锁定 Windows 代理设置并不强制流量走代理
把 Windows 代理设置的管理控制与应用程序实际所用网络路径的强制分开考虑。
如果需求是“用户不得编辑这项受管理的代理设置”，请使用该设置受支持的管理策略。如果需求是“所有应用流量都必须走这个出口”，那你还有另一项需求。
Microsoft 通过 Internet Explorer 策略 CSP 中的 DisableProxyChange 设置记录了代理更改限制。请核对其支持范围、操作系统和管理格式。隐藏整个 Connections 页面的老办法，并不等于对当前每一个代理策略接口的准确描述。
该策略控制的是配置访问权。它不会把任意网络操作转换成 HTTP 代理请求。应用程序可以使用单独的、有文档记载的网络配置，或走该 Web 代理路径之外的协议。
请分别定义这两个结果：谁能更改受管理的配置，以及网络允许哪些出站连接。代理身份验证又是另一项控制。
在受管理部署中，评估结果时要把预期使用的应用和必需流量纳入范围。变灰的设置面板只能证明该面板本身的状态。它并不能说明每个进程现在都使用同一个出口 IP。