进程代理怎么只让一个软件走代理：三种做法、一条白名单规则和两步验证

只让一个软件走代理，有三条路，按侵入性从低到高排：软件自带的代理设置、浏览器的独立实例启动参数、进程代理工具的白名单规则。能用前两条就别上第三条——它们不往系统里装分流驱动，出问题也好回滚。只有当目标软件既没有代理选项、又不是浏览器时，才需要用进程代理工具在网络层做分流。

先说为什么不能图省事开系统代理

Windows 的「Internet 属性」和 macOS 的系统代理都是全局生效的。开了之后，即时通讯、网盘、各类客户端的后台更新都会往代理里钻：按流量计费的住宅套餐会被这些无关流量吃掉配额；国内办公和支付类软件突然从境外 IP 登录，也容易触发它们自己的异地风控。

反方向的问题同样常见——不少第三方客户端和走非 HTTP 协议的应用根本不读系统代理设置。你以为配好了，实际那个软件仍然在直连，而你看到的「已生效」只是浏览器的表现。所以无论用哪种方案，最后那步验证都不能省。

第一选择：翻一遍软件自己的网络设置

如果目标软件自带代理配置项，直接填进去是最干净的做法，不影响系统里的任何其他程序，重装工具、换网络环境都不用重新折腾。

常见的有这几类：Telegram 这类 IM 客户端在设置里有独立的代理页；Postman、各类 API 调试工具有 Proxy 配置；采集脚本更简单，requests、httpx、aiohttp 用 proxies 参数或环境变量，Playwright、Puppeteer 在启动参数里传 proxy 对象。脚本侧的具体写法可以参考住宅代理怎么接进 Python 采集脚本。

填的时候注意三件事：协议选对（HTTP 代理和 SOCKS5 的端口通常不是同一个）、认证信息填全（账密认证要带用户名密码，白名单认证则要先把本机公网 IP 加进白名单）、确认这个设置只作用于该软件而不是写进了系统。

浏览器：用独立实例 + 独立数据目录

Chromium 内核的浏览器（Chrome、Edge 等）不需要任何额外工具，用命令行参数就能开出一个「只有这个窗口走代理」的实例，主浏览器和系统其他网络完全不受影响。

"C:\Program Files\Google\Chrome\Application\chrome.exe" --proxy-server="socks5://代理地址:端口" --user-data-dir="D:\proxy-profile"

macOS 下同理：

/Applications/Google\ Chrome.app/Contents/MacOS/Google\ Chrome --proxy-server="socks5://代理地址:端口" --user-data-dir="$HOME/proxy-profile"

--user-data-dir 必须带上，指向一个新建的空目录。少了它，如果已有 Chrome 在运行，新命令只会把标签页丢给现有进程，代理参数直接被忽略——这是这条路最常见的失败原因。带上独立目录还有个附带好处：Cookie 和登录态与主浏览器分开，出口和浏览器配置文件是一一对应的。

有一个必须知道的限制：Chromium 不支持在 --proxy-server 里传 SOCKS5 的用户名密码。如果你的代理是账密认证，要么改用 HTTP 代理（首次访问时浏览器会弹认证框，输入后本实例有效），要么改用白名单认证或端口转发，拿到一个不需要凭据的入口地址再填进去。两种认证方式的取舍可以看代理IP账密认证和白名单认证怎么选。

另外，socks5:// 这个写法在 Chromium 里默认由代理侧做域名解析，不会在本地泄露 DNS 查询；写成 socks4:// 则是本地解析，别混用。

通用做法：进程代理工具的白名单规则

目标软件既没有代理设置、也不是浏览器（游戏客户端、模拟器、桌面端管理工具、老旧 ERP 之类），就用 Proxifier、Netch 或代理服务商客户端自带的进程代理功能。

核心逻辑一句话：默认全部直连，只把指定进程挑出来走代理。顺序是这样的：

先加代理服务器。在 Proxy Servers / 服务器列表里填地址、端口，协议按服务商给的选 HTTP(S) 或 SOCKS5，认证方式选账密并填入凭据。填完先用工具自带的 Check / 测试按钮确认能连通，再往下走。
把 Default 规则的动作改成 Direct。这条是关键。Proxifier 的 Default 规则删不掉，但可以把 Action 从代理改成 Direct。不改的话它会兜住所有进程，等于变相开了全局代理。
新建一条规则放在 Default 上面。Applications 里填目标程序的可执行文件名（target.exe）或完整路径，Action 指向第一步配好的那个代理节点。规则是自上而下匹配的，顺序不能反。
需要更细的控制时，同一条规则里还能限定目标端口或目标域名，比如只让该软件访问某个域名时走代理，其余直连。

