跳到正文

Codex network proxy 是什么：设置详解

Codex 的「network proxy」不是用来选出口国家的。本文讲它是什么、哪些键控制它，以及命令连不上网站时先查什么。

两个东西都叫代理

其一是 Codex 的 network proxy：一个跑在你本机上的监听（默认 http://127.0.0.1:3128，SOCKS5 监听在 8081），夹在沙盒里的命令和互联网之间，按你写的域名规则检查每个目的地。

其二是外部代理服务器，比如一个静态 ISP IP：流量先走它，再从另一个地址出去。这用 HTTPS_PROXY 之类的环境变量设置，不是 features.network_proxy。本文后面讲的都是前一个。

哪个设置管什么

哪个设置管什么
项目设置作用
命令联网权限[sandbox_workspace_write] network_access = true，或 permissions.<名称>.network.enabled = true让沙盒里的命令能用网络。workspace-write 沙盒默认是关的。
域名规则features.network_proxy，enabled = true 加 domains在已经允许联网的前提下，允许或拒绝具体目的地。代理本身不放开联网。
给 Codex 请求配外部代理环境里的 HTTPS_PROXY让请求经过代理服务器，不属于 features.network_proxy。
出口国家你走的代理服务器不是 Codex 的设置，由外部代理的 IP 决定。

依据 Codex 配置参考和审批页面，2026 年 11 月 15 日阅读。功能还在实验阶段，名称可能变化。

联网权限和代理怎么组合

联网权限和代理怎么组合
项目联网权限network proxy结果
情况一关开网络仍然关闭，代理不起作用
情况二开关命令能连任何地址，域名规则不生效
情况三开开流量按你的域名规则走，没被允许的目的地会被拒绝

来自审批页面，2026 年 11 月 15 日阅读。一条 allow 规则都没有时，任何外部目的地都不被允许。

打开并测试

  1. 第 1 步：允许命令联网

    在 [sandbox_workspace_write] 下设 network_access = true，或在你用的权限配置里打开网络。

  2. 第 2 步：启用代理并列出主机

    加上 [features.network_proxy]，enabled = true，再写 domains。可以写精确主机、只匹配子域名的 *.example.com、同时匹配域名本身和子域名的 **.example.com。同一个主机同时命中 allow 和 deny 时，deny 优先。

  3. 第 3 步：重启 Codex 再测

    开一个新会话，在里面运行下面三条检查，把结果和你的规则对一下。

  4. 第 4 步：规则从窄开始

    参考页允许写全局 *，但审批页建议用范围明确的规则。遇到真实需要再逐个加主机。

config.toml 示例

# ~/.codex/config.toml

# 1) Let commands in the workspace-write sandbox use the network at all
[sandbox_workspace_write]
network_access = true

# 2) Start the network proxy so domain rules are enforced (experimental)
[features.network_proxy]
enabled = true
domains = { "api.openai.com" = "allow", "*.github.com" = "allow", "example.com" = "deny" }

仅为示例。键名依据 Codex 配置参考，主机是占位，换成你自己的。

在会话里检查

# Inside a Codex session, ask it to run these and read the answers:
curl -sS -o /dev/null -w "%{http_code}\n" https://api.openai.com/v1/models   # 401 = reachable (no key sent)
curl -sS -o /dev/null -w "%{http_code}\n" https://example.org/               # blocked if not on the allow list
curl -sS https://ipinfo.io/json                                               # which exit IP do commands use?

