全平台主流翻墙客户端配置大合集：Clash / Sing-box / 小火箭从零到精通

1. 常见客户端网络异常快速对症表#

2. 全平台主流客户端综合选型决策矩阵#

不同操作系统的底层权限架构不同，选对适合自己技术水平与硬件平台的客户端能够省去大量折腾成本：

关于各类节点协议（如 Shadowsocks、VLESS、Hysteria 2）在服务端的安全抗封锁表现，可参阅 翻墙VPN与代理机场协议底层安全性对比。对于移动端设备（Android 与 iPhone）在底层系统机制（VpnService vs NetworkExtension）、外区账号获取、杀后台保活防断连与应用分流上的专属选型策略，详见专题指南 手机加速器推荐：Android与iPhone加速器怎么选择？。

1. 从原版 Clash 到开源新星 Mihomo 的历史更替#

在相当长的一段时间内，Clash Premium 内核凭借强大的规则分流引擎与成熟的 YAML 配置语法，成为了翻墙客户端的事实标准。然而，原版内核停止维护后，大量新型抗审查协议（如基于 TLS 视界伪装的 VLESS Reality、基于 UDP QUIC 双向拥塞控制的 Hysteria 2、以及 TUIC v5）无法获得原生支持。

开源社区在此基础上成立了 Mihomo（原名 Clash.Meta）项目团队：

• 协议兼容性彻底解锁：Mihomo 完美继承了原版 Clash 的全部配置结构，同时原生集成了 Xray 与 Sing-box 社区最前沿的加密通信协议，支持直接解析带有 Reality 伪装公钥以及 Hysteria 2 端口跳跃参数的节点。
• DNS 与路由性能提升：全面重构了 Fake-IP 映射引擎与并发解析管道，大幅缩短了域名解析到出站建连的等待时间。
• 现代 GUI 架构落地：诸如 Clash Verge Rev 采用 Rust + Tauri 架构彻底淘汰了以往基于 Electron 的庞大内存占用，使得桌面客户端在维持华丽界面的同时将后台待机内存压制在 80MB 以内。

2. Sing-box 通用网络代理平台的崛起#

Sing-box（简称 Sbox）是由开源作者开发的次时代通用网络代理工具箱：

• 统一纯粹的数据结构：抛弃了历史遗留的碎片化规范，全平台统一采用结构严谨的 JSON 格式作为原生配置文件。配置结构由 inbounds（入站）、outbounds（出站）、route（路由规则）与 dns（域名解析）四大部分构成，逻辑层次极其分明。
• 极速低耗与高并发：Sing-box 全部基于 Go 语言原生模块自研，摒弃了过多的第三方依赖。其实测冷启动速度仅需数十毫秒，在高并发吞吐场景下的 CPU 占用率与内存占用率仅为传统客户端的三分之一到二分之一，极其适合在低功耗软路由、服务器以及老旧移动设备上常驻运行。详细的跨国专线传输特性可查阅 跨国跨境网络访问优化指南。

1. 系统代理（System Proxy）的技术本质与局限#

系统代理运行在计算机网络体系的第四层（传输层）与第七层（应用层）之间：

• 运作机理：当你在客户端中勾选【系统代理】开关时，客户端会在本地启动一个监听端口（默认通常是 HTTP 代理端口 127.0.0.1:7890 或 SOCKS5 端口 127.0.0.1:7891）。随后，客户端调用操作系统提供的 API，修改 Windows 注册表中的 ProxyEnable 键值或 macOS 的网络偏好设置，告知系统：“请将 HTTP/HTTPS 请求默认转发到本地 127.0.0.1:7890 端口”。
• 适用场景：Chrome、Edge、Safari、Firefox 等现代 Web 浏览器，以及少数严格遵循操作系统网络调用的办公应用。
• 致命软肋：大量的专业桌面程序在设计时为了提高性能或保证网络独立性，并不会主动读取系统的 HTTP 代理配置。典型代表包括：Git 命令行终端、Node.js / Python 包管理器（npm / pip / Docker）、以原生 UDP 协议通信的语音聊天软件（Discord、Telegram 语音）、各大型游戏启动器以及几乎所有的多人网游客户端。对于这些程序，单纯开启系统代理等于完全裸奔。

