显式代理需要浏览器、应用或系统明确填写代理地址；透明代理则由网关、路由或网络策略把流量导向代理，客户端可能不知道中间存在代理。两者都能改变网络路径，但部署、认证和故障排查完全不同。
“透明”不代表匿名，也不代表看不到日志，它只是描述客户端是否显式配置。
一、核心差异
| 维度 | 显式代理 | 透明代理 |
|---|---|---|
| 客户端配置 | 明确设置主机、端口或PAC | 通常无需逐台设置 |
| 协议感知 | 客户端知道在与代理通信 | 由网络层导流或截获 |
| 认证 | 可使用407等代理认证 | 常依赖来源IP、设备或网络身份 |
| HTTPS | 常通过CONNECT隧道 | 仅转发或经批准的TLS检查 |
| 排障 | 可查客户端配置和代理响应 | 还要查路由、NAT和网关策略 |
二、透明代理如何接管流量
可能通过策略路由、NAT重定向、网关转发或服务网格等方式，把匹配流量送到代理。具体实现依赖操作系统、网络设备和协议，不能用一套命令概括。
部署前必须明确哪些网段、端口、用户和应用会被接管，以及哪些必须绕过。
三、HTTPS为什么更复杂
透明转发可以在不解密内容的情况下转送连接，但若要识别HTTPS内部请求，通常涉及TLS检查和向客户端提供替代证书。这需要明确授权、受管设备、可信根证书和隐私边界。
来源不明的证书不应安装。TLS与SNI排查见HTTPS代理证书错误指南。
四、显式代理的优点
- 客户端明确知道代理地址与协议；
- 易按应用或用户配置；
- 407认证和错误更容易观察；
- 适合只让部分业务使用代理；
- 变更范围相对可控。
缺点是需要客户端支持，并管理PAC、环境变量或应用配置。
五、透明代理的优点与风险
统一网关接管可以减少客户端配置，适合受管网络执行一致策略。但风险包括：
- 错误规则影响整个网段；
- 内部服务、支付或更新被意外代理；
- 客户端难以判断故障来自哪里；
- QUIC、UDP、IPv6和非HTTP协议可能旁路；
- 证书固定应用可能失败；
- 日志和隐私范围扩大。
六、DNS由谁处理
显式代理中，客户端可能本地解析或把域名交给代理；透明模式下，DNS可能仍走原解析路径，也可能由网关另行接管。仅改变HTTP流量不会自动改变DNS。
验证应分别检查解析服务器、A/AAAA结果和实际连接目标。
七、认证方式为何不同
显式HTTP代理可返回407挑战。透明接管时，客户端不一定知道如何响应代理认证，通常需要设备身份、网络准入、来源地址或受控门户。强行在透明路径加入不兼容认证会导致应用莫名失败。
八、如何选择
| 需求 | 倾向 |
|---|---|
| 单个应用独立出口 | 显式应用代理 |
| 开发工具按环境切换 | 显式代理/环境配置 |
| 企业受管网络统一策略 | 评估透明网关 |
| 需要精细用户认证 | 显式代理或集成身份网关 |
| 未经管理的个人设备 | 不宜强制复杂TLS检查 |
九、透明代理怎么验证
- 画出客户端、网关、代理和目标路径；
- 验证匹配流量经过代理；
- 验证例外流量按设计直连；
- 检查IPv4、IPv6、TCP、UDP和DNS；
- 测试证书固定、长连接和大文件；
- 模拟网关故障与旁路/阻断策略；
- 确认日志字段和隐私告知。
十、故障常见表现
- 网页能开，App因证书固定失败；
- IPv4被接管，IPv6仍直连；
- HTTP正常，QUIC回退或失败；
- 内部域名被送到外部代理；
- 网关故障导致整个网段断网；
- 客户端看不到407，只表现为超时。
IPv6旁路见双栈代理排查。
十一、回滚必须在网关外准备
透明代理配置一旦出错，可能同时影响管理终端。应准备带外管理、旧规则快照、定时恢复和灰度网段。具体流程见代理配置回滚与恢复演练。
十二、合规边界
企业接管员工流量需有明确制度、必要范围、访问控制和数据保留规则。不能因为技术上透明，就省略告知、授权和审计。选型目标是最小影响范围和可解释路径，不是让用户无法发现。
