科学上网使用教程与进阶配置大系（2026 现代代理实战指南）

⚡ Answer-First 核心速览（配置与模式选型准则）

日常浏览网页与办公首选 规则模式（Rule） 配合 Fake-IP DNS 解析，既能保证国内流量直连不减速，又能消除境外域名的本地 DNS 解析延迟；遇到游戏联机、命令行工具或 UWP 应用流量走漏时，开启 TUN 虚拟网卡模式 全局接管网络层 IP 报文；订阅更新失败优先检查本地系统时间与国际标准时钟偏差；配置局域网共享只需开启 Allow LAN 并将其他设备的 HTTP 代理指向主机局域网 IP 与混合端口。

核心机制与系统网络栈深度解剖

出海通信工具要将本地流量送达远端节点，首先必须在操作系统网络栈中完成流量捕获与路由分流。理解客户端在不同层级的工作方式，能直接解决绝大多数打不开网页、终端无法拉取代码以及特定应用走漏流量的问题。

1. Fake-IP 与 Redir-Host 的 DNS 解析差异

在现代代理客户端（如 Mihomo、Sing-box 与 Surge）中，DNS 处理处于路由决策的最前端。传统的 Redir-Host 模式与现代广泛采用的 Fake-IP 模式在处理流程上存在本质不同。

[传统 Redir-Host 模式工作流]
应用程序发起 DNS 查询 (google.com)
  ├──> 操作系统将 UDP:53 请求发给客户端本地虚拟 DNS 模块
  ├──> 客户端向远端真实公共 DNS (8.8.8.8 / 1.1.1.1) 发送解析请求 (消耗 1 个 RTT 往返延迟)
  ├──> 获取真实海外 IP (如 172.217.160.78)
  └──> 返回真实 IP 给应用程序 ──> 应用程序向真实 IP 发起 TCP 连接 ──> 客户端拦截并由代理转发

[现代 Fake-IP 模式工作流]
应用程序发起 DNS 查询 (google.com)
  ├──> 客户端本地虚拟 DNS 模块立即从保留网段 (如 198.18.0.0/15) 分配一个虚拟 IP (如 198.18.0.23)
  ├──> 在本地内存映射表中记录: 198.18.0.23 <===> google.com (耗时 0 毫秒，无网络往返)
  ├──> 立即将 198.18.0.23 返回给应用程序
  └──> 应用程序向 198.18.0.23 建立 TCP 连接 ──> 客户端拦截该连接 ──> 反查映射表还原出 google.com ──> 将域名送入远程节点解析与建立连接

在 Redir-Host 模式下，客户端必须等待远端 DNS 服务器返回真实 IP 地址，才能把结果提供给浏览器。国内用户查询境外服务器通常需要跨越数千公里公网，这会带来 150 到 300 毫秒的初始等待时间。更严重的是，部分本地运营商会劫持或污染标准 53 端口的 UDP 查询，导致解析结果直接变成错误的黑洞地址。

Fake-IP 模式彻底解决了这个问题。客户端在收到系统发来的 DNS 请求瞬间，立即从本地预留地址段（RFC 2544 规定的基准测试保留网段 198.18.0.0/15）抓取一个未被占用的虚拟 IP 返回给调用方，同时在本地哈希表中记录该虚拟 IP 与目标域名的对应关系。应用程序随后对该虚拟 IP 发起 TCP 握手。客户端的网络截获模块捕获到该握手包后，反查内存哈希表，还原出原始目标域名 google.com，并将域名和连接请求打包送入加密隧道。域名解析完全转移到海外落地机房执行，本地免除了任何向外发起 DNS 请求的过程，彻底规避了境内运营商的 DNS 劫持与探测，同时将网页首包请求的延迟降低了一个完整的往返周期。

不过 Fake-IP 也有边界。如果某些特定老旧客户端对 IP 地址进行了本地缓存，或者尝试直接通过 Ping 探测连通性，会发现所有境外域名解析出来的地址都是 198.18.x.x。针对某些严格校验服务端真实 IP 归属的金融或游戏客户端，需要在配置文件中使用 fake-ip-filter 字段将对应域名排除在 Fake-IP 池之外，强制采用真实解析。

2. TUN 虚拟网卡截获 IP 层流量的机制

系统代理只能接管主动读取操作系统代理设置的应用程序，而很多程序（如 Windows 命令行、游戏、Docker、部分流媒体应用）完全无视系统的 HTTP 代理配置。要实现系统无死角接管，必须引入 TUN 虚拟网卡。

TUN（Network TUNnel）是一种在操作系统内核与用户态空间之间传输第三层（网络层 IP 报文）数据的虚拟网络接口。在 Windows 上主要使用 Wintun 驱动，在 macOS 与 Linux 上则使用系统原生的 utun 或 tun 模块。