2. TUN 虚拟网卡模式的技术突破与风险防护#

TUN（Network Tunnel）工作在计算机网络的第三层（网络层，IP 层）：

• 运作机理：当开启客户端的 TUN 模式后，客户端会在操作系统内核中创建一张虚拟网络适配器（在 Windows 上通常依赖高性能的 wintun.sys 驱动，在 macOS 上依赖 utun 系统接口）。随后，客户端修改操作系统的全局路由表，将默认网关的跃点数（Metric）调整为最高优先级。
• 全量无感劫持：所有进出计算机的 IP 数据报文（无论是 TCP、UDP 还是 ICMP 协议），在离开网卡物理硬件之前，必须全部流经这个虚拟网卡接口。客户端可以在内核三层直接读取数据包的目标 IP 与端口，并进行精准拦截、DNS 重定向和规则策略分流。
• 注意事项与网络冲突防范：
  1. 驱动权限要求：在 Windows 上运行 TUN 模式需要管理员权限，必须安装独立系统守护服务（Service Mode），否则会导致虚拟网卡加载失败。
  2. 游戏加速器冲突避坑：正如我们在 外服网游高丢包高延迟优化攻略 中深入探讨的，游戏加速器（如电竞加速驱动）同样依赖底层 NDIS 网卡驱动捕获游戏 UDP 报文。如果电脑上同时运行 Clash 的 TUN 模式与游戏加速器，两款驱动会在系统内核层激烈争夺数据包的捕获权，引发游戏瞬时跳 Ping、掉线甚至蓝屏崩溃。联机打大型网游时，必须将翻墙客户端的 TUN 模式暂时关闭。

1. 传统 Redir-Host 模式与 DNS 污染困境#

在传统的代理模式（Redir-Host）下：

1. 玩家在浏览器输入 www.netflix.com。
2. 操作系统首先必须向本地宽带运营商的默认 DNS 服务器（Local DNS）发起域名查询。
3. 运营商的 DNS 服务器不仅能够立刻记录下你正在尝试访问该域名的敏感日志，更有可能在数据包返回时直接返回一个被污染篡改的虚假 IP 地址。
4. 客户端拿到这个被污染的 IP 后再发送给代理服务器，往往会导致连接超时或直接触发版权拦截。

2. Fake-IP 模式的技术颠覆与性能飞跃#

为了彻底消灭本地 DNS 污染并缩短网页首字加载时间，现代客户端全面推行 Fake-IP 模式：

sequenceDiagram
    autonumber
    participant Browser as 用户浏览器 / 应用
    participant ClientCore as 本地客户端内核 (Fake-IP)
    participant LocalDNS as 国内公网 DNS (223.5.5.5)
    participant ProxyServer as 海外专线代理服务器
    participant TargetWeb as 目标海外网站 (Google/Netflix)

    Browser->>ClientCore: 1. 发起 DNS 请求: 查询 google.com 的 A 记录
    Note over ClientCore: 拦截请求, 瞬间在保留网段 (198.18.0.0/16)<br/>分配一个映射虚拟 IP (如 198.18.0.25)
    ClientCore-->>Browser: 2. 0ms 瞬间应答: google.com 的 IP 是 198.18.0.25
    Browser->>ClientCore: 3. 向 198.18.0.25 发起 TCP SYN 握手连接
    Note over ClientCore: 查表还原原始域名: 198.18.0.25 -> google.com<br/>根据规则分流引擎判定: 匹配海外代理规则
    ClientCore->>ProxyServer: 4. 将域名 google.com 与加密请求直接发往海外专线
    ProxyServer->>TargetWeb: 5. 远端专线机房完成纯净精准 DNS 解析并建立高速连接
    TargetWeb-->>ProxyServer: 6. 返回网站数据
    ProxyServer-->>ClientCore: 7. 专线回传加密数据流
    ClientCore-->>Browser: 8. 呈现顺畅网页交互

