浏览器扩展代理 vs 系统代理／TUN：仅浏览器生效、叠用冲突怎么拆｜2026专题（牛来）
更新日期：2026-10-29
别把订阅链接、token 或入口地址发给别人。节点名、菜单以 牛来门户 与本机客户端为准。
延迟、丢包、网站能不能用、有没有泄漏，都要自己测过才算数，文中一律标 【待实测】。
这篇只讲浏览器扩展这一层：为什么「Chrome 通了、微信／游戏／命令行不通」，以及扩展和 Clash 系同时开时怎么拆。整台电脑由谁接管流量，看《系统代理 vs TUN》。
〇、30 秒结论
| 你看到的现象 | 先怀疑哪一层 |
|---|---|
| 只有浏览器能上外网，桌面 App／终端全直连 | 扩展代理：只劫持了浏览器，系统代理／TUN 没开或没生效 |
| 浏览器异常慢、IP 检测站和业务站结论打架 | 双代理／叠用：扩展又指了一次本地端口，请求被套了两层或指错端口 |
| 关了 Clash 浏览器却还在走怪代理 | 扩展残留：SwitchyOmega／同类扩展仍指向旧 SOCKS／HTTP |
| 开了 TUN，扩展再开「系统代理」情景 | 层级打架：TUN 已吸入整机，扩展再改浏览器代理，优先级因浏览器而异 |
| 无痕窗口通、普通窗口不通（或反过来） | 扩展未进无痕／配置档案不一致，不是牛来节点「坏了」 |
各档在线设备数：Lite 6／Plus 7／Pro 8／Max 9（以面板为准）。线路：独立中转入口 + VLESS + Reality，地区有港6、澳、日3、新3、台2、美3、德、英（以面板为准）；支付宝／微信，无 USDT；优惠码可试 niulai7（折扣以结算页为准）。下载：download.niulaijichang.top；永久域：牛来机场.com。
一、这几篇怎么分工（避免看错篇）
| 文章 | 它讲什么 | 本篇不讲 |
|---|---|---|
| 系统代理 vs TUN | 系统级「系统代理」与虚拟网卡／TUN 怎么选、怎么切 | TUN 驱动／权限 |
| TUN 模式入门 | 虚拟网卡怎么开、常见权限弹窗 | 安装步骤 |
| 假墙／半墙自查 | 部分站通部分不通的 DNS／分流／缓存错觉 | 那套五分钟对照实验 |
| DNS／WebRTC 泄漏 | 解析与浏览器实时通道是否漏 | 只提醒一句「先关扩展再测」 |
| 本篇 | 浏览器扩展代理这一层：覆盖范围、与 Clash 叠用、关闭顺序 | 怎么写扩展、推荐哪家扩展 |
口诀：整机覆盖看系统代理／TUN；「只有网页行」先查扩展；「网页反而怪」先排除叠用。
二、三层代理地图（从外到内）
把流量想成三层开关，比纠结菜单名更有用：
- 扩展层（Browser Extension Proxy）
装在 Chrome／Edge／Firefox 等里的代理扩展（常见如 Proxy SwitchyOmega 及同类）。它通过浏览器提供的代理 API，只改「这个浏览器进程」怎么出站。微信、Steam、curl、系统更新、其它浏览器（没装同一扩展的）一律不管。 - 系统代理层（System Proxy）
操作系统维护的 HTTP／SOCKS 代理。Clash Verge／Clash Meta 系一点「系统代理」，通常是改这里，并指向客户端本地混合端口。认系统代理的程序会跟着走；不认的仍直连。详见《系统代理 vs TUN》。 - 虚拟网卡／TUN 层
客户端挂虚拟网卡，在更底层吸入流量。覆盖面通常最大，也最容易和公司 VPN、其它虚拟网卡打架。
牛来是 独立中转入口 + VLESS + Reality 的面板机场：节点与套餐在面板，客户端负责「怎么把流量送进隧道」。扩展层再花哨，也变不成整机代理；反过来，TUN 已经吸入时，再让扩展指一个错误本地端口，只会制造「双代理」体感。
三、扩展层能做什么／不能做什么
适合用扩展的场景
- 你只能／只想让某一个浏览器走代理，办公软件必须直连。
- 公司电脑不许装虚拟网卡，但允许装浏览器扩展（仍要遵守公司政策）。
- 需要在浏览器里快速切换情景（直连／代理／按域名列表）——这是扩展的老本行。
- 临时验证「某个网站在某某本地端口下能不能开」，当作调试工具。
