Windows 11 で UWP／ストアアプリが Clash を無視する？ループバック除外とシステムプロキシ・分流の突き合わせ（2026）
Windows 11 で Clash（Clash Verge Rev／Mihomo 系）を動かし、システムプロキシ も有効なのに、Microsoft Store や一部の UWP アプリだけ更新やログインが失敗する——このパターンは、ブラウザや Win32 アプリでは再現せず、ストア系に限って起きることが多いです。第一の論点は ループバック（Loopback）隔離 で、UWP は既定で 127.0.0.1 への通信を制限され、ローカルで待ち受けるプロキシへ届かないことがあります。本稿では CheckNetIsolation を使った確認と除外登録、続けて OS のプロキシ表示と Clash の分流・DNS の突き合わせまで、検索しやすい順に整理します。法令と利用規約の範囲内でご利用ください。
症状の切り分け：まず「本当にプロキシの問題か」を決める
手順を飛ばす前に、次のどれに近いかを決めると早いです。(1) Edge などのブラウザ は問題なく外向き通信できるが、Microsoft Store や Xbox アプリ、ニュース、天気などの UWP だけ失敗する。(2) どのアプリも外向きが不安定で、OS 全体の DNS やルールが怪しい。(3) 企業端末でアプリ制御や証明書検査が入っており、プロキシ以前に TLS で落ちている。
本稿の主眼は (1) です。(2) の場合は、まず Windows 11 での Clash Verge Rev 初回セットアップ で システムプロキシと TUN の単一化、ファイアウォール、他 VPN との競合を整理してください。(3) は社内ポリシー優先となり、本文の手順が使えないこともあります。
なぜ UWP は「システムプロキシがオンでも」127.0.0.1 に届かないのか
多くの Clash クライアントは、有効化すると Windows の システムプロキシ に 127.0.0.1 と mixed-port（例：7890）や HTTP ポートを書き込みます。Win32 の多くのアプリはこの設定を読み、ローカルプロキシへ CONNECT や HTTP プロキシ要求を送ります。
一方、UWP（サンドボックス化されたストアアプリ）は、既定で ネットワーク隔離（Network Isolation） の対象であり、自分自身のコンテナから ループバック（同一マシン上の 127.0.0.1）への通信がブロックされる設計になっています。結果として「OS のプロキシ欄には 127.0.0.1 が出ているのに、UWP だけプロキシに物理的に届かない」状態が起き得ます。これは Clash 固有の不具合というより、Windows のセキュリティモデル 側の話です。
逆に言えば、Loopback Exempt（ループバック除外） を対象アプリの Package Family Name（PFN） に対して付与すると、同じローカルプロキシへ到達できるようになる、という整理です。
ステップ1：Package Family Name（PFN）を調べる
CheckNetIsolation に渡す文字列として使うのは、多くの場合 PFN です。管理者権限の PowerShell で、対象に近い名前をワイルドカード検索します。
Get-AppxPackage *Store* | Select-Object Name, PackageFamilyName
Get-AppxPackage *Xbox* | Select-Object Name, PackageFamilyNameMicrosoft.WindowsStore_8wekyb3d8bbwe のように、パッケージ名と発行者ハッシュをアンダースコアでつないだ形式 が PFN です。複数ヒットしたら、実際に不調なアプリの Name に対応する行を選びます。PFN を誤ると除外が効かないので、コピー＆ペーストで確実に合わせてください。
ステップ2：CheckNetIsolation でループバック除外を追加する
管理者権限の コマンドプロンプト または PowerShell で、CheckNetIsolation.exe を実行します。概念としては「指定 PFN の UWP に対し、ループバック通信を許可する」操作です。実際のコマンド例は次の形です（PFN は環境の値に置き換え）。
CheckNetIsolation.exe LoopbackExempt -a -n="Microsoft.WindowsStore_8wekyb3d8bbwe"-a は追加（add）、-n に PFN を渡します。複数の UWP が対象なら、それぞれに同様の行を追加します。既に登録済みか確認したい場合は、環境によりオプション表記が異なるため、CheckNetIsolation.exe LoopbackExempt /? 相当でヘルプを表示し、一覧表示 のスイッチ（ドキュメント上は -s -d など）で現在の除外セットを眺めると安全です。
運用上の注意として、(1) OS アップデートやアプリ再インストールで PFN が変わると再設定が必要になることがあります。(2) ループバックを広げすぎると攻撃面が増えるという議論があるため、必要な PFN にだけ最小限 で付けるのがよいでしょう。(3) 一部の GUI ツール（開発者向けのループバック診断ユーティリティ等）は、同じレジストリ／API 操作を裏で行っているだけ、という理解に留まります。
