微软系应用不走代理？教你几招强制流量走通道

前言

作为搞机党，日常最让人抓狂的瞬间之一，莫过于明明打开了自己的代理软件，全局模式也开启了，但微软系的应用——无论是 Windows 更新、Outlook、Microsoft Store，还是那个有时候突然抽风的 Copilot——依然慢得像蜗牛，或者直接报错连接失败。

很多朋友的第一反应是“翻车了”或者“代理挂了”，其实不然。这大概率是微软这几年的某些“骚操作”导致的。今天我们就来盘一盘，为什么会出现这种情况，以及我们该用什么姿势来强制这些应用乖乖走代理。

为什么微软应用“我行我素”？

这其实不是一个单纯的 Bug，而是一种逐渐演变的策略。在早期的 Windows 版本中，系统代理设置基本是通用的，只要你在“设置 -> 网络和 Internet -> 代理”里填好了地址，大部分应用都会乖乖听话。

但近年来，为了优化所谓的“网络性能”和“安全性”，微软在底层网络通信（NCSI - 网络连接状态指示器等机制）做了不少手脚。关键在于，很多微软核心服务开始默认绕过系统的代理设置，直接通过物理网卡进行连接。这导致如果你的网络环境本身不通，这些应用就会直接断连，而不管你开了多贵的节点。

此外，Windows 10/11 引入了“按流量计费的连接”检测机制，有时候系统会误判你的代理连接，从而限制某些后台流量。

解决方案一：检查网络重置与代理设置（基础版）

首先，我们要排除最简单的配置错误。

1. 检查系统代理是否被篡改：有时候安装某些软件会修改注册表代理设置。请前往 设置 -> 网络和 Internet -> 代理，确保“使用代理服务器”是开启的，并且地址和端口正确。
2. 关闭“自动检测设置”：在同一个页面下，建议将“自动检测设置”关闭。这个功能有时候会错误地通过 WPAD (Web Proxy Auto-Discovery Protocol) 识别到一个错误的代理脚本，导致分流混乱。

解决方案二：TAP 模式与 TUN 模式的抉择（进阶版）

如果你使用的是 Clash 系或者 sing-box 系的代理客户端，这个问题的根源往往在于代理的“模式”。

• 规则模式：这是默认的“黑/白名单”模式。很多微软应用的域名可能并不在你的规则列表中，或者规则被归类为了直连，导致流量直接走了物理网卡。
• 全局模式：理论上所有流量都走代理，但有些客户端在处理本地回环流量时可能有缺憾。

实操建议： 如果你用的是支持 TUN 虚拟网卡的客户端（例如 Clash Verge 的 TUN 模式，或者 sing-box 的 mixed-in），请务必开启 TUN 模式（透明代理）。TUN 模式会在系统层级创建一个虚拟网卡，接管系统的所有流量栈。这时候，即使是微软应用想绕过代理，发出的数据包也会被强制塞入虚拟网卡，从而被动地走代理通道。

开启 TUN 模式后，记得在客户端的“绕过”或“Sniffer”设置里，确认没有将微软的更新服务器地址（如 *.update.microsoft.com）加入直连列表。

解决方案三：命令行强制路由（硬核版）

如果上述方法都不奏效，或者你不想折腾透明代理，我们可以尝试通过修改路由表来强制微软的流量指向代理软件的端口。不过在客户端高度封装的今天，更推荐直接修改客户端配置文件。

假设你在用 Clash，你可以手动编写一条规则，将微软的常用 CIDR 段或域名全部指向代理节点。

在 config.yaml 中添加自定义规则：

rules:
  # 强制微软更新走代理
  - DOMAIN-SUFFIX,update.microsoft.com,PROXY
  - DOMAIN-SUFFIX,windowsupdate.com,PROXY
  - DOMAIN-SUFFIX,microsoft.com,PROXY
  - DOMAIN-KEYWORD,microsoft,PROXY
  # 强制 OneDrive 走代理
  - DOMAIN-SUFFIX,oneclient.sfx.ms,PROXY
  - DOMAIN-KEYWORD,onedrive,PROXY
  # 最后才是你的其它规则
  - MATCH,REJECT-DROP # 或者你的默认策略

保存并重启配置即可。这样做的好处是精准打击，不会拖慢国内访问的速度，但维护成本稍高，需要知道具体的域名。

解决方案四：终极手段——修改 Hosts 或防火墙

对于那些完全不理会系统代理、甚至不走常规 HTTP(S) 协议的顽固应用（比如某些通过 RPC 通信的组件），直接切断它的物理网络连接，逼它走代理也是一种思路。

1. 修改 Hosts 文件：将微软更新服务器的域名解析到一个假的 IP（如 0.0.0.0），这能阻止系统直连。但这会有副作用，可能导致系统检测更新失败报错，甚至某些依赖该服务的应用打不开。此方法慎用。
2. 防火墙阻断：在 Windows Defender 防火墙的高级设置中，创建出站规则，阻断 svchost.exe（Windows Update 服务依赖）对特定远程端口的直连访问。这招极为暴力，容易误伤，除非你是极客玩家，否则不建议尝试。

总结

微软应用不走代理，本质上是一场应用层与网络层控制权的博弈。对于大多数普通用户来说，直接开启代理客户端的 TUN（虚拟网卡）模式 是成本最低、效果最持久的方法。

如果 TUN 模式依然解决不了，那大概率是你的节点本身不支持 Udp 转发（很多游戏和更新协议使用 UDP），或者是 IPv6 的问题。记得在代理软件中开启 IPv6 防泄漏或 IPv6 代理支持，往往能药到病除。

搞定这些，不管是下载几百个 GB 的 VS 组件，还是同步几个 T 的 OneDrive 照片，都能飞起来了。