扩展做不到的事（别指望）
- 让 非浏览器 App 走牛来节点。
- 替代客户端里的 规则集／策略组（扩展有自己的名单，和 Clash 规则不是同一份）。
- 自动继承你在 Clash 里刚更新的订阅节点列表——扩展通常只认「主机:端口」，不认机场订阅本身。
- 保证 WebRTC／安全 DNS／QUIC 行为与系统代理一致；扩展代理打开后，仍建议按《DNS 泄漏怎么查》和《WebRTC 泄漏怎么查》做冒烟，结论 【待实测】。
本篇不点名「必须装哪一款扩展」，也不提供扩展配置导出文件。你本机已有的扩展，以该扩展自己的情景模式说明为准。
四、叠用冲突：最常见的三种「看起来开了代理」
冲突 A：扩展 → 本地 Clash 端口，同时 Clash 又开了系统代理
浏览器请求先被扩展送到 127.0.0.1:混合端口，同时系统代理也可能指向同一端口。多数情况下「碰巧能用」，但一旦你：
- 换了客户端端口、
- 关了允许局域网连接、
- 或扩展情景写成了错误端口／SOCKS 与 HTTP 搞反，
就会出现「Clash 托盘显示已连，浏览器却超时／证书告警」。排障时先只留一层。
冲突 B：扩展开着「代理情景」，Clash 已改用 TUN
TUN 已在系统层吸入；扩展再把浏览器指到某个代理，可能变成：
- 浏览器流量被扩展送到本地端口，再进内核（多一跳，体感变慢）；或
- 扩展指向一个已关闭的旧端口，浏览器独挂、其它 App 在 TUN 下正常——典型「只有 Chrome 挂了」。
冲突 C：扩展残留 + 客户端已退出
客户端退了，本地端口没了，扩展还在强制代理 → 全站打不开。用户以为「机场挂了」，其实是扩展还在指挥浏览器去一个不存在的门牌。
五、推荐开关顺序（排查用，不是教你日常必须）
当你怀疑「扩展和 Clash 打架」时，按这个顺序做一次（每步只改一件事）：
- 浏览器扩展设为「系统代理／直接连接／关闭代理」情景（名称因扩展而异：有的叫 direct，有的叫 system）。目的：让扩展别再改写。
- 确认 Clash／同类客户端里：系统代理、TUN 各自是开还是关——先只开一种。
- 新开一个普通窗口（必要时无痕；注意无痕是否启用了同一扩展）。
- 做两个冒烟：打开面板 dash.niulaijichang.top（证明浏览器能出门）＋打开一个你平时用的外站。速度和网站能不能用 【待实测】。
- 再测一个非浏览器 App（例如系统浏览器以外的客户端、或终端
curl若你熟悉）。若浏览器通、App 不通 → 回到《系统代理 vs TUN》，而不是继续拧扩展。 - 需要回滚时：扩展 → direct／关，再 关 TUN，再 取消系统代理，最后检查系统设置里有无残留手动代理。
日常若你主要用 Clash 系：更稳的习惯是 扩展保持「使用系统代理／不接管」，让系统代理或 TUN 当唯一指挥；扩展只在「临时调试」时打开独立情景。
六、翻车对照表
| 现象 | 更可能原因 | 建议动作 |
|---|---|---|
| 仅 Chrome／Edge 能上外网 | 只开了扩展代理 | 要整机覆盖 → 系统代理或 TUN；要保持仅浏览器 → 接受现状并关掉对 App 的预期 |
| 托盘已连，唯独浏览器超时 | 扩展指错端口／指到已关端口 | 扩展改 direct／system；核对客户端本地端口 |
| 开 TUN 后浏览器反而更慢 | 扩展仍在套一层本地代理 | 扩展改直连或「跟系统」；只留 TUN |
| 关客户端后浏览器全挂 | 扩展残留 | 扩展切直连；清系统手动代理 |
| 无痕正常、普通窗口异常 | 扩展只在其中一个配置生效 | 检查「在无痕中允许」与情景是否一致 |
| IP 检测站显示海外，业务站像直连 | 扩展按域名列表分流 ≠ Clash 规则 | 别混两套名单；统一到一层再测 |
| 两个浏览器一个通一个不通 | 只给其中一个装了扩展／情景不同 | 对齐扩展状态，或都交给系统代理 |
| 和公司 PAC／组策略冲突 | 企业策略覆盖扩展 | 先问 IT；本机强改可能违规 |
七、五分钟验收清单（本地可复制）
