Windows 11 中，系统代理与 VPN 并非直接“冲突”的两套独立网络栈，树莓VPN而是通过不同的机制处理流量路由。系统代理（如 WinHTTP 或 WinINET 代理）通常工作在应用层或 HTTP/HTTPS 层面，负责指示特定应用程序将流量发往代理服务器；而 VPN（尤其是基于 OpenVPN、WireGuard 或原生 WFP 驱动的）通常工作在 IP 层或驱动层，接管非广播 IP 流量的路由。冲突往往表现为：部分应用绕过代理或 VPN，或代理设置干扰了 VPN 路由表的生效。排查关键在于区分“谁在决定流量去向”。
明确代理与 VPN 的作用层级
系统代理配置（通常在“设置 > 网络和 Internet > 代理”中）主要影响遵循 WinINET/WinHTTP 标准的客户端，如浏览器和许多桌面应用。它不直接修改全局路由表。VPN 连接建立后，尤其是 L2TP/IPsec 或 PPTP，会添加路由条目（如 0.0.0.0/0 指向 VPN 隧道接口），强制所有 IP 流量经过隧道。若同时启用系统代理，树莓VPN浏览器可能将流量发给本地代理服务器，若该代理服务器未绑定到 VPN 接口，流量仍会走物理网卡，导致部分流量未走 VPN。排查时，应检查是否所有应用都遵循代理设置，还是仅部分应用遵循。注意，WinHTTP 代理和 WinINET 代理配置域不同，不能假设修改一处就影响所有软件。
当系统代理与VPN路由表出现不一致时，区分流量决策层级是排查网络异常的关键。
场景一：浏览器流量未走 VPN
假设你使用原生 WFP 或 TAP 驱动的 VPN，且全局路由已生效（`route print` 显示 0.0.0.0/0 指向 VPN 接口），但浏览器访问 IP 直连资源时，发现出口 IP 仍是物理网卡 IP。这通常是因为浏览器开启了“使用代理服务器”设置，指向了某个非 VPN 环境的本地代理程序。此时，流量被代理程序接收，树莓代理程序若未配置为通过 VPN 接口发送数据，就会泄露流量。排查方法是：在浏览器中关闭代理设置（使用直接连接），再次测试出口 IP。若 IP 变为 VPN IP，则证明是代理设置导致流量绕过了 VPN 路由。对于使用系统代理的企业环境，需确认代理服务器本身是否位于 VPN 网络内部。
场景二：代理软件与 VPN 驱动互相干扰
某些第三方代理软件（如支持 SOCKS5 的系统级代理工具）可能注册为 WFP 调用驱动程序或修改 LSP 链，这与某些 VPN 客户端（如使用 TUN/TAP 模拟网卡或 WFP 驱动）存在资源竞争。若 VPN 连接后，代理软件显示“连接中断”或“无法获取本机 IP”，可能是因为代理软件未识别到新的默认网卡（VPN 接口），或其监听的端口被 VPN 驱动占用。此时，应观察代理软件的状态日志，确认其是否检测到网络接口变更。如果两者均依赖 WFP 驱动，冲突会更隐蔽，表现为随机丢包或连接重置。排查步骤：断开 VPN，确认代理软件恢复正常；再连接 VPN，立即查看代理软件是否能自动重新绑定到默认网关。若不能，需手动指定代理软件使用 VPN 接口，或在代理软件中禁用对默认网卡的自动检测。
仅用只读命令验证路由与代理状态
在动手修改前，优先使用只读命令确认现状。使用 `netstat -rn` 查看路由表，确认 VPN 连接后是否插入了正确的路由条目（注意检查 0.0.0.0/0 的下一跳地址是否为 VPN 接口 IP）。使用 `netsh winhttp show proxy` 查看系统级 WinHTTP 代理设置，树莓注意此命令显示的是服务级代理，与用户级 WinINET 代理可能不同。若怀疑 LSP 干扰，可运行 `netsh winsock show catalog` 查看是否存在异常的网络筛选器，但切勿直接重置 Winsock，因为 `netsh winsock reset` 仅重建 Winsock 目录，不会清除代理设置或修复 VPN 路由，且会断开所有网络连接，影响大。通过对比命令输出，可以定位是路由缺失、代理配置错误还是驱动层冲突。