• 0毫秒即时响应：客户端在本地内存中维护了一张 Fake-IP 地址池（默认划分 198.18.0.0/16 专用保留网段）。当应用程序发起 DNS 查询时，客户端无需等待漫长的网络往返，瞬间分配一个临时的伪造 IP（例如 198.18.0.25）返回给应用程序。
• 彻底杜绝本地污染：应用程序随后向这个 Fake-IP 发起 TCP 握手。客户端在内核截获该请求，反查内存表还原出真正的原始域名，并将原始域名直接封装进加密隧道，交由海外代理服务器在境外机房完成高质量的权威 DNS 解析。这不仅在物理层面上消灭了运营商 DNS 审查，还大幅消除了国内到国外的 DNS 往返延迟。
• 国内外 DNS 分流法则：针对属于 geosite:cn 的国内网站，客户端通过配置直接交由国内高可用 DNS（如阿里云 DNS 223.5.5.5 或腾讯 DNSPod 119.29.29.29）解析，确保微信、淘宝、爱奇艺等服务获取到距离你物理位置最近的国内 CDN 缓存服务器。

1. Windows 与 macOS 双端主力 Clash Verge Rev 保姆级实操#

Clash Verge Rev 是当前桌面端体验最平衡、维护最活跃的开源客户端：

2. iOS 移动端首选 Shadowrocket（小火箭）深度配置#

在苹果封闭的 iOS 生态中，Shadowrocket 凭借对新旧协议的全面支持和极佳的稳定性，成为无可争议的装机必备工具：

3. Android 移动端首选 Clash Meta for Android 应用级分流#

安卓系统由于开放性较高，各品牌厂商对后台进程的管理非常严格。Clash Meta for Android（简称 CMFA）在分流与后台稳定性方面表现优异：

• 应用独立分流（Per-App Proxy）实战：进入 CMFA【设置】->【网络】，找到【访问控制模式/Access Control Mode】。如果你只想让 Chrome、Twitter、YouTube 走代理，可将其设置为【仅代理已选应用】并勾选相应软件；如果你想让绝大多数软件走代理但唯独国内网银与微信彻底绕过，可选择【仅绕过已选应用】。这种在操作系统底层的应用分流，彻底杜绝了后台流量误跑。
• 常驻后台防被杀：在安卓系统的【电池优化】设置中，将 CMFA 寻找出来并设置为【无限制 / 不优化】；同时在系统多任务切换卡片界面中，将 CMFA 卡片下拉并点击锁定挂锁，防止被手机厂商激进的内存清理机制强行休眠。关于基础订阅导入与防偷跑常识，可参考 科学上网与网络加速新手避坑教程。

1. 现代客户端的五大核心策略组架构#

一个设计精良的代理配置文件通常将流量拆解为以下五个专属业务策略组：

flowchart LR
    Traffic[所有网络入站数据流] --> RuleEngine{规则分流引擎 Rule Engine}
    
    RuleEngine -->|OpenAI / Claude / Copilot| GroupAI[AI 智能策略组: 锁定原生住宅纯净节点]
    RuleEngine -->|Netflix / Disney+ / HBO| GroupMedia[海外流媒体组: 锁定大带宽解锁节点]
    RuleEngine -->|GitHub / Telegram / Google| GroupProxy[日常代理组: 接入高速低延迟专线]
    RuleEngine -->|国内域名 IP / 局域网地址| GroupDirect[DIRECT 策略组: 本地宽带高速直连]
    RuleEngine -->|追踪器 / 恶意广告域名| GroupReject[REJECT 策略组: 底层丢弃拦截]