- [ ] 我能说清：当前是「仅扩展」「仅系统代理」「仅 TUN」还是「叠用」
- [ ] 扩展情景已确认：调试时独立代理；日常建议跟系统／直连
- [ ] Clash／同类：系统代理与 TUN 不同时乱开；叠用前先单层验证
- [ ] 关客户端后，浏览器不会因为扩展残留而全挂
- [ ] 「浏览器通、App 不通」时，我不会只在扩展里猛切节点
- [ ] 没做的延迟、能不能用、泄漏测试保持 【待实测】，不随口说「秒开」
八、和牛来面板的配合要点
- 面板能打开 ≠ 扩展配置正确。 面板是普通 HTTPS；你的浏览器即便直连也可能能开（视网络环境而定）。要用「外站冒烟 + 非浏览器对照」证明路径。
- 订阅导入发生在客户端，不在扩展里。 扩展一般只填
127.0.0.1与端口；节点列表、中转入口、VLESS+Reality 参数都在客户端／面板侧。 - 换节点前先固定层级。 晚高峰体感差时，先排除扩展叠用与 DNS，再在同区域节点间换（港／日／新／台／美／欧）。具体延迟 【待实测】。
- 多设备：手机浏览器扩展生态与桌面不同；iOS／Android 更常见整机 VPN／客户端，而不是桌面那种 SwitchyOmega 工作流。各端导入见《客户端下载与导入教程》。
- 优惠与套餐以面板为准；可试
niulai7（约 7 折），能不能叠加、是否限首购以结算页为准。
九、FAQ
Q：已经开了 Clash 系统代理，还要装代理扩展吗？
A：多数日常场景 不需要。扩展适合「只代理浏览器」或临时调试。两套一起开，排障成本明显高于收益。
Q：扩展里填系统代理和填 127.0.0.1 端口有什么区别？
A：「跟系统」是让浏览器去读 OS 代理；填本地端口是扩展自己指定出站。后者在客户端改端口后更容易忘更新。
Q：为什么 TUN 开着，扩展还显示「已连接」？
A：扩展只知道自己的情景状态，不知道 TUN。以客户端流量统计／连接日志为准，别被扩展图标骗了。结论细节 【待实测】。
Q：只用扩展、不装 Clash 行不行？
A：扩展不能替代机场客户端去消化订阅与协议。没有本地内核听端口，扩展「代理情景」就无处可指（除非你指到别的远程代理——那已超出本篇牛来客户端用法）。
Q：会不会提供订阅链接或扩展配置分享？
A：不会。请只在面板登录后复制订阅／导入到自己的客户端；扩展情景自行管理。
Q：和「规则模式／全局模式」什么关系？
A：那是客户端分流策略；扩展也可以有自己的名单。两套名单同时生效时，以你实际抓到的路径为准——所以才强调先单层。
十、可以自己验证的项（【待实测】）
| 项目 | 状态 |
|---|---|
| Chrome + SwitchyOmega 类：仅扩展 vs 仅系统代理的外站冒烟 | 【待实测】 |
| 同节点下：扩展叠系统代理的延迟差 | 【待实测】 |
| TUN 开着时扩展改 direct 前后的浏览器体感 | 【待实测】 |
| 关客户端后扩展残留复现与清理 | 【待实测】 |
| Edge／Firefox 扩展与 Chrome 行为差 | 【待实测】 |
| 无痕窗口启用扩展与否的对照 | 【待实测】 |
| WebRTC／安全 DNS 在「仅扩展」下的泄漏结果 | 【待实测】 |
十一、相关阅读
- 系统代理 vs 虚拟网卡／TUN
- TUN 模式入门
- 假墙／半墙自查
- DNS 泄漏／WebRTC 泄漏自查
- 规则不生效排查／分流规则入门
- 各端导入：Windows Clash Verge／Mac ClashX Meta／Android FlClash／iOS Shadowrocket
十二、结语
浏览器扩展代理是一把「只打浏览器」的手术刀：精巧、好切换，也最容易和 Clash 系的系统代理／TUN 叠出幻觉。对牛来这种 独立中转入口 + VLESS+Reality 的面板机场，先保证客户端导入正确、本地端口稳定，再决定要不要让扩展插手——日常能单层就单层，叠用只留给有对照实验的调试。快慢和网站能不能用，等你自己测了再说 【待实测】。
面板入口：https://dash.niulaijichang.top/
优惠码可试：niulai7（折扣以结算页为准）