很多人把搭建代理服务器和配置客户端代理当成同一件事。实际上前者是在一台主机上部署代理服务，作为流量中转节点；后者是在电脑、手机填写代理地址，让流量转发至中转节点。两端配置全部正确，代理网络才能正常连通。只完成其中一端，要么无法连接，要么连接之后流量不生效。
先要确定需要哪种代理类型。HTTP代理应用最广，浏览器、系统设置里填写的基本都是这类。处理网页请求表现良好，HTTPS流量也可以承载，客户端发送CONNECT请求，代理建立加密隧道连接目标网站，代理本身不解密内容。SOCKS5层级更低，不限制协议，TCP、UDP流量都能转发，游戏、部分工具使用SOCKS5体验优于HTTP代理。如果只是家里多台设备，借助一台带公网IP主机上网，HTTP代理就能满足需求。
自行搭建的话，Linux平台tinyproxy部署简单。安装完成修改配置文件，路径一般是/etc/tinyproxy/tinyproxy.conf。找到Port字段，默认端口可能8888，修改为目标端口。Listen配置项，仅本机使用填写127.0.0.1，局域网其他设备访问填写0.0.0.0或者本机内网IP。再找到Allow，填写允许接入代理的网段，例如Allow 192.168.1.0/24。不配置Allow或者网段填写错误，客户端访问返回403拒绝。修改配置之后重启服务，systemctl restart tinyproxy，设置开机自启。
如果主机部署在云平台，安全组要放行选用的端口，本地防火墙同样放行端口。很多人配置参数看起来无误，但是无法连接，绝大多数是端口没有放开。可以用curl测试，另一台设备执行curl -x http://代理IP:端口 http://ifconfig.me，返回代理服务器公网IP，代表部署成功。出现报错或者超时，先确认服务是否正常运行，再检查防火墙，最后确认代理服务器本身可以正常上网。
公网暴露的代理不要裸奔。tinyproxy支持BasicAuth，配置文件添加BasicAuth 用户名 密码，客户端填写代理信息附带账号密码。Basic认证传输明文，但配合HTTPS隧道风险可控，至少阻挡网络扫描器。更稳妥方案是限制来源IP，只允许自身固定IP接入。端口不要继续使用8888这类默认端口，更换冷门端口，减少被扫描概率。开启日志，定期查看，陌生IP尝试访问直接封禁。
不想额外安装软件，SSH动态转发是临时方案。本地电脑执行命令ssh -D 1080 -N -f 用户名@服务器地址。这条命令在本机开启SOCKS5代理，监听127.0.0.1的1080端口。浏览器或者系统代理设置SOCKS5，地址填写127.0.0.1，端口1080。流量通过SSH隧道转发到服务器再访问外网。缺点是SSH连接断开，代理就失效，适合临时使用，不适合长期持续运行。
客户端配置不算复杂，但细节容易出错。Windows系统搜索代理，开启手动代理，填写地址端口。macOS进入系统设置，打开网络，当前连接点详细信息，选择代理，勾选HTTP、HTTPS或者SOCKS，分别填写参数。手机连接Wi-Fi，点击Wi-Fi详情，代理选择手动，填写服务器地址端口。Firefox浏览器自带独立代理设置，Chrome、Edge默认跟随系统代理。命令行工具大多不会读取系统代理，需要单独配置环境变量，例如export http_proxy=http://地址:端口，https_proxy同步配置。
有个概念容易混淆。客户端配置HTTP代理，访问HTTPS网站，代理服务器需要支持CONNECT方法。tinyproxy和Squid默认支持该功能，不用额外调整。配置SOCKS5代理，客户端协议类型必须选择SOCKS5，选错协议无法建立连接。代理开启认证的场景，地址格式可以写成http://用户名:密码@IP:端口，大部分客户端支持这种写法。
搭建完成之后代理断断续续，或者只有部分软件走代理，优先查看代理服务器日志。tinyproxy日志记录每一条连接，拒绝请求也会标注原因。客户端侧，浏览器可以安装代理管理扩展，方便切换、排查故障。游戏主机、电视盒子设备，代理配置选项简陋，大多仅支持HTTP，部分应用会绕过系统代理直连外网。这种情况要么路由器部署透明代理，要么放弃这类设备，更换适配代理的软件。
代理服务器本身就是普通主机，需要保证可以正常上网，DNS解析正常，系统时间准确。代理服务器本机如果开启VPN或者其他代理，流量多层转发，速度大幅下降，排查故障难度提升。尽量让代理服务器直接访问外网，链路结构越简单稳定性越高。