• 日常代理策略组（PROXY / 节点选择）：用于承载日常浏览网页、查阅资料、观看 YouTube 视频的核心流量。首选香港、日本或新加坡的低延迟点对点 IEPL 专线。
• AI 智能专属策略组（AI / ChatGPT / Claude）：当前 ChatGPT、Claude 以及 Google AI 平台对数据中心机房 IP 实施严苛的风控封锁。如果将日常机房节点分配给 AI，极易遭遇 Access Denied 或账号连带封禁。该策略组必须独立绑定具备住宅属性的纯净原生节点。关于住宅 IP 的甄别与流媒体解锁细节，可查阅 ChatGPT与Netflix原生纯净住宅IP解锁全方案。
• 海外流媒体策略组（Streaming / Netflix / Disney+）：流媒体平台存在严格的地区版权库限制（例如日本区独占部分动漫、美国区拥有更多电影）。将流媒体域名单独划归一个策略组，方便根据观影需求随时切换目标国家的专属解锁节点，而无需改动全局节点。
• 国内直连策略组（DIRECT）：通过内置的 geosite:cn 与 geoip:cn 数据包，自动识别出中国大陆的公网 IP 与主流互联网服务，强制绕过代理通道，不仅跑满本地千兆光纤带宽，更能彻底规避银行、支付工具的安全风控。
• 广告追踪屏蔽策略组（REJECT）：自动将各类已知的广告分发域名与大数据追踪探针直接在本地三层丢弃，净化网页浏览环境并节省移动端流量。

2. 策略组工作模式（Select vs. URL-Test vs. Fallback）#

• Select（手动选择）：由玩家手动在列表中指定当前出站节点。最稳定可控，绝不会因为偶发抖动突然跳变 IP，适合日常办公与敏感登录。
• URL-Test（自动测速）：客户端每隔固定时间（如 300 秒）向设定的健康检查 URL（如 http://www.gstatic.com/generate_204）发起一次轻量探测，自动将流量切换到延迟最低的节点上。在配置 URL-Test 时，务必设置 tolerance: 50（容差阈值），防止节点延迟仅相差几毫秒时频繁发生无意义的连接漂移。
• Fallback（故障转移）：客户端按列表顺序始终固定使用第一个主节点；只有当主节点彻底离线宕机时，才会自动将流量降级切换到第二个备用节点，一旦主节点恢复立刻切回。适合追求高可用与固定 IP 的服务。

1. 全平台客户端流量处理生命周期图#

flowchart TD
    App[终端应用程序发出网络请求] --> ModeChoice{接入方式分类}
    
    ModeChoice -->|系统代理 System Proxy| HTTPInbound[本地 127.0.0.1:7890 端口监听]
    ModeChoice -->|TUN 虚拟网卡模式| TunInterface[内核三层虚拟以太网驱动 Wintun/utun]
    
    HTTPInbound --> DNSResolv[DNS 解析与路由阶段]
    TunInterface --> DNSResolv
    
    DNSResolv --> FakeIPCheck{是否开启 Fake-IP 模式?}
    FakeIPCheck -->|是| FakeIPPool[本地 0ms 瞬间返回 198.18.0.0/16 虚拟 IP, 查表还原域名]
    FakeIPCheck -->|否| RealIPDNS[本地向指定 DNS 发起实际查询, 容易遭遇污染]
    
    FakeIPPool --> RouteMatch{规则匹配引擎 Rule Engine}
    RealIPDNS --> RouteMatch
    
    RouteMatch -->|匹配 DOMAIN-SUFFIX 或 GEOSITE:CN| OutDirect[DIRECT 出站: 本地宽带物理网卡直发]
    RouteMatch -->|匹配 AD-BLOCK 规则集| OutReject[REJECT 出站: 本地内核静默丢弃]
    RouteMatch -->|匹配海外规则 / 最终 MATCH| GroupDispatch[根据策略组分发: PROXY / AI / Streaming]
    
