最好的免费代理服务器和网站（以及什么时候该改为自己搭建）

你从免费代理列表里抓了六组 IP:端口，逐个粘进客户端，到第四个时规律已经很明显。两个根本不响应。一个响应后在请求中途断掉。一个慢到让你指向它的工具超时。唯一能用的那个拒绝 HTTPS。十分钟没了，而你打开笔记本要做的那件事还原封不动地放在那儿。

这就是市面上那些“最好的免费代理服务器”的正常体验，而且不是运气不好。免费代理确实存在，有些能用，对某一类任务来说恰恰是正确的选择。麻烦在于，分发它们的页面无法告诉你哪些能用、能用多久，以及另一端坐着谁在读经过的流量。

简短版本

• 一项历时 30 个月、覆盖超过 640,600 个免费代理的研究发现，其中只有 34.5% 哪怕响应过一次。更早的一项研究发现，网上公布的代理中真正转发过用户流量的不到 2%。失效条目是默认状态，不是意外。
• 在那项更早的研究里，能用的代理中约有 10% 在注入广告或拦截 TLS。
• 对一次性的工作来说，免费就是正确答案：看看某个页面从别处渲染出来是什么样，对没有账号的内容随手看一眼，失败也不会有任何损失的测试。
• 凡是需要登录的，或者需要用第二次的，长久的解决办法是在一台小服务器上跑你自己的代理（个人用途 1 vCPU 加 1 到 2 GB 内存绰绰有余）。代价是补丁和在线时间由你负责。
• 一台自托管 VPS 通常只给你一个稳定的出口 IP。当你想要控制权和一致性时这很有用，但它给不了抓取服务商所售卖的那种大规模轮换 IP 池。

本指南略过的内容

有四件事不在下文范围内。先列在这里，免得你读到一半还在找它们。

• 大规模抓取。 一个小型自托管代理通常只给你一个稳定的出口 IP，而 IP 轮换是另一个问题，有另一套答案。
• 所有可能出问题之处的完整清单。 这里写的只是影响你选哪种代理的那部分，不是完整目录。
• 反向代理。 同一个词，方向相反。反向代理位于源站服务器前面，代其接收客户端请求；本文讲的是你用来把自己的流量发往外部的正向代理。下文内容均不适用于反向代理。
• 每个工具的安装教程。 工具部分只指向深入的安装指南，而不是重复一遍。

免费代理服务器和网站从哪里来

在搜索框里输入“免费代理列表”，第一页大多是同样的三种东西换了不同的商标。它们不能互换，各自有各自的失败方式。抓取来的公开列表、基于浏览器的代理网站，以及靠卖代理为生的公司的免费套餐：就是这三种，区分它们的是谁（如果有人的话）对你的流量所经过的那台机器负责。

公开聚合列表

ProxyScrape、free-proxy-list.net、spys.one 和 Geonode 都发布公开的代理表格，带有协议、位置、匿名级别、延迟或最近检测时间等筛选条件。其中几家会运行自动存活检测并频繁刷新列表。这些检测只告诉你端点是否响应；不会告诉你谁控制着代理、它如何配置，或它记录了什么。

对这四家的实际判断：

• 适合用于 一次性的、可以承受重来的单个请求：手动抓三个条目，逐个尝试，直到有一个响应。
• 不适合用于 任何你打算写脚本去调用的、任何明天还要能用的，或任何响应被悄悄篡改会造成影响的事情。你抓取时还能用的条目，等你再次需要时往往已经失效或被封，而且没有任何通知。

网页式代理站

你把一个 URL 粘到别人网站的输入框里，对方的服务器去抓取页面，再把一份改写过的副本交给你。这种改写不是可选项：链接、图片和脚本都必须重新指向，否则页面就散架了。在任何恶意介入之前，运营者本身就在做“修改你所看到的内容”这门生意。

地址栏里的锁（如果有的话）只是验证并加密你与代理站之间的连接。它不能为你提供到目标页面的端到端 TLS 连接，因为页面是由代理替你抓取并改写的。因此该运营者可以在链接、脚本、表单和下载到达你的浏览器之前对其做手脚。浏览器扩展如果仍把你的流量送经扩展运营者的服务器，信任模型也不会有任何改变。

适合用于 阅读你没有账号的内容。 不适合用于 任何需要输入密码的事情，永远不要。

商业代理服务商的免费套餐

Webshare 的免费套餐 与抓取来的公开列表属于不同类别。它目前提供 10 个共享数据中心代理和每月 1 GB 流量，无需信用卡，也没有过期日期。有一家有名有姓的公司、公开的条款，以及一个由你控制的账户。这不代表免费套餐适合敏感流量，但它比匿名的公开条目更能追责。

用于你希望代理背后有一家可指名的服务商的低流量工作。不要用于持续流量：每月 1 GB 的上限是限制因素。

免费代理实际能提供什么

先看数字，因为这正是营销与实测分歧最大的地方。两个独立研究团队把测量工具对准了这个生态，并公布了结果。接下来：这些代理有多少能用，能用的那些对经过的流量做了什么，以及造成这两种结果的经济逻辑。