[TUN 虚拟网卡路由截获拓扑]
物理网卡 (Physical NIC: 以太网 / Wi-Fi)
  ▲
  │ (真实物理数据帧出入)
  ▼
操作系统内核网络路由表 (Kernel Routing Table)
  │
  ├── 默认路由 0.0.0.0/1     ──> 指向 TUN 虚拟网卡 (wintun) 网关
  ├── 默认路由 128.0.0.0/1   ──> 指向 TUN 虚拟网卡 (wintun) 网关
  └── 节点真实服务器 IP 路由  ──> 保留指向物理网卡网关 (防止路由死锁回环)
  ▲
  │ (所有应用 IP 数据包强行导向 TUN)
  ▼
TUN 虚拟网络适配器 (Wintun / utun)
  │ (接收第三层 IP 数据报文)
  ▼
用户态网络协议栈 (LwIP / gVisor)
  │ (将 IP 报文解构还原为 TCP 流与 UDP 数据报)
  ▼
代理客户端内核 (Mihomo / Sing-box)
  ├── 匹配分流规则 (Domain / IP-CIDR / Process-Name)
  ├── 直连流量 ──> 经由物理网卡直接发送
  └── 代理流量 ──> 加密封装后发送至海外落地节点

TUN 模式启动时，客户端会通过系统 API 修改操作系统的路由表。为了避免直接覆盖默认网关引发异常，客户端通常采用精巧的掩码分割法，在路由表中注入两条覆盖度更精准的子网路由 0.0.0.0/1 和 128.0.0.0/1。根据网络路由匹配中“最长前缀匹配”的最优法则，这两条路由的优先级高于系统原有的默认网关 0.0.0.0/0，从而使得系统内任意进程发出的所有 IP 报文都被强制送入虚拟网卡。

接下来是关键的用户态协议栈转换。TUN 虚拟网卡吐出来的是原始的第三层 IP 报文（包含了 IP 标头、校验和与片偏移），但现代代理协议（如 Shadowsocks、VLESS、Trojan）工作在第四层或第七层，处理的是抽象的 TCP 数据流或 UDP 数据载荷。此时客户端内部集成的轻量级网络协议栈（如 LwIP 或谷歌的 gVisor）就会接管这些报文，在用户态内存中重新组装 TCP 滑动窗口、处理握手与确认，最后把纯净的数据流投递到分流引擎。这套流程不仅可以捕获浏览器流量，还能接管诸如 Steam、Discord 语音通话、WSL 子系统乃至原生终端中产生的一切网络通信。

3. 系统代理与终端环境变量的边界与冲突

新手经常遇到一个困惑，桌面右下角明明已经打开了代理软件，并且能正常在 Chrome 里浏览海外网站，但在 PowerShell 或 CMD 里运行 git clone 或是 npm install 却一直超时报错。

这牵涉到操作系统中系统代理的实际作用范围。在 Windows 系统中，客户端开启系统代理本质上是修改了系统的注册表项。对应键值如下

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
- ProxyEnable = 1
- ProxyServer = 127.0.0.1:7890

这个注册表项主要被 WinINET 库、Edge、Chrome 以及遵循 Windows 系统网络规范的桌面软件所读取。而大量的跨平台开发者工具、编译环境与终端工具（包括 Git、Python Requests、Node.js、Go 与 Docker）从设计之初就遵从 Unix 规范，完全忽略 Windows 注册表中的代理键值。

要让这些开发工具正常通过代理出海，常规有两种途径。 第一种途径是在终端运行前手动注入环境变量

$env:HTTP_PROXY="http://127.0.0.1:7890"
$env:HTTPS_PROXY="http://127.0.0.1:7890"

第二种途径则是开启客户端的 TUN 模式，从操作系统网络驱动层强制捕获数据包，彻底免去针对每个语言环境配置环境变量的繁琐步骤。

---

2026 代理模式与网络接管巨幅对比大表

不同代理模式在接管范围、系统开销与分流精度上各有侧重。下表给出了客观量化与多维度横评。

维度对比项	规则模式 (Rule Mode)	全局模式 (Global Mode)	直连模式 (Direct Mode)	TUN 虚拟网卡模式 (TUN Mode)
工作所在层级	传输层与应用层 (Socks5/HTTP)	传输层与应用层 (Socks5/HTTP)	传输层与应用层 (透明放行)	网络层 (IP 报文捕获，Layer 3)
接管流量覆盖率	仅限主动读取系统代理的应用程序	仅限主动读取系统代理的应用程序	仅限主动读取系统代理的应用程序	全局 100% 覆盖（含命令行、UWP、游戏、Docker）
DNS 解析策略	Fake-IP 或国内直连分流解析	强制走海外代理节点解析	走本地物理网卡配置的公共 DNS	本地虚拟 DNS 劫持与 Fake-IP 双栈
国内应用访问速度	毫无影响，精准匹配直连策略	严重减速，所有国内网站绕道海外	原生物理速度	由客户端内置规则决定，国内流量直连
防 IP 关联与防风控	极佳，海内外应用网络环境严格隔离	较差，国内微信与淘宝等被海外 IP 记录	不涉及出海代理	极佳，可精确按进程名或目标 IP-CIDR 分流
游戏 UDP 联机支持	较弱，无法截获非系统代理 UDP 包	较弱，对游戏独立网络栈无效	物理直连，无加速效果	极高，完整接管 UDP 数据包并低延迟转发
系统 CPU 与内存开销	极低（内存增加约 30MB）	极低（无复杂分流匹配计算）	几乎为零	稍高（LwIP 用户态协议栈重组报文，CPU 增加 2% 到 5%）
最适用的核心场景	日常主力办公、网页浏览、视频播放	紧急排查分流规则失效、临时测试访问	暂停代理调试本地内部服务	游戏联机对战、跨国开发、全局无感知出海

