7891 是什么
7891 是 Clash 拆分配置时 SOCKS5 的专用端口：socks-port 设为 7891，而 HTTP 代理仍在 7890，两者分列便于按协议分流。这个编号不是 IANA 分配的标准端口，而是社区配置惯例，教程与示例配置里随处可见。使用上的关键点是客户端必须匹配协议：只支持 SOCKS5 的程序要填 socks5 地址，只支持 HTTP 代理的填 7890，填错会直接连接失败。
基本信息
| 服务 | Clash 类工具 SOCKS5 端口（socks-port 配置项） |
|---|---|
| 协议 | TCP，SOCKS5 |
| 用途 | 仅走 SOCKS5 的代理流量 |
| 安全等级 | 建议只监听 127.0.0.1 |
| 对照端口 | 7890 为 HTTP 代理 |
典型使用场景
- 按协议分流：浏览器走 HTTP 代理，命令行工具走 SOCKS5
- 工具兼容：部分客户端只支持 SOCKS5，需要独立端口
- 本地开发调试：不同程序分别指向 7890 或 7891
- 容器内访问代理：把代理地址指向宿主机对应端口
- 多实例隔离：同机跑多套配置时用不同端口避免冲突
- 安全收敛：把监听地址限制在本机，避免成为开放代理
代理连通性测试
代理连通性测试
curl -x socks5h://127.0.0.1:7891 https://ifconfig.me # SOCKS5 出口地址
curl -x http://127.0.0.1:7890 https://ifconfig.me # 对照 HTTP 代理端口
ss -lntp | grep -E ':(7890|7891) ' # 确认两个端口的监听进程两种代理协议对照
| 端口 | 协议 | 适用客户端 |
|---|---|---|
| 7890 | HTTP 与 HTTPS 代理 | 浏览器、支持 http 代理的工具 |
| 7891 | SOCKS5 | 支持 socks5 或 socks5h 的程序 |
| 填写错误 | 协议不匹配 | 连接被拒绝或握手失败 |
socks5 与 socks5h 的区别在域名解析位置：socks5h 由代理侧解析域名，能避免本地 DNS 泄漏，需要隐私时优先选它。
Clash 类工具的 mixed-port 可把 HTTP 与 SOCKS5 合并到一个端口，配置更简单，但会失去按协议分流的能力，按需取舍。
容器内访问宿主机代理需要把监听地址设为容器可达的地址，或用端口映射，同时用防火墙限制来源，别把代理开到整个网段。
如果代理端口监听到 0.0.0.0 且没有访问控制，同网段任何机器都能借用你的出口，在企业网络里属于明确的违规项。