Docker 跑 aTrust + Clash TUN：Windows 上内网外网同时在线的终极方案

2.1 软件清单#

2.2 拉取 aTrust 镜像#

国内 Docker Hub 访问不稳定，建议用华为云镜像加速：

1
wsl -d Ubuntu -u root -e bash -lc "docker pull swr.cn-north-4.myhuaweicloud.com/ddn-k8s/docker.io/hagb/docker-atrust:latest && docker tag swr.cn-north-4.myhuaweicloud.com/ddn-k8s/docker.io/hagb/docker-atrust:latest hagb/docker-atrust:latest"

镜像 hagb/docker-atrust 是一个封装了 aTrust Linux 版 + VNC + SOCKS5/HTTP 代理的容器。

3.1 docker-compose 配置#

创建 atrust-docker/ 目录，编写 docker-compose.yml：

1
version: "3"
2
services:
3
  atrust:
4
    image: hagb/docker-atrust:latest
5
    container_name: atrust
6
    privileged: true
7
    devices:
8
      - /dev/net/tun:/dev/net/tun
9
    ports:
10
      - "5901:5901"     # VNC 端口
11
      - "1080:1080"     # SOCKS5 代理
12
      - "8888:8888"     # HTTP 代理
13
    environment:
14
      - PASSWORD=123456  # VNC 密码，按需修改
15
    volumes:
16
      - ./data:/root/.config  # 持久化登录状态
17
    restart: unless-stopped

关键点：

• privileged: true + /dev/net/tun：容器内需要创建 TUN 设备建 VPN
• ./data 持久化：aTrust 登录状态保存在这里，不用每次重新登录

3.2 启动容器#

1
wsl -d Ubuntu -u root -e bash -lc "service docker start; cd /mnt/d/changjuyi/aerovisionlink/atrust-docker && docker compose up -d"

或者写成 start-atrust.bat 放在桌面，双击即可。

3.3 VNC 登录 aTrust#

打开 TightVNC Viewer：

在 VNC 窗口中完成：公司门户地址、账号、密码、手机验证码。

登录成功后，容器内的 aTrust 就建好了到公司内网的 VPN 隧道。

3.4 验证代理是否可用#

1
# SOCKS5（日常推荐）
2
curl.exe -x socks5://127.0.0.1:1080 -s -o NUL -w "socks5: %{http_code} time:%{time_total}s\n" --max-time 15 http://10.43.95.81:8181/
3

4
# HTTP（1080 卡死时临时用）
5
curl.exe -x http://127.0.0.1:8888 -s -o NUL -w "http: %{http_code} time:%{time_total}s\n" --max-time 15 http://10.43.95.81:8181/

期望结果：200，SOCKS5 耗时通常 < 2 秒。

3.5 卸载 Windows 原生 aTrust#

重要：不要与 Docker 版同时运行。Windows 原生 aTrust 会抢路由表，直接破坏整个方案。

控制面板 → 卸载 aTrust。

4.1 必备设置#

4.2 Merge 配置（核心）#

路径：配置 → 你的订阅 → 合并(Merge)

1
mode: rule
2

3
prepend-proxies:
4
  - name: 公司内网
5
    type: socks5
6
    server: 127.0.0.1
7
    port: 1080
8
    udp: true
9

10
prepend-rules:
11
  - IP-CIDR,10.0.0.0/8,公司内网
12
  - IP-CIDR,172.16.0.0/12,公司内网
13
  - IP-CIDR,192.168.0.0/16,公司内网
14

15
delete-rules:
16
  - GEOSITE,private,DIRECT
17
  - IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
18
  - IP-CIDR,172.16.0.0/12,DIRECT,no-resolve
19
  - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
20

21
tun:
22
  enable: true
23
  stack: mixed
24
  auto-route: true
25
  auto-detect-interface: true
26
  strict-route: true

三个关键操作：

1. prepend-proxies 注入「公司内网」SOCKS5 节点——不能用 proxies:，会覆盖机场节点导致内核报错
2. prepend-rules 在最前面插入内网 IP 段规则，确保内网流量优先匹配
3. delete-rules 删除机场订阅里自带的 10.x → DIRECT 规则——这些规则会让内网直连，不走代理

4.3 脚本覆写（Script，可选但推荐）#

Clash Verge Rev 支持 JavaScript 脚本覆写配置。作用是：

• 强制 mode: rule
• 注入「公司内网」SOCKS5 节点
• 删除 10.x → DIRECT 冲突规则
• 内网 Sniffer 跳过

修改后需要：重新加载配置 或 重启内核。

4.4 常见 Clash 错误#

5.1 新建「公司内网」情景#

5.2 SOCKS5 vs HTTP：选哪个？#

HTTP 模式走的是容器内的 tinyproxy，大量并发 API 请求时会排队阻塞。SOCKS5 走 danted，性能更好但偶发挂死。

5.3 auto switch 规则（可选）#

注意：访问纯 IP 内网（如 http://10.43.95.81:8181/）时，10.* 规则不一定生效。建议直接手动切换到「公司内网」。

5.4 验证是否走 ZeroOmega#

浏览器 F12 → Network → 任选内网请求：

• 远程地址 应为 127.0.0.1:1080 或 127.0.0.1:8888
• Via 头含 tinyproxy 表示经 Docker HTTP；SOCKS5 无 Via 也正常
• Clash 日志里搜不到内网 IP → 说明浏览器未走 Clash，符合预期

自检命令#

1
# 容器是否在运行
2
wsl -d Ubuntu -u root -e docker ps --filter name=atrust
3

4
# 内网代理是否可达
5
curl.exe -x socks5://127.0.0.1:1080 -s -o NUL -w "%{http_code}\n" http://10.43.95.81:8181/

8.1 内网完全打不开#

排查顺序：

1. 容器是否运行：docker ps --filter name=atrust
2. VNC 里 aTrust 是否已连接
3. curl 测 1080 是否 200
4. ZeroOmega 是否选了**「公司内网」**（非直接连接）
5. Clash 是否误开了全局模式

8.2 页面卡 1-2 分钟（SOCKS5 挂死）#

danted SOCKS5 偶发挂死：

1
wsl -d Ubuntu -u root -e bash -lc "cd /mnt/d/changjuyi/aerovisionlink/atrust-docker && docker compose restart"

临时方案：把 ZeroOmega 改为 HTTP 8888 打开页面，接口仍建议用 1080。

8.3 接口每个 10-12 秒#

• 若走 8888 HTTP：改回 SOCKS5 1080
• F12 看是否 123+ 请求、是否勾选了停用缓存
• 检查前端是否有重复请求（如 getInfoNew 被反复调用）

8.4 Clash 日志解读#

8.5 内核通信错误#

• Merge 配置勿用 proxies:，必须用 prepend-proxies
• 设置 → 重启内核