---

出海网络配置与分流决策树

当你初次配置网络或调整路由规则时，请参考以下 60 秒极速决策树选择最稳妥的参数组合

[启动：你需要配置哪类应用或设备？]
  │
  ├── 1. 日常 PC 办公与流媒体追剧 (Chrome / Edge / Telegram)
  │      ├── 是否经常访问国内网银、微信与政务系统？
  │      │     ├── 是 ──> 保持【规则模式 (Rule)】+【Fake-IP】+ 系统代理打开
  │      │     └── 否 ──> 遇到境外冷门站点打不开时临时切换【全局模式】排查
  │      └── 推荐组合: 基础 Rule 分流 + 内置 GeoSite/GeoIP 自动更新
  │
  ├── 2. 程序员与开发者本地环境 (Git / Docker / Python Pip / VS Code)
  │      ├── 方案 A (推荐): 直接开启客户端【TUN 模式】，无需配置任何环境变量
  │      └── 方案 B: 在终端 Profile 中注入临时 Proxy 别名 (HTTP_PROXY="http://127.0.0.1:7890")
  │
  ├── 3. 游戏联机与外服对战 (Steam / EA / PS5 / Switch)
  │      ├── 本机游戏 (PC 端) ──> 必须启用【TUN 模式】+ UDP 转发开启 + 选香港/日本专线
  │      └── 主机游戏 (PS5 / Switch) ──> 开启【Allow LAN】并在主机网络中填入电脑内网 IP 与混合端口
  │
  └── 4. 手机端出海与多设备联动 (iOS / Android)
         ├── 苹果生态 ──> Shadowrocket / Loon 安装描述文件并开启 VPN 配置
         └── 安卓系统 ──> Sing-box / v2rayNG 开启 VpnService 并配置分应用代理排除国内 App

---

订阅链接解析与导入配置

1. 订阅格式的技术解构

机场或自建服务端提供的订阅链接通常是一个能够返回节点信息的 HTTP 接口。常见的订阅返回格式有三类。

• Base64 字符串格式 老牌协议最常用的编码。响应体是一串经过标准 Base64 编码的长文本，解码后是按行排列的协议 URI，例如 vmess://...、vless://... 或 ss://...。这种格式体积小，解析极为简单，被 v2rayN 与 v2rayNG 等传统客户端广泛使用。

• Clash YAML 配置文件格式 现代通用代理的标准格式。服务端直接返回一个符合 YAML 规范的完整文本，包含 proxies（节点列表）、proxy-groups（策略组）以及 rules（分流规则）。客户端下载后可以直接作为运行配置载入，无需本地重新编排策略。

• Sing-box JSON 格式 新一代代理平台使用的规范。采用严谨的 JSON 语法描述 inbounds、outbounds 与 route.rules，结构严密，支持更细致的入站出站路由匹配。

2. 本地 Clash 核心配置范例

如果你希望在本地手动编排配置文件，可以参考以下经过深度精简与优化的标准 YAML 模版，它涵盖了入站端口、Fake-IP DNS 配置与典型分流规则。

port: 7890
socks-port: 7891
mixed-port: 7890
allow-lan: false
mode: rule
log-level: info
ipv6: false

dns:
  enable: true
  listen: 127.0.0.1:1053
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-filter:
    - "*.lan"
    - "*.local"
    - "localhost.ptlogin2.qq.com"
  default-nameserver:
    - 223.5.5.5
    - 119.29.29.29
  nameserver:
    - https://doh.pub/dns-query
    - https://dns.alidns.com/dns-query
  fallback:
    - https://1.1.1.1/dns-query
    - https://8.8.8.8/dns-query
  fallback-filter:
    geoip: true
    geoip-code: CN
    ipcidr:
      - 240.0.0.0/4

proxies:
  - name: "香港 01 [专线]"
    type: ss
    server: hk01.example.com
    port: 443
    cipher: 2022-blake3-aes-128-gcm
    password: "YourSecretPasswordHere"

proxy-groups:
  - name: "节点选择"
    type: select
    proxies:
      - "自动优选"
      - "香港 01 [专线]"
      - "DIRECT"

