卡巴斯基与火绒拦截代理 SSL 证书报错的正确排除与加白实操

核心导读与技术画像：

• 适用对象：电脑装有专业杀软的开发者、企业办公用户与系统运维
• 技术难度：简单入门 | 建议阅读时间：10 分钟
• 核心要点：
  • 杀毒软件（卡巴斯基/ESET/Bitdefender）的 SSL 扫描功能工作原理剖析
  • 杀软驱动与 Clash / Sing-box TUN 虚拟网卡在 Windows 网络过滤驱动层的撞车死锁
  • 火绒剑网络流量捕获与代理本地环回端口 (127.0.0.1) 的频繁告警消除
  • 手把手教你配置杀毒软件排除项与受信任应用程序加白准则

网络过滤驱动冲突与双重 SSL 劫持机理

很多用户在电脑上安装了专业级杀毒软件（如 Kaspersky 卡巴斯基、ESET NOD32 或国产 火绒安全）后，一旦开启科学上网代理客户端，就会频繁遇到以下怪现象：

• 浏览器打开海外网站无限报错 NET::ERR_CERT_COMMON_NAME_INVALID；
• 卡巴斯基不断在右下角爆出黄色感叹号弹窗，声称“无法保证建立加密连接的域名的真实性”；
• 电脑 CPU 占用率飙升，网速直接断崖式下跌。

这背后的根本原因在于双重网络拦截架构的激烈冲突：

1. 杀毒软件为了检测恶意木马，在网络协议栈的最底层植入了 NDIS / WFP 过滤驱动，试图对全量出站流量执行 SSL 扫描 (HTTPS Inspection)；
2. 本地代理客户端（如 Clash TUN 模式）同样在 WFP 层截获流量并打包入加密隧道；
3. 两者为了抢夺数据包的所有权相互拦截并重新打包证书，最终导致 TLS 握手特征彻底破损崩溃！

关键技术指标与多方案对比

生产级配置与工程落地指南

卡巴斯基与 Windows Defender 排除项配置指南

# 针对卡巴斯基 (Kaspersky) 的正确排障配置步骤：
1. 打开卡巴斯基设置 (左下角齿轮) -> "网络设置" (Network Settings)
2. 找到 "加密连接扫描" (Encrypted connections scanning)：
   - 方式 A (推荐)：保持扫描开启，但在下方点击 "受信任的域" -> 添加你信任的常用域名
   - 方式 B (彻底根除冲突)：点击 "高级设置" -> 取消勾选 "扫描安全连接 (Do not scan encrypted connections)"
3. 进入 "安全设置" -> "威胁与排除项" -> "管理排除项"：
   - 添加代理软件主目录 (例如 C:\Program Files\Clash Verge Rev\*)
   - 将 Clash 内核进程 (clash.exe / mihomo.exe / sing-box.exe) 设为完全受信任程序

# 针对 Windows Defender PowerShell 一键加白命令：
Add-MpPreference -ExclusionPath "C:\Users\user\AppData\Local\Programs\clash-verge"
Add-MpPreference -ExclusionProcess "mihomo.exe"

推荐实施执行路线

1. 确认本地杀毒软件的版本，若非必要，在杀软设置中关闭全局激进的“HTTPS 安全连接扫描”
2. 在 Windows Defender 中为本地代理客户端的安装路径与核心进程添加排除项白名单
3. 在代理客户端中选择微软官方签名的虚拟网卡驱动（如 WinTun 驱动而非陈旧的 TAP 驱动）
4. 重启电脑后重新打开代理客户端与浏览器，验证弹窗是否彻底消失且网页秒速加载

常见疑难故障排查与实战应对

场景 1：每次开机后代理客户端的核心程序（.exe）都会被杀毒软件悄无声息地删除隔离

• 底层成因分析：开源的代理内核（如 Xray/Sing-box）由于具备流量混淆特征，常被 Defender 启发式引擎误判为黑客工具。
• 针对性解决方案：在杀软隔离区中将其还原，并将整个代理软件所在文件夹加入安全白名单。

场景 2：开启代理后，杀软的防护中心显示 ‘网络防护组件运行异常’

• 底层成因分析：代理客户端的虚拟网卡夺取了主网络适配器的控制权，杀软的 WFP 钩子挂载失败。
• 针对性解决方案：在代理软件中尝试切换 TUN 堆栈模式（从 gVisor 切换至 System 堆栈或 Mixed 模式）。

场景 3：配置了排除项后，访问特定银行网站依然提示证书错误

• 底层成因分析：银行网银客户端自带了极其严苛的证书锁定 (SSL Pinning)，严禁任何本地代理拦截。
• 针对性解决方案：在代理分流规则中将各大银行域名（如 *.icbc.com.cn）明确设为 DIRECT 直连豁免。

编辑部结论与权威选型指引

合理关闭杀软重复的 SSL 扫描并将代理核心加入底层排除，是保障系统稳固与网络畅通的双赢选择。

延伸阅读与进阶推荐：

• 2026 最新机场推荐与综合测评 - 全网主流品牌深度横评与测速表现
• 机场多维度综合对比工具 - 多维度对比各品牌核心优势与延迟
• 2026 年度机场性能排行榜 - 实时更新的权威综合实力与性价比排名