Sukka 写前端、网络和基础设施时，习惯先把边界和代价摊开。把「Ubuntu「一键」设置代理 | Sukka's Blog」整理成可落地的中文笔记：问题在哪、默认做法会踩什么坑、该怎么选。原站导航和广告已去掉。

问题从哪来

在 Windows 上使用全局代理亦或是透明代理真是太困难了。我之前在用 SSTap 实现全局代理；后来 Clash 和 Clash for Windows 出来以后就直接去用 Clash 了 界面漂亮才是第一生产力！ 我就直接把 难看的 SSTap 丢掉了。但是 Clash 只是一个代理程序，并不能提供全局代理的方案。 好在 Windows 上实现全局代理或者分应用代理还有一个常用的方案——Proxifier，我可以通过 Proxifier 把绝大部分应用的流量转发到 Clash 上面去，Windows 给 UWP 应用做的应用隔离则可以使用 Fiddler 的 WinConfig 工具解除掉。

但关键是 WSL。之前使用 SSTap 直接接管 Windows 除了 Windows 系统进程以外的网络层，当然也包括 WSL。Proxifier 并不能实现对 WSL 启用代理了，所以用 Proxifier 就得解决 WSL 也走代理的方法。

常见做法为什么不够

在 Google 上找遍了「Linux 全局代理」，相对最完美的方法是使用 Proxychains，但每个指令前面都要带个 proxychains 真的太不方便了；使用 iptables 的透明代理方案在 WSL 上面也并不适用（WSL 和 Windows 两者是相互依赖的、我不想在 Ubuntu 上设置 iptables 结果把宿主 Windows 炸掉）。 既然没有，那就干脆不要了！直接在终端配置 proxy，反正目前在 WSL 上使用的应用和环境并不多。

export ALL_PROXY = "socks5://127.0.0.1080" 这样 curl wget 是都走代理了，但是 git npm yarn 这些不知为何不跟随终端的环境变量设置。一种解决方案是分别设置：

更稳的做法

git config –global http.proxy "socks5://127.0.0.1080" git config –global https.proxy "socks5://127.0.0.1080" npm config set proxy "http://127.0.0.1090" npm config set https-proxy "http://127.0.0.1090" yarn config set proxy "http://127.0.0.1090" yarn config set https-proxy "http://127.0.0.1090" 但是苏卡卡发现了一个奇怪的解决方法，就是除了设置 ALL_RPOXY 以外再添加一个 all_proxy ：

export all_proxy = "socks5://127.0.0.1080" 这样不仅 git npm yarn 这些读取环境变量不支持大小写的辣鸡 ，其它绝大部分终端应用程序不走代理的问题就都解决了~

落地检查

不过包管理器 APT 就更麻烦了。如果需要设置 APT 走代理，需要修改 /etc/apt/apt.conf ：

echo -e "Acquire::http::Proxy \" http://127.0.0.1:1090 \" ;" | sudo tee -a /etc/apt/apt.conf > /dev/null echo -e "Acquire::https::Proxy \" http://127.0.0.1:1090 \" ;" | sudo tee -a /etc/apt/apt.conf > /dev/null 敲了好一会键盘以后苏卡卡想起了一个问题——如果要解除代理应该怎么办。。。

落地时建议先做的 5 件事

1. 用自己的流量和设备测，不要只抄厂商推荐最小配置。
2. DNS、CDN、代理分流先画清 Fake IP 和 Real IP 的边界。
3. 前端性能看 CLS、白屏和重复渲染，而不是只看打包体积。
4. 基础设施变更走 Git，能复现、能回滚。
5. 结论写成可检查的清单：接口、超时、失败样本、回滚版本。

和智能体产品怎么接

龙虾PRO做 OpenClaw 落地时，网络、DNS 和前端性能笔记最有用的是「边界」：哪一层该加速、哪一层不该假装智能。数字员工调用外部能力前，先把超时和失败路径写死。

本文侧重全链路风控方法论。落地时请用自身业务单据做回放验证，不要把示例阈值直接当生产策略。 相关：风控体检 · 方案资源