到底有多少能用

Free Proxies Unmasked 是一项历时 30 个月的测量研究，发表于 NDSS MADWeb 2024。Mehanna、Rudametkin、Laperdrix 和 Vastel 从 11 家提供方收集了超过 640,600 个代理并反复测试。在整个测试窗口内，这些代理中只有 34.5% 哪怕活跃过一次。

更早的情况更为惨淡。 ProxyTorrent 是 Perino、Varvello 和 Soriente 在 WWW 2018 上报告的一个测量平台。它监测了多达 180,000 个免费代理，发现网上公布的代理中真正替用户转发流量的不到 2%。这 2% 里大约一半的表现好到可以依赖。

两个数字都仅限于各团队在各自测量窗口内、从公开列表中能观察到的代理。哪一个都不是可以套用到你眼前这个代理上的比率。它们确立的是：你不断撞上的失效条目才是常态。

能用的那些对你的流量做了什么

Mehanna 及其同事还统计了那 30 个月里活跃代理在做什么：16,923 个代理篡改经过的内容，代理 IP 地址本身存在 4,452 个不同漏洞，其中 1,755 个允许未经授权的远程代码执行。这些漏洞数字描述的是机器，不是运营机器的人。它们不能证明这些代理已被攻陷；它们意味着背后的部分机器存在足以被攻陷的严重漏洞。

ProxyTorrent 团队给运营者的行为定了个数：能用的代理中约 10% 存在恶意行为，其中包括广告注入和 TLS 拦截。TLS 拦截是严重的那一种。代理试图终止或替换加密连接，以便检查或修改流量。配置正确的客户端应当拒绝不受信任的证书，而不是默默接受这种拦截。

在这里，速度不是安全信号：在 2018 年的研究中，行为恶意的代理恰恰是性能最好的那些。

为什么“免费”总得有人买单

带宽和算力仍然要有人付钱，但公开代理并非都采用同一种商业模式。商业免费套餐的动机很明显：它是付费服务的受限版本。而公开代理可能是被故意暴露的、配置错误的、被遗弃的，或者跑在一台已被攻陷的设备上。上面的测量研究正是不能仅因代理免费就推定运营者善意的理由。

最近兴起的一种形态更加丑陋，而且超出了免费列表的范围。有些代理网络，包括一些以正规商业服务名义出售的，是用消费者的机器拼凑起来的，而机器的主人从未同意过任何事。2026 年 1 月，Google Threat Intelligence Group 宣布捣毁了其中一个此类网络——IPIDEA。 Google 描述它让不法分子劫持人们家庭互联网连接的访问权，用来从事无法追溯到他们本人的活动。大约十天后，Malwarebytes 追踪到一场假冒 7-Zip 安装包的活动，它把家用电脑变成了代理节点。 该安装包以 Windows 服务的形式投放代理载荷，并把机器登记进住宅代理基础设施，让第三方能经由受害者的 IP 地址转发流量。如果你曾好奇“住宅”IP 是怎么变成住宅 IP 的，这就是答案之一。

什么情况下免费代理确实没问题

对于不要求精确还原的一次性检查，免费代理可以是合理的选择：确认某个公开页面从另一个网络可达，看看某个公开端点从第二个 IP 访问时是否返回不同内容，或者向 staging 环境发几个无需认证的请求。如果代理挂了或响应看起来可疑，丢掉结果重试即可。

这些场景的共同点构成一条五秒钟就能套用的规则。当你不向任何东西做身份认证、不在乎响应被篡改、也不需要同一个条目第二次还能用时，免费代理就是正确的工具。三条全满足，我没有任何理由让你花钱或搭服务器。抓一个条目，把事做完，继续前进。

三条里少了任何一条，算法就变了。

免费代理服务器 vs. 自己搭建

如果代理需要为你在乎的事情工作不止一次，免费来源就是形态错误的工具，再怎么在列表间跳来跳去也无济于事。解决办法也不是一份为渴求上千轮换地址的抓取团队定价的代理订阅。对于一个人做一件事，答案是你自己租一台小服务器，每月花费大约相当于两杯咖啡。

这笔权衡分成八个维度，哪一方都不是全胜。免费来源在成本和上手速度上占优。在与控制权相关的一切上都落败，而有一行则明确不利于自托管。

自己搭代理：需要什么，以及从哪个工具开始

一个基础的 HTTP 或 SOCKS5 代理可以只是小服务器上的一个轻量服务，在配置里加上身份认证即可。下面的多协议工具会引入更多组件，但对一个人来说服务器要求仍然不高。值得事先想清楚的问题是：你想让代理处理什么，你愿意承担哪些持续维护，以及哪个工具适合这件事。

要花多少钱，要承担什么

对于轻量的单用户代理，1 GB 内存加 1 vCPU 通常就够了；2 GB 能为管理面板、日志和更新留出有用的余量。除非你保留大量日志或在同一台 VPS 上跑其他服务，否则磁盘需求很小。对这类负载而言，网络质量和服务器位置通常比存储容量更重要。

