階段日誌，只留無憑據範本。升級前保存舊可信套件及私有設定，先驗證新版本再開規則，重做認證、來源拒絕及停止檢查。如改用 Android 分享端，按Every Proxy 熱點操作步驟，不移植 Windows 防火牆指令。

總結

同時保留單客戶端防火牆和代理認證。
瀏覽器成功只證明該次請求。
睡眠或重新開機後重查地址及網絡分類。
停止監聽、還原客戶端、移除自有規則。

常見問題

mixed 會加密區域網絡流量嗎？

監聽本身不建立瀏覽器到代理的加密連線。目標 HTTPS 保護自身內容，HTTP 代理認證不是區域網絡加密。

為何公網 IP 沒有改變？

direct 可能使用客戶端原有的相同互聯網出口；應以認證及停監聽失敗測試確認代理依賴，不能只看 IP。

其他應用會自動使用嗎？

只有遵循相應代理設定的應用才會使用；Firefox 專用設定不會設定其他瀏覽器、遊戲或 Windows 更新服務。

可以容許整個私有子網嗎？

本文只授權一個客戶端現有來源。擴至子網會改變存取邊界，須另作決定及驗證，不能視為方便替代。

Firefox 為何沒有詢問密碼？

檢查快取憑據、既有連線、用戶清單及略過規則；新工作階段和錯誤密碼測試，比沒有提示本身更有證明力。

這會共用已有 VPN 嗎？

本文不確立這個結論。代理使用主機可用上游，與已有 VPN 的互動須獨立驗證，不能假設捕獲所有流量。

客戶端斷開後可繼續監聽嗎？

程式執行時可以保持可用，但本實驗預設按工作階段共用；可信客戶端不再需要時，停止程式並撤銷臨時存取。

免責聲明：只管理獲授權裝置及網絡。本文根據官方資料編寫，未在 Windows 區域網絡完成端到端自測。

來源:

Sources checked 2026 年 10 月 11 日。

延伸閱讀:

共用 Windows 代理予區域網絡裝置：認證、範圍與撤銷