  - name: "自动优选"
    type: url-test
    url: http://www.gstatic.com/generate_204
    interval: 300
    tolerance: 50
    proxies:
      - "香港 01 [专线]"

rules:
  - DOMAIN-SUFFIX,google.com,节点选择
  - DOMAIN-SUFFIX,github.com,节点选择
  - DOMAIN-KEYWORD,twitter,节点选择
  - GEOIP,CN,DIRECT
  - MATCH,节点选择

3. Sub-Store 订阅聚合与节点洗牌

当手头同时持有多家机场的订阅链接时，手动切换极为繁琐。使用开源的 Sub-Store 工具可以在本地或云端构建全自动订阅管道。

Sub-Store 支持从多个订阅源拉取节点，自动执行正则过滤，剔除包含官网或到期时间等无用通知节点，统一对节点名称进行国家地区标准化命名，并附带规范的 Emoji 国旗图标。最终输出一份属于你自己的私有定制订阅 URL，彻底实现无论上游机场怎么变，客户端订阅链接永不失效。

---

路由模式与网络接管机制

1. 规则模式的分流匹配顺序

规则模式是客户端的核心。数据包到达客户端路由引擎后，引擎会按照配置文件中声明的顺序从上到下逐条遍历，一旦命中首条匹配规则，立即将流量送入指定的目标策略组或动作，后续规则不再参与匹配。

分流匹配通常包含以下层级逻辑。

1. 预定义私有与局域网放行，匹配 GEOIP,private,DIRECT，确保局域网打印机、NAS 与路由器后台走直连。
2. 精准域名与关键词匹配，匹配 DOMAIN-SUFFIX 或 DOMAIN-KEYWORD，将高频境外服务（Google、OpenAI、GitHub）直接送入代理策略。
3. 地理数据库粗筛，匹配 GEOIP,CN,DIRECT，利用离线 IP 数据库将所有归属于中国大陆的 IP 段批量划入直连。
4. 兜底兜底规则（MATCH / FINAL），未命中的未知流量根据设定的默认策略流转，通常默认送入代理，防止新增被封站点无法访问。

2. 避免常见死锁与微信白名单配置

很多用户开启代理后发现微信图片发送缓慢，甚至在电脑端出现小程序加载失败的问题。这是因为微信部分静态资源与语音服务器部署在特殊的 CDN 节点上，容易被通用规则误判为海外流量。

在客户端中可以针对国内高频通讯工具编写独立的高优先级放行规则。

rules:
  # 优先放行本地局域网通讯
  - GEOIP,private,DIRECT,no-resolve
  # 微信核心域名直连
  - DOMAIN-SUFFIX,weixin.qq.com,DIRECT
  - DOMAIN-SUFFIX,qpic.cn,DIRECT
  - DOMAIN-SUFFIX,qq.com,DIRECT
  - DOMAIN-KEYWORD,wechat,DIRECT
  # 常见国内云厂商直连
  - DOMAIN-SUFFIX,aliyuncs.com,DIRECT
  - DOMAIN-SUFFIX,tencentcloudapi.com,DIRECT
  # 境外核心服务走代理
  - DOMAIN-SUFFIX,openai.com,节点选择
  - DOMAIN-SUFFIX,claude.ai,节点选择
  # 兜底分流
  - GEOIP,CN,DIRECT
  - MATCH,节点选择

---

节点选择与真实质量判断标准

1. 延迟指标去伪存真

客户端界面上的测速按钮通常会给出一个以毫秒为单位的绿色数字（如 35ms 或 120ms）。很多新手误以为数值越小，上网看视频的速度就一定越快。

这里的延迟测试本质上是客户端向指定服务器发送一个极小 HTTP 探测请求所耗费的往返时间（RTT）。低延迟只代表当前节点距离你所在的地理位置物理跳数少或走内网专线，并不代表该节点的出口带宽容量充足。如果某个香港节点延迟仅有 25 毫秒，但机房带宽已经被数百名用户挤满，那么在播放 4K 视频时就会发生严重的 TCP 拥塞窗口收缩，出现频繁转圈缓冲。

判断一个节点真实质量的综合指标应当包含三项。

• 持续丢包率（Packet Loss），丢包率高于 5% 会导致 TCP 反复重传，交互严重顿挫。
• 时延抖动（Jitter），延迟在 40ms 到 200ms 之间大幅波动表明链路存在拥塞或路由漂移。
• 大文件持续吞吐带宽，考察能否稳定跑满本地宽带下行峰值。

2. 自动选择（URL-Test）与故障转移（Fallback）调优

在 Clash 策略组中，url-test 策略负责在多个节点中自动选取延迟最低者，而 fallback 策略则负责在当前节点宕机时自动切换到备用节点。

配置这两类策略时必须注意调整参数，避免节点频繁来回横跳引发账号异地登录风控。

proxy-groups:
  - name: "流媒体自动优选"
    type: url-test
    url: http://cp.cloudflare.com/generate_204
    interval: 600      # 探测时间间隔延长到 10 分钟一次，避免频繁探测消耗节点流量
    tolerance: 60      # 容差设为 60ms，只有当备选节点比当前节点快 60ms 以上时才触发切换
    lazy: true         # 开启懒加载，无流量请求时不主动发包探测
    proxies:
      - "香港 01"
      - "香港 02"
      - "日本 01"