仅为示例。没带密钥时 api.openai.com 返回 401，说明主机可达；第三行显示命令使用的出口 IP。

命令连不上网站时

代理开着，所有请求都失败

检查 可能联网权限本身是关的：代理不会放开联网。检查 network_access，或权限配置的 network.enabled。

处理 打开联网权限，重启 Codex 再测。

停止条件 联网权限已开、主机也已允许仍失败，就不走代理直接测同一个主机，排除自己网络的问题。

某一个主机被拒绝

检查 domains 里没有它的 allow 规则，或者有 deny 规则命中了它，而 deny 优先。

处理 加一条精确的 allow，或者把 deny 的匹配范围收窄。

停止条件 不要为了让一个主机能用就加全局 * 的 allow。

localhost 或内网地址被拒绝

检查 allow_local_binding 默认是 false，会拦截回环和内网目的地。

处理 给需要的本地地址加一条精确的 allow；只有明白它会放开什么时才设置 allow_local_binding。

停止条件 共用的机器上保持关闭。

网页搜索或 MCP 工具不受规则管

检查 域名规则不覆盖网页搜索、应用、MCP 等托管工具。

处理 这些工具用它们自己的设置来管。

停止条件 别指望域名规则能限制它们。

外部代理用在哪

如果你用 ChatGPT 账号登录 Codex，想让出口稳定、干净，要靠外部代理，不是这个设置。静态 ISP IP 在整个租期内固定不变、不轮换，一个账号就一直用同一个地址。代理不会改变 OpenAI 的条款：请只在 OpenAI 支持的地区使用 Codex，OpenAI 提示在其他地方使用其服务，账号可能被封禁或停用。如果出现验证，请如实完成。

静态 ISP IP 一天 US$0.50，30 天 US$7.99，所有国家价格相同，购买时选 HTTP 或 SOCKS5。Codex CLI 本身如何配置，我们的指南里按 HTTP 代理写好了。没有免费试用，最小购买单位是一个 IP 一天。

常见问题

Codex 里的 network proxy 是什么？

一个实验性、默认关闭的本地代理，用于沙盒里的命令。它执行你在 features.network_proxy 下写的允许和拒绝规则。

Codex network proxy 能隐藏我的 IP 或改变国家吗？

不能。它只过滤目的地。出口 IP 由这台机器所用的网络决定，或由你用 HTTPS_PROXY 设置的外部代理决定。

用外部代理需要打开它吗？

不需要。按代理指南给 Codex 自己的请求设 HTTPS_PROXY 即可。network proxy 只管命令的域名规则。

为什么我的域名规则没有任何效果？

只有启用了代理，规则才会执行；而代理只有在命令联网权限打开时才有意义。两项都查一下。

它管网页搜索和 MCP 的流量吗？

不管。参考页写明，域名规则不覆盖网页搜索、应用、MCP 等托管工具。

参考资料

4
  1. Proxy302 产品信息与价格表

    产品观察 · 确认日期:

    站点的产品信息文件（数值于 2026 年 10 月 18-19 日对照控制台、后端和价格表核对）：以美元计价（1 PTC = 1 美元）、租期、协议、没有免费试用。

  2. Codex 文档：配置参考

    官方文档 · 确认日期:

    2026 年 11 月 15 日阅读：features.network_proxy 标注为实验性、默认关闭；enabled、domains（allow 或 deny，deny 优先，支持精确主机、*.example.com、**.example.com、*）、proxy_url 默认 http://127.0.0.1:3128、socks_url 默认 http://127.0.0.1:8081、allow_local_binding 默认 false、allow_upstream_proxy 默认 true；permissions.<name>.network.enabled 不会启动 network proxy；域名规则不覆盖网页搜索、应用、MCP 等托管工具。

  3. Codex 文档：审批与安全

    官方文档 · 确认日期:

    2026 年 11 月 15 日阅读：workspace-write 沙盒默认不开网络，需要 network_access = true；features.network_proxy 本身不授予网络访问；网络开、代理关等于不受限；网络开、代理开则流量按域名策略走。

  4. OpenAI API：支持的国家和地区

    官方文档 · 确认日期:

    2026 年 11 月 15 日阅读：在不在支持名单上的国家或地区使用服务，账号可能被封禁或停用。

准备好试试了吗？

注册账号、充值一次，就能选动态住宅、静态 ISP 或数据中心 IP，几分钟配进你的浏览器。

立即开始