进程代理规则顺序示意：目标程序规则在上走代理，Default 规则在下设为直连

找对那个真正发起连接的进程

这一步是失败率最高的地方。不少软件的启动器（Launcher）和实际通信进程是分开的：游戏、安卓模拟器、多开客户端尤其常见。只把主程序加进规则，真正产生流量的子进程照样直连，而你在工具里看到「规则已生效」还以为配对了。

做法是：先把目标软件正常跑起来并触发一次联网动作，然后在 Windows 任务管理器的「详细信息」里按需要展开进程树，找到实际在发起连接的那个进程名，右键「打开文件所在位置」拿到完整路径；进程名不好判断时用 Process Explorer 看 TCP/IP 连接列表更直观。macOS 下可以用活动监视器或 lsof -i 对照。把找到的这个进程加进规则，必要时把启动器和子进程都加上。

协议和 DNS

能选 SOCKS5 就选 SOCKS5，它对 TCP/UDP 的兼容性比 HTTP 代理好，遇到非 HTTP 协议的软件不容易卡住。同时在工具设置里勾上「通过代理解析主机名」（Resolve hostnames through proxy）之类的选项，否则目标进程会在本地发起 DNS 查询，出口 IP 是代理的、DNS 却是本地运营商的，这种不一致本身就是个信号。

另外留意：这类工具通常需要驱动或系统网络扩展权限（macOS 上要在系统设置里手动放行），和部分安全软件、VPN 客户端可能冲突；装完如果整机网络异常，先排查这一层。

配完做两步验证，别只看一边

第一步，在已配代理的目标软件内部发起一次网络请求，访问 https://ipinfo.io/json，核对返回的 ip、country、city 是否和你买的节点一致；顺带看一眼 org 字段，判断它落在 ISP 名下还是机房名下——这一项对店铺后台、社媒这类场景比国家匹配更重要。软件内打不开网页的，就用它自带的网络诊断功能，或在工具的流量日志里看目标地址。

第二步，在没配代理的普通浏览器或终端里访问同一个接口，curl ipinfo.io/json 即可，确认返回的还是本地宽带 IP。这一步才能证明你做的是定向分流而不是全局代理。

如果用了进程代理工具，再看一眼它的 Connections / Traffic Log：只有目标进程那几行标着代理节点，其余全是 Direct，才算真的配对了。用了一段时间后建议再回看一次日志，有些软件更新时会拉起新的子进程，规则可能没覆盖到。

出口该配轮换还是固定

通道打通之后，真正决定成败的是你往里面填什么出口。判断标准是这个软件的任务需要「换 IP」还是需要「不换 IP」。

需要轮换——数据采集、SERP 监控、广告验证这类，同一个进程要发大量请求、追求覆盖面和成功率，用动态住宅出口。按请求量估算配额、流量可控的，选动态住宅流量套餐按流量计费，需要同一 IP 连续完成多步操作时用粘性会话；如果是长时间高并发跑、流量很难估准，按带宽计费、不限流量的动态带宽套餐更省心。用量怎么估可以参考动态住宅流量套餐的用量怎么估。

需要固定——给店铺后台、社媒账号、TK 运营客户端配专属出口，核心诉求是每次登录都来自同一个独占 IP，这时要用静态住宅长效 IP，独占固定、按月或按年，失效可免费更换；家宽原生、家宽广播、数据中心三种子类里，TK 运营官方建议用家宽原生。项目周期短、只是临时验证或一次性任务的，用静态短效更划算，分档逻辑见静态短效和静态长效住宅IP该怎么选；TK 场景的具体分档见TK运营该用哪一类住宅IP。

进程代理只解决「流量从哪个出口出去」。如果你的场景还涉及浏览器指纹隔离或账号本身，那是另外两层的事，别指望靠一条代理规则全解决。