ステップ3：Windows 11 の「システムプロキシ」表示を実物で確認する
ループバック除外の前後で、OS が本当に期待どおりのエンドポイントを指しているかを確認します。設定 → ネットワークとインターネット → プロキシ で、手動プロキシのスイッチとアドレス／ポートが、Clash の listen と一致しているかを見ます。クライアント側で「システムプロキシをオフにする」操作をしたまま放置していると、ここが空になっていることもあります。
また、別のプロキシツールが同じポートを奪っていたり、以前の VPN が残した設定が残っていると、UWP だけ挙動が変というより全体が不安定になりがちです。全体の整理は チュートリアルページ の用語説明と併せて読むと、設定画面のどこを見ればよいかが掴みやすくなります。
ステップ4：Clash 側——TUN とシステムプロキシ、どちらが効いているか
ループバック除外は「127.0.0.1 のプロキシへ行けるようにする」のが主目的です。一方、TUN モード を使うとトラフィックが仮想アダプタ側に載り、システムプロキシを経由しない アプリにも効かせやすい、という別ルートがあります。仕組みの詳細は TUN モードの解説記事 に譲りますが、実務では「まずシステムプロキシ＋ループバック除外で Store を直す → それでも残るアプリは TUN も検討」という二段構えが扱いやすいです。
TUN は他の VPN やフィルタドライバと競合しやすい点に注意してください。Clash Verge Rev などの GUI では、トレイメニューや設定画面に「管理者として再起動」や TUN のオンオフがあることが多く、ビルドごとに表記は変わります。初回のモード選択の考え方は 初回セットアップ記事 と同じ軸で読み替えてください。
ステップ5：分流ルールと DNS——「プロキシに届いたあと」で詰まっていないか
ループバックと OS プロキシが正しくても、Microsoft Store や Xbox の通信は Microsoft の CDN／認証エンドポイント に分散します。購読テンプレによっては、該当ドメインが DIRECT に落ちて期待と逆の経路になる、あるいは DNS が fake-ip や DoH の組み合わせで名前解決だけ失敗する、といった「第二段階」の詰まりがあります。
切り分けの基本は、(1) クライアントの Rule ログ または接続履歴で、問題のホストがどのポリシーにマッチしたかを見る、(2) DNS セクションで、暗号化 DNS と fake-ip の挙動がテンプレ推奨と揃っているかを確認する、の二点です。ルールの書き方自体は カスタムルールのチュートリアル や proxy-groups のガイド が参考になります。
「国内サイトを速くしたい」系の大きなルールセットを入れている場合、意図せず Microsoft 系ホストまで直結側に寄っているケースもあるため、ログ上のマッチ結果を一度疑う価値があります。
LAN 共有・Docker など「別記事」との棲み分け
スマホから PC の Clash を使う話は allow-lan とファイアウォール、コンテナからホストのプロキシへ届ける話は Docker Desktop の記事 が主戦場です。本稿の UWP／ループバック は、あくまで「同一 PC 上で 127.0.0.1 のプロキシが UWP から見えない」問題の補助線になります。
よくある質問
除外を入れたのに Store だけまだ失敗する
PFN の取り違え、別ユーザープロファイル下のストア、企業ポリシーによる追加制限を疑ってください。あわせて Rule ログで該当ホストが REJECT や意図しない DIRECT になっていないか、DNS がタイムアウトしていないかを見ます。
ループバックを広く許可したいが安全か
必要最小限の PFN に留めるのが無難です。全 UWP を一括で許可するツールも過去に存在しましたが、リスクと運用ポリシーのトレードオフを理解したうえで判断してください。
管理者権限が取れない PC では
CheckNetIsolation の追加は管理者コンテキストが必要になることが多く、制限された端末では実行できない場合があります。その場合は IT 部門の許可範囲で相談するか、ブラウザ等別クライアントでの利用に切り替えるなど、社内規程を優先してください。
まとめ
Windows 11 で Microsoft Store や一部 UWP だけ Clash が効かないように見えるときは、(1) ループバック隔離 により 127.0.0.1 のローカルプロキシに届いていない可能性、(2) OS の システムプロキシ 表示とクライアントの listen が一致しているか、(3) 届いたあとで 分流 や DNS がホストを期待どおり処理しているか、の順で見ると迷子になりにくいです。CheckNetIsolation と PFN は検索クエリとしても出やすく、再現手順をメモしておくと次回以降が楽になります。
クライアントの入手と更新の追い方は、実行ファイルの配布元を揃える意味で 本サイトのダウンロードページ を第一にすると、記事の前提とも整合しやすいです。オープンソースのライセンス確認や Issue 追跡は GitHub を参照しつつ、日々のインストール導線はサイト側を優先するのがすっきりします。汎用 VPN より ルールで経路を分けられる Clash の方が、ストア系と開発用トラフィックを同居させたい用途では運用しやすい場面が多いです。