  - name: "外贸稳定主备"
    type: fallback
    url: http://www.gstatic.com/generate_204
    interval: 180
    proxies:
      - "美国 01 [原生固定IP]"
      - "美国 02 [备用高可用]"

---

DNS 配置与防污染实操

1. 防污染架构设计原则

在科学上网体系中，DNS 是网络体验的基石。一个高可用且防污染的 DNS 架构必须遵循两条铁律。

• 国内域名必须直接交由国内高权威 DNS 服务器（阿里 DNS 223.5.5.5 或腾讯 DNSPod 119.29.29.29）解析，确保拿到距离本地物理位置最近的国内 CDN 节点 IP。
• 境外域名严禁走本地未加密的 UDP 53 端口查询，必须由代理客户端在远端节点直接通过安全通道解析，或者在本地通过 DoH 加密通道向海外可信解析服务器查询。

2. Clash 进阶分流 DNS 配置实操

以下是生产环境中推荐采用的高性能防污染 DNS 配置片段。

dns:
  enable: true
  listen: 127.0.0.1:1053
  ipv6: false
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  use-hosts: true
  
  # 用于解析 DoH 域名自身的基础解析服务器
  default-nameserver:
    - 223.5.5.5
    - 119.29.29.29
    - 1.1.1.1
    
  # 主要解析服务器列表，国内域名首选
  nameserver:
    - https://dns.alidns.com/dns-query
    - https://doh.pub/dns-query
    
  # 兜底解析服务器，专门处理非国内 IP 的解析
  fallback:
    - https://dns.google/dns-query
    - https://1.1.1.1/dns-query
    
  # 路由过滤规则：如果 nameserver 解析出的 IP 不在中国境内，则强制采纳 fallback 结果
  fallback-filter:
    geoip: true
    geoip-code: CN
    ipcidr:
      - 240.0.0.0/4
      - 0.0.0.0/32

---

终端开发与命令行代理加速

1. 终端环境快速设置环境变量

针对 Windows、macOS 与 Linux 终端无法自动出海的问题，可以在终端会话中手动指定代理环境变量。

在 Windows PowerShell 中输入以下命令

# 开启当前终端代理 (假设客户端本地混合端口为 7890)
$env:HTTP_PROXY="http://127.0.0.1:7890"
$env:HTTPS_PROXY="http://127.0.0.1:7890"

# 验证当前外网 IP 归属地
curl.exe https://api.ip.sb/ip

# 关闭当前终端代理
$env:HTTP_PROXY=""
$env:HTTPS_PROXY=""

在 macOS 与 Linux 的 Bash 或 Zsh 中，可以将以下函数写入用户的启动配置文件中

# 定义快速开闭代理函数
function proxy_on() {
    export http_proxy="http://127.0.0.1:7890"
    export https_proxy="http://127.0.0.1:7890"
    export all_proxy="socks5://127.0.0.1:7891"
    echo "Terminal proxy has been enabled."
}

function proxy_off() {
    unset http_proxy
    unset https_proxy
    unset all_proxy
    echo "Terminal proxy disabled."
}

2. Git 专项加速配置

Git 既可以使用 HTTP 协议克隆，也可以使用 SSH 协议。二者的代理配置方式不同。

针对 HTTP 或 HTTPS 仓库输入以下命令

# 全局设置 Git 走本地 HTTP 代理
git config --global http.proxy http://127.0.0.1:7890
git config --global https.proxy http://127.0.0.1:7890

# 仅针对 GitHub 单独配置代理，不影响国内 Gitee
git config --global http.https://github.com.proxy http://127.0.0.1:7890

# 清除 Git 代理配置
git config --global --unset http.proxy
git config --global --unset https.proxy

针对 SSH 协议（形如 [email protected]:...），需要编辑用户家目录下的配置文件 ~/.ssh/config

Host github.com
    User git
    ProxyCommand connect -H 127.0.0.1:7890 %h %p

在 Windows 环境下，若使用 Git 自带的 connect.exe，命令路径通常在 C:/Program Files/Git/mingw64/bin/connect.exe。

3. Docker 守护进程代理加速

Docker 客户端与 Docker Daemon 是分离架构。在终端运行 docker pull 时，真正向海外镜像仓库发起网络拉取的是后台服务进程。

在 Linux 系统中为 Docker 配置代理的规范做法是创建并编辑 systemd 扩展配置文件

sudo mkdir -p /etc/systemd/system/docker.service.d
sudo tee /etc/systemd/system/docker.service.d/http-proxy.conf << EOF
[Service]
Environment="HTTP_PROXY=http://127.0.0.1:7890"
Environment="HTTPS_PROXY=http://127.0.0.1:7890"
Environment="NO_PROXY=localhost,127.0.0.1,docker-registry.local"
EOF

