在配置和使用 WESTDATA 网络订阅时，许多用户常遇到类似的问题：“明明客户端提示已成功连接，浏览器也可以正常打开网页，但系统里的某款独立应用、终端命令行或在线游戏却依然无法联网。”这种现象通常是由于对“系统代理”、“浏览器代理”与“应用独立代理”的层级关系缺乏了解所致。
一、系统代理（System Proxy）的作用边界
当您在 ClashParty、Shadowrocket 或其他客户端中开启“系统代理”开关时，客户端会在 Windows、macOS 或移动设备的操作系统设置中，将系统的 HTTP/HTTPS/SOCKS5 代理地址修改为本地监听端口（例如 127.0.0.1:7890）。
系统代理只能约束那些主动向操作系统查询并遵循系统代理设置的软件（如 Edge、Chrome 浏览器、各类原生系统应用）。但并不是所有软件都会遵照操作系统的系统代理规则，许多独立软件在底层连接时会绕过操作系统代理注册表。
二、浏览器代理插件与局域网代理
许多用户喜欢在 Chrome 或 Firefox 中安装 SwitchyOmega 等代理扩展插件。需要注意，浏览器插件的优先级通常高于操作系统自带的系统代理：
- 如果插件设置为“直连”，即使客户端开启了系统代理，浏览器页面依然会直接发包，不经过代理节点；
- 如果插件设置为“系统代理”，则交由操作系统的代理设置接管路由；
- 如果插件中硬编码了本地端口，则浏览器直接与客户端本地内核通信，绕过系统全局开关。
三、独立应用代理与 TUN 模式（虚拟网卡）
许多专业软件（如 Docker、Git 命令行、部分开发工具及在线游戏）在设计上完全忽略操作系统的系统代理设置。对于这部分应用，有两种主流解决方法：
- 应用内单独配置：在软件自身的网络设置中，手动填写 SOCKS5 代理地址（127.0.0.1）和对应端口。
- 开启 TUN 虚拟网卡模式：客户端通过创建虚拟网卡（TUN 接口），在操作系统网络层（Layer 3）接管设备的所有数据包。此时无需软件支持系统代理，所有网络流量均会被强制捕获并进行分流处理，能完美解决命令行与游戏代理问题。
四、规则分流与 DNS 污染防护机制
除了代理层级之外，规则分流（Rule-based Proxy）与 DNS 解析也是代理环境的重要组成部分。在代理开启状态下，客户端会拦截 DNS 请求并进行伪造 IP（Fake-IP）或远程 DNS 解析，从而有效防止 DNS 污染。了解这一原理有助于解释为何某些域名直连迅速而某些域名走代理传输。
五、常见环境冲突与排排查建议
在配置网络环境时，还应警惕杀毒软件防火墙、公司企业网安全策略或第三方 VPN 软件造成的端口占用冲突。如果在检查过程中遇到无法确定故障层级的情况，可以结合阅读我们的 网络连接故障排查方法，以及 ClashParty 策略组分流教程 进行全面诊断。