透明代理的工作原理
网络运营方将代理部署在网关、路由器或防火墙上。流量会自动重定向并经过代理，因此浏览器或应用发送请求时，就像在直接连接目标站点。
设备 → 网关和透明代理 → example.com处理未加密的 HTTP 流量时，代理可以读取并过滤完整请求。处理 HTTPS 流量时，通常只能看到目标 IP、域名等连接信息。若要读取加密内容，代理必须终止 TLS 连接并建立第二条 TLS 连接；由组织管理的设备通常会信任某个 CA 证书，代理便可据此为目标网站签发替代证书。
常见用途
- **内容过滤：**在学校或企业网络中阻止访问被禁止的域名、文件类型或内容类别。
- **访问日志：**记录访问目标、请求时间和流量，以便管理网络。
- **缓存：**存储符合条件的内容，让重复请求减少外部带宽用量。
- **策略执行：**限制应用，或要求用户先接受网络规则才能浏览。
加密页面和频繁变化的页面通常会降低缓存的价值。流量检查还可能增加延迟并引发隐私担忧，因为网络运营方可能看到原本会保持加密的流量。
透明代理与匿名代理
“透明”也用于指匿名性最低的一类代理。这类代理会在 X-Forwarded-For: 198.51.100.24 等请求头中转发真实地址，且通常还会添加 Via，因此网站既能获知原始 IP，也能判断使用了代理。匿名代理不会向目标端提供源 IP，高匿代理还会隐藏代理的存在。
| 透明代理 | 匿名代理 | |
|---|---|---|
| 客户端设置 | 通常无需设置 | 通常需在应用或设备中设置 |
| 主要用途 | 管理网络流量 | 更改目标端看到的 IP |
| 原始 IP 信息 | 可能通过请求头传递 | 不向目标端提供 |
| 运营方可见性 | 可监控流量 | 可监控经过代理的流量 |
这两类代理本身都不一定隐蔽。代理可能通过 HTTP 请求头、证书变化或网络行为暴露自身。
对代理用户的影响
透明代理网关可能位于用户与已配置的正向代理之间，形成代理链。这可能导致证书警告、连接被阻止、意外出现登录页面，或 DNS 行为发生变化。
如果请求只在某个网络中失败，可通过另一个网络上的获准连接发送相同请求并对比结果。检查证书颁发者和响应头，再向网络管理员了解过滤规则。未经授权，请勿禁用由组织管理的证书或绕过访问控制。
常见问题
透明代理会隐藏我的 IP 地址吗？
不能，至少无法可靠隐藏。网站可能看到网关的出口 IP，但代理也可能通过请求头传递原始地址，而网络运营方仍然能识别设备。
透明代理能读取 HTTPS 流量吗？
如果代理终止 TLS 连接，就能读取 HTTPS 内容；由组织管理的网络通常会安装可信的 CA 证书，使拦截过程不会引发证书错误。
如何判断网络是否使用透明代理？
要视情况而定。意外出现的拦截页面、证书颁发者变化、新增请求头，或同一请求在不同网络中得到不同结果，都可能是迹象，但任何单一测试都无法证明存在拦截代理。