服务器一旦归你，安全更新就归你，在线时间归你，初始配置是否正确也完全由你负责。这些都不算重，但也都不是零。如果你以前没做过，把常规的第一步走一遍：仅密钥登录的 SSH、默认拒绝的防火墙、无人值守的安全升级。 我们的 Linux VPS 加固指南 把这一块讲得很透。

阅读

如何保护 Linux VPS:加固 VPS 服务器的 20 种方法

必须记住名字的失败模式叫“开放代理”。一个在公网接口上监听、没有认证也没有防火墙规则的代理，现在就是别人的免费代理。扫描器会找到它，从它发出的一切都带着你服务器的地址。

专业提示： 如果你只是给自己跑一个基础的 HTTP 或 SOCKS 代理，可以不把代理端口暴露到公网：把它绑定到环回接口，通过 SSH 隧道访问。这样就去掉了一个公网监听端口，代价是工作期间要保持 SSH 隧道打开。

有一个限制要说清楚，因为这正是自托管解决不了的：一台小 VPS 通常只给你一个稳定的出口 IP，不是一个可轮换的池子。如果服务商支持，你可以加更多地址，但那仍然不是一回事。如果你的任务每几十个请求就需要一个新 IP，付费轮换服务商才是正确答案。

从哪个工具开始

Outline 服务器 是首选的起点，除非你有理由不用。它底层运行 Shadowsocks，并附带一个管理应用来创建、分享和撤销访问密钥，因此你不必为每台设备手动编辑服务器配置。对于想通过界面管理的私人代理，它是这份列表里最短的路径。

其余几个各有存在的理由。几点说明：

• 单独的 Shadowsocks 是同一件事的更轻量、手动版本：一个配置文件加一个服务，没有需要运行的管理层。如果你想少维护点软件，就选它。 在 VPS 上安装 Shadowsocks 的步骤 在另一篇指南里有逐步讲解。
• V2Ray 用安装时间换取协议灵活性。有特定传输需求时值得，没有的话就是过度设计。
• SoftEther VPN 服务器 同时支持多种协议，当你必须服务于自己无法控制的客户端软件时，这一点很重要。它是这份列表里最重的一个。SoftEther 有着长期的维护历史，并且 起源于一个学术研究项目。
• Hiddify Manager 是一个多协议前端，专为在受限网络和运行深度包检测的网络中保持可用而构建。如果你所在的地方普通代理会被识别并切断，那这就是应对该问题的那一类工具。
• MTProto Proxy 不是通用网页代理。 它只承载 Telegram 流量，别的都不管。 Telegram 自己的代理文档 说得很明确：它重定向的是特定应用的流量，而不是整个系统。它经常出现在代理应用列表里，但干不了这个活。

这六个都能在你控制的 VPS 上运行。Cloudzy 提供 一键部署的 Outline Server ，可以跳过默认推荐工具的手动安装。其中几个工具与同一问题的 VPN 一侧有重叠， 我们对自托管 VPN 方案的并排比较 的深度超出了代理指南所需。

阅读

最佳自托管 VPN 解决方案，及其优缺点、使用场景与细分要点

注意： 租用服务器上的代理仍然要求你信任托管商。区别在于你知道这家托管商是谁，你控制着代理软件及其日志，而且一旦它的条款或行为不再合适，你可以离开。

自托管并不消除信任。它只是把一个身份不明的代理运营者，换成了由你在可指名的服务商基础设施上自行管理的代理。

用抓取来的公开代理，你通常无法确认运营者，也无法审计代理记录和修改了什么。自托管把那个身份不明的运营者从路径中移除：代理服务由你控制，而 VPS 服务商仍然提供底层服务器和网络。如果这笔权衡对你的任务说得通， Cloudzy Linux VPS 可以为你提供服务器层。代理的配置和维护仍然由你负责。

常见问题

免费代理服务器安全吗？

对任何要紧的事来说，大多不安全。Perino 及其同事在 2018 年的测量研究发现，能用的免费代理中约 10% 在注入广告或拦截 TLS，而且它们正是最快的那些。免费代理适合没有账号的一次性浏览，不适合任何需要登录的事情。

代理服务器和 VPN 是一回事吗？

不是。VPN 通常路由并加密设备的大部分或全部流量，而代理通常只处理一个应用或一种协议。两者都可以配置得更窄，但“免费代理还是 VPN”主要是范围之选：你想重定向一个程序，还是几乎整台机器？前者选代理，后者选 VPN。

免费代理能用来做网页抓取吗？

大多不能。条目失效得快且没有预警，任何值得抓的目标封禁率都很高，而公开列表给不了你可依赖的轮换。真正上量的抓取是付费轮换代理的问题，不是免费列表的问题，单个自托管代理也解决不了。

自己运行代理服务器要花多少钱？

每月几美元。给一个人用的轻量 SOCKS5 或 HTTP 代理，1 vCPU 加 1 GB 内存就很宽裕；2 GB 能为管理面板、日志以及你放到机器上的其他东西留出空间。经常性开支是服务器本身。经常性工作是打补丁并保持它在线。