Agent访问外部代理配置，Agent网络出口统一代理池

210.Agent 在部署到企业服务器后，通常需要主动访问外部 API、上报数据或拉取策略。
直接暴露出口 IP 不但容易触发目标风控，也不利于统一管理。
把 Agent 的网络出口统一接入代理池，可以让所有请求都走固定代理链路，便于排查和审计。
本文面向零基础运维，以 210.Agent 为例，说明访问外部代理配置的完整方法。

先想清楚：统一代理池解决什么问题

当机房里多台服务器都运行 210.Agent 时，如果每台机器各自直连外部服务，出问题后很难定位是哪台机器、哪个请求导致的。
接入统一代理池后，所有 Agent 请求都从一个代理出口发出，日志集中、权限可控，也方便后续切换 IP。

配置前要准备的四样东西

在改配置之前，先把这几项确认好，能少走很多弯路：

• Agent 部署目录和版本：登录服务器执行 210-agent --version 或查看安装路径下的 VERSION 文件。
• 代理池地址：确保代理服务商已提供明文或加密的连接串，例如 http://user:pass@proxy.example.com:8080。
• 需要代理的域名白名单：如果是内网访问，别让 Agent 把内网请求也发到代理池。
• 值守通道：建议先在一台测试机上验证，不要直接全量推送配置。

210.Agent 访问外部代理的配置步骤

这里以常见的环境变量方式为例，兼容大多数运行在 Linux 上的 Agent 程序。
先编辑 Agent 服务文件：

sudo systemctl edit 210-agent

在打开的编辑区写入：

[Service]
Environment="HTTP_PROXY=http://user:pass@proxy.example.com:8080"
Environment="HTTPS_PROXY=http://user:pass@proxy.example.com:8080"
Environment="NO_PROXY=127.0.0.1,localhost,内网网段"

保存后重启服务：

sudo systemctl daemon-reload
sudo systemctl restart 210-agent

如果 210.Agent 自带配置文件，通常在 /etc/210-agent/config.yaml 或 /opt/210-agent/conf/agent.ini 中会有 proxy 字段。
找到后修改为：

proxy:
  enabled: true
  url: "http://user:pass@proxy.example.com:8080"
  no_proxy: "127.0.0.1,localhost,10.0.0.0/8"

改完配置记得重启 Agent，并确认进程确实读取了新配置：

sudo systemctl status 210-agent

验证代理出口是否真正生效

配置是否生效，不能只看日志里有没有报错，要实际观察出口 IP。
在 Agent 所在机器上模拟一次外部请求：

curl -x http://user:pass@proxy.example.com:8080 https://myip.ipip.net

如果返回的 IP 是代理池的出口 IP，说明 Agent 配置正确。
也可以让 Agent 主动触发一次上报任务，然后在代理池后台查看实时请求日志，确认来源 IP 是否都集中在代理池出口。

再检查 NO_PROXY 是否生效，避免内网流量被错误转发：

curl http://内网服务地址 -v

如果能直接连通且没有走代理，说明 NO_PROXY 配置生效。

容易踩的坑和快速处理

• 代理池地址填错导致无法启动：常见于密码中含特殊字符，比如 @、:。建议先通过 URL 编码转换，或者在配置文件中单独填写账号密码字段。
• 只配了 HTTP_PROXY 没配 HTTPS_PROXY：不少 Agent 请求走 HTTPS，漏配后请求仍会直连外部。两个环境变量都要设。
• 重启后配置被覆盖：部分 Agent 在升级或重新注册时会重置配置文件。建议把代理配置写在 systemd override 文件中，避免被安装脚本覆盖。
• 代理池和 Agent 之间连接超时：先测试代理连通性 curl -x 代理地址 http://www.baidu.com -I，如果超时就检查安全组是否放行了代理池端口。

如果你正在处理 210.Agent 访问外部代理配置、统一 Agent 网络出口代理池，建议先在一台测试机走完上述步骤，再分批推送到其他服务器。
遇到异常时，优先检查代理池连通性、环境变量命名和 NO_PROXY 规则这三处，多数问题都能快速定位。