# 重载系统服务并重启 Docker
sudo systemctl daemon-reload
sudo systemctl restart docker

---

局域网共享与多设备联动

1. 允许局域网连接原理与配置

如果你家里拥有一台常年开机的台式机或软路由，可以让同一 Wi-Fi 网络下的 iPhone、iPad、Android 手机、Switch 乃至 PS5 主机免装任何翻墙客户端，直接共享台式机的出海能力。

配置步骤非常清晰。

1. 打开桌面端客户端设置界面，勾选 Allow LAN（允许局域网连接）。
2. 查看台式机当前在路由器局域网中的真实 IP 地址。可以在 PowerShell 中运行 ipconfig，找到形如 192.168.1.150 的内网 IPv4 地址。
3. 记录客户端设置的混合代理端口（默认通常是 7890）。

2. 主机与移动设备端手动配置

以 Nintendo Switch 或索尼 PS5 为例。

• 进入主机系统设置，点击互联网设置，连接到家里的 Wi-Fi 网络。
• 找到该 Wi-Fi 的进阶网络属性，找到代理服务器选项并选择启用。
• 在服务器栏填入台式机局域网 IP 地址 192.168.1.150。
• 在端口栏填入对应端口 7890。
• 保存连接并执行网络测试。此时主机的 eShop 商店与外服联机下载流量将直接由台式机代理接管。

---

流媒体与海外生态服务解锁

1. Netflix 与流媒体锁区解析机制

Netflix、Disney+ 与 HBO Max 等国际流媒体平台采用极为严苛的版权保护与 IP 审计系统。平台通过商业数据库持续检测访问者的 IP 地址类型。

IP 地址通常被分为三类。

• 机房数据中心 IP（Hosting 或 Data Center），云厂商租用的机房服务器。Netflix 会直接识别并限制此类 IP 仅能观看无版权限制的自制剧，无法搜索到非自制版权影片。
• 双 ISP 原生住宅 IP（Residential 或 ISP），海外当地电信运营商分配给家庭宽带用户的真实原生 IP。这是完美解锁全区流媒体与开通低价跨区会员的最强保障。
• 住宅代理 IP（Residential Proxy），通过住宅宽带转接的跳板。

如果订阅中的香港或新加坡节点在流媒体测试中显示仅解锁自制剧，通常表明该节点的 IP 段已经被 Netflix 标记为机房代理。此时应当在客户端中切换至标有原生、流媒体解锁或双 ISP 标识的特定专属节点。

2. 规避海外金融风控操作准则

在注册与使用国际版 PayPal、Stripe 绑定国内信用卡以及开通 Google Play 跨区服务时，异地风控极为敏感。

以下是降低被封控概率的操作准则。

• 锁定单一地区节点，在进行账号注册与金融交易时，切勿开启节点自动优选，务必固定连接到一个指定的高稳定性专线节点。
• 系统语言与时区对齐，使用 Chrome 隐私模式窗口，并将操作系统的时区调整为与节点 IP 归属地一致（如连接美国西海岸节点时，将时区设为太平洋时间 UTC-8）。
• 关闭浏览器 WebRTC 真实 IP 泄露，在浏览器中安装防 WebRTC 泄露插件，防止浏览器通过 STUN 穿透向目标网站暴露本地真实出海 IP。

---

进阶分流规则编写与自动化监控

1. 编写自定义分流规则

当遇到某些生僻网站既没有包含在 GeoSite 库中，又无法自动走代理时，可以在客户端配置文件的 rules 最顶端追加自定义规则。

rules:
  # 按照完整域名精确匹配
  - DOMAIN,my-internal-work-domain.com,DIRECT
  
  # 按照域名后缀匹配 (包含该域名及所有二级子域名)
  - DOMAIN-SUFFIX,claude.ai,节点选择
  - DOMAIN-SUFFIX,anthropic.com,节点选择
  
  # 按照域名关键字匹配 (只要网址包含关键词就触发)
  - DOMAIN-KEYWORD,notion,节点选择
  
  # 按照目标 IP 网段匹配 (无需本地 DNS 解析)
  - IP-CIDR,140.82.112.0/20,节点选择,no-resolve
  
  # 按照发出请求的本地应用程序进程名精确分流 (仅支持 Windows / macOS)
  - PROCESS-NAME,Telegram.exe,节点选择
  - PROCESS-NAME,Discord.exe,节点选择
  - PROCESS-NAME,WeChat.exe,DIRECT

参数 no-resolve 表示当匹配这条 IP 规则时，客户端不需要预先在本地对域名执行 DNS 解析，从而防止无意义的解析等待。

2. 自动化监控脚本与容灾守护

对于长年在外贸或跨国开发业务中依赖网络的用户，单条订阅失效可能造成直接业务损失。可以利用 Python 编写一个极轻量级的守护脚本，定时检测本地出海连通性并在断连时自动向 Telegram 机器人发送警报。

import time
import requests

CHECK_URL = "http://www.gstatic.com/generate_204"
LOCAL_PROXY = {"http": "http://127.0.0.1:7890", "https": "http://127.0.0.1:7890"}

def check_connectivity():
    try:
        response = requests.get(CHECK_URL, proxies=LOCAL_PROXY, timeout=5)
        return response.status_code == 204
    except Exception:
        return False

def main():
    consecutive_failures = 0
    while True:
        if not check_connectivity():
            consecutive_failures += 1
            print(f"[警告] 网络连通性测试失败，连续失败次数 {consecutive_failures}")
            if consecutive_failures >= 3:
                print("[严重] 出海链路已连续中断超过 3 次，建议切换备用订阅或重启客户端！")
        else:
            if consecutive_failures > 0:
                print("[恢复] 出海网络通信已恢复正常。")
            consecutive_failures = 0
        time.sleep(30)

if __name__ == "__main__":
    main()

---

蜂巢 Topic Cluster 矩阵导航

使用教程大系下辖 8 个二级专题、16 个三级集群以及完整落地实战文章。点击对应链接即可直达深度专属实操教程。

1. 订阅链接与导入配置

涵盖各协议订阅格式解构与 Sub-Store 本地聚合部署实操。

• 什么是机场订阅链接？Base64 与 YAML 格式全解析
• 订阅链接导入 Clash Verge 与 v2rayN 详细步骤图解
• Sub-Store 自动化订阅管理与节点重命名进阶教程
• 编写本地私有 Clash 配置文件，节点组与语法规范

2. 路由模式与网络接管机制

深度剖析 Rule、Global、Direct 与 TUN 模式底层分流原理。

• 三大核心代理模式深度横评与日常选型建议
• TUN 虚拟网卡如何无死角接管系统应用与游戏流量
• 为特定应用编写白名单进程规则防止微信走海外
• 局域网内网穿透与本地 NAS 绕过代理规则设置

3. 节点选择与延迟质量判断

告别虚假低延迟误区，建立多维度网络质量评判坐标系。

• Ping 延迟与真实吞吐带宽脱节的技术成因
• 香港、日本、新加坡与美国节点场景化选择指南
• 配置 URL-Test 与 Fallback 策略实现节点秒级自动容灾
• 流媒体选型误区，为什么高码率 4K 绝不能只看 Ping

4. DNS 配置与防污染实操

彻底解决 DNS 污染、DNS 泄露与解析死锁的高级架构设计。

• 使用 ipleak 深度检测并消除本地 DNS 真实归属暴露
• Fake-IP 模式与 Redir-Host 模式深度对比与选型实操
• 在代理客户端中集成 DoH 加密 DNS 防运营商劫持
• 国内外分流解析架构，国内走阿里腾讯，国外走安全隧道

5. 终端、开发与命令行代理

针对程序员与极客工程师打造的终端开发环境全面出海指南。

• Windows PowerShell、CMD 与 Git Bash 终端代理配置
• macOS 与 Linux 终端配置一键 Proxy 开闭快捷函数
• Docker 守护进程配置代理极速拉取海外镜像方案
• NPM、Pip、Conda 与 VS Code 远程开发出海加速配置

6. 局域网共享与多设备联动

一台电脑开启代理，全屋手机、平板、Switch 与 PS5 免客户端出海。

• 客户端 Allow LAN 深度配置与局域网端口绑定全解
• 任天堂 Switch 与索尼 PS5 设置本地 HTTP 代理图解
• Windows 开启移动热点并强制共享出海网络流量实操
• 局域网访问控制与多网段 VLAN 代理流量穿透

7. 流媒体与海外生态服务解锁

攻克 Netflix、ChatGPT、PayPal 等严格风控平台的实战秘籍。

• Netflix 原生住宅双 ISP 解锁节点挑选与家庭合租指南
• YouTube 4K 高码率流畅播放与 VP9 硬件解码配置
• PayPal 国际版绑定国内双币信用卡防封控操作规范
• 海外 Apple ID 注册换区与充值礼品卡避坑指南

8. 进阶高级玩法与网络优化

定制个性化分流规则、链式代理跳板与自动化状态运维监控。

• 编写第一条自定义分流规则，DOMAIN 与 IP-CIDR 实战
• 链式代理配置，前置专线过墙配合落地住宅高匿名 IP
• 利用 GitHub Actions 实现私有订阅每日自动同步更新
• 多网卡跃点数优化，内网走有线网卡出海走无线网卡

---

优质高可用出海网络选型卡片

出海配置的上限最终由底层线路质量决定。无论客户端分流规则多么精巧，如果上游节点频繁丢包或遭遇网络干扰，使用体验依然会受损。以下提供两款经过 365 天高强度实测的优质网络方案。

🥇 方案一 企业级 IPLC 纯内网专线服务全场景稳定首选

技术架构 全国多入口智能 BGP 接入，跨国传输完全走内网专线光缆，物理绕过公网网络审查，晚高峰丢包率为零。

• 实测表现 香港延迟稳定 18ms，日本延迟 42ms，全天候播放 4K 视频毫无拖沓。
• 解锁能力 全节点提供双 ISP 原生住宅 IP，原生支持 Netflix、Disney+ 与 ChatGPT-4o。
• 价格区间 月付 25 元起，支持月付、季付与年付。
• 客观缺点 专线带宽成本高昂，不提供无限流量套餐，不适合大容量 BT 下载。

查阅专线线路实测报告与配置指南 →

🥈 方案二 自适应 Hysteria 2 / TUIC v5 混合服务恶劣弱网黑马

技术架构 深度融合新兴 UDP 拥塞控制协议与动态端口跳跃技术，专为晚高峰公网严重丢包环境量身定制。

• 实测表现 在公网丢包高达 30% 的极劣移动弱网下，单连接依然可跑出 450Mbps 吞吐。
• 协议支持 完美契合 Sing-box 与 Mihomo 内核，提供一键订阅转换与全平台导入。
• 价格区间 月付 15 元起，提供极具性价比的多档海量流量包。
• 客观缺点 部分地区个别运营商对 UDP 协议存在 QoS 限制，需客户端开启端口跳跃特性。

查阅完整协议评测跑分与导入配置 →

---

深度技术疑难常见问答（FAQ）

Q1 为什么开启代理后本地系统时间偏差会导致网页打不开？

绝大多数现代出海协议（包括 VMess、VLESS、Trojan 以及所有 HTTPS 网站的 TLS 握手）都高度依赖时间戳校验。当操作系统本地时钟与国际标准 UTC 时间偏差超过 90 秒时，TLS 握手协议会直接认定证书尚未生效或已经过期，服务端会立刻拒绝客户端的连接协商。遇到节点延迟显示正常但网页全报 SSL 错误时，首先前往系统设置将时间同步服务器改为 pool.ntp.org 重新同步。

Q2 开启代理后为什么国内某些 App 或网站会提示网络异常？

这通常是因为分流规则不完善，导致国内应用的某些 API 请求被误送入海外节点。海外节点访问国内特定服务器时可能触发反爬虫风控。解决方法是在规则列表中将国内服务涉及的顶级域名追加至 DIRECT 直连组，或者在客户端中开启 GeoSite 国内域名数据库自动更新。

Q3 开启 TUN 模式后电脑无法访问局域网内的打印机或群晖 NAS 怎么处理？

TUN 模式默认可能会将所有本地私有网段的流量也吸入虚拟网卡。需要在客户端配置中将内网保留网段显式加入排除列表。在 Clash 配置文件的 tun 模块中配置 route-exclude-address，添加 192.168.0.0/16、10.0.0.0/8 与 172.16.0.0/12，确保私有局域网通信直达物理网卡。

Q4 为什么手机锁屏几分钟后代理会自动断开无法接收消息？

这是国产 Android 厂商系统的激进电池管理策略导致的。系统后台会将无前台界面的代理客户端强行冻结或杀死。解决方法是进入手机系统设置，找到电池管理与应用自启动权限，将代理客户端设为“允许完全后台自启动”、“允许后台高耗电”并将其从“电池优化白名单”中排除。

Q5 使用 Fake-IP 模式会不会导致本地局域网内无法 Ping 通局域网设备？

只要配置正确就不会受影响。由于 Fake-IP 只对发往非局域网的外部域名查询生效，针对 .local、.lan 以及直接通过内网 IP（如 192.168.1.1）发起的 ICMP 探测，操作系统会直接经由物理局域网发送，不经过 Fake-IP 映射池。

Q6 终端配置了 HTTP_PROXY 后为什么仍然无法执行 ping google.com？

ping 命令使用的是网络层 ICMP 协议，根本不属于传输层的 TCP 或 UDP 协议。无论是 HTTP 代理还是 Socks5 代理，都只能代理第四层传输层流量，无法转发 ICMP 报文。要想测试出海连通性，终端中应当使用 curl -I https://www.google.com 替代 ping 命令。

Q7 多个机场订阅如何合并才能保证节点不会相互冲突？

推荐使用本地部署的 Sub-Store 或开源的 Subconverter 转换后端。在合并订阅时，为不同机场的节点名称配置统一的前缀命名规则（例如 [机场A] 香港 01、[机场B] 香港 01），并利用策略组中的 fallback 或 url-test 建立多机场多活容灾体系。

Q8 为什么在公司或校园网环境下开启代理会频繁被踢下线？

部分企业网络或高校校园网配备了深层行为审计网关。当网关检测到单一内网 IP 向境外未知服务器长时间保持高吞吐长连接时，会判定为异常网络行为并重置该 IP 的认证会话。在此类严苛环境下，建议使用偷取正常企业证书的 VLESS-Reality 协议，将目标 Dest 伪装为苹果、微软等大厂海外 CDN 节点。

---