    GroupDispatch --> OutboundProxy[加密握手: VLESS / Shadowsocks / Hysteria2]
    OutboundProxy --> RemoteServer[国际专线服务器机房 -> 目标网站]

2. 全平台客户端故障排查自愈决策树#

flowchart TD
    Start[客户端连接发生异常] --> CheckSym{核心异常表现分类}
    
    CheckSym -->|节点全部报超时 Timeout| PathAllRed[节点全红排查路径]
    CheckSym -->|浏览器能上网, 终端/软件断网| PathTerminal[无代理支持软件排查]
    CheckSym -->|关掉代理后整台电脑断网| PathDeadNet[系统网络残留修复路径]
    CheckSym -->|特定网站打不开或报证书错误| PathCert[DNS 与风控排查路径]
    
    PathAllRed --> StepTime[检查系统时间误差是否小于 60 秒]
    StepTime --> IsTimeSynced{时间是否完全精准?}
    IsTimeSynced -->|否| FixTime[进入系统日期设置点击立即同步时间]
    IsTimeSynced -->|是| StepSub[更新订阅链接或切换手机热点测试本地网络]
    FixTime --> EndRed[重新测试延迟: 节点成功泛绿恢复]
    StepSub --> EndRed
    
    PathTerminal --> StepTunCheck{客户端是否已开启 TUN 模式?}
    StepTunCheck -->|否| EnableTun[安装 Service 模式服务并开启 TUN 虚拟网卡]
    StepTunCheck -->|是| CheckFirewall[检查杀毒软件与防火墙是否拦截了 wintun 驱动]
    EnableTun --> EndTerminal[全局三层流量劫持成功, 终端正常联网]
    CheckFirewall --> EndTerminal
    
    PathDeadNet --> StepProxyReset[以管理员运行 netsh winsock reset 重置网络栈]
    StepProxyReset --> StepReg[检查 Windows 代理设置, 手动关闭手动代理服务器开关]
    StepReg --> EndDeadNet[本地直连网络完全恢复通畅]
    
    PathCert --> StepDNS[将 DNS 模式修改为 Fake-IP 并开启 DoH 解析]
    StepDNS --> StepRule[检查该域名是否被错误划分到了直连规则中]
    StepRule --> EndCert[分流纠偏完成, 目标页面顺畅打开]

关于系统底层网络栈受损与深度 DNS 投毒排查，可进一步参考 节点超时与DNS污染排查指南。

1. Mihomo（Clash Verge Rev）生产环境标准配置模板#

以下为经过精简优化的高性能配置模板骨架，包含完整的 TUN 模式定义、Fake-IP DNS 管道与分流策略组结构：

1
# 生产级 Mihomo (Clash.Meta) 推荐标准配置
2
port: 7890
3
socks-port: 7891
4
mixed-port: 7890
5
allow-lan: false
6
mode: rule
7
log-level: info
8
ipv6: false
9

10
# TUN 虚拟网卡高阶参数
11
tun:
12
  enable: true
13
  stack: mixed # mixed 兼顾高吞吐与极低 CPU 开销
14
  dns-hijack:
15
    - "tcp://any:53"
16
    - "udp://any:53"
17
  auto-route: true
18
  auto-detect-interface: true
19

20
# 现代化 Fake-IP 高速防污染 DNS 架构
21
dns:
22
  enable: true
23
  listen: 0.0.0.0:1053
24
  ipv6: false
25
  enhanced-mode: fake-ip
26
  fake-ip-range: 198.18.0.1/16
27
  fake-ip-filter:
28
    - "*.lan"
29
    - "*.local"
30
    - "localhost.ptlogin2.qq.com"
31
  default-nameserver:
32
    - 223.5.5.5
33
    - 119.29.29.29
34
  nameserver:
35
    - https://dns.alidns.com/dns-query
36
    - https://doh.pub/dns-query
37
  fallback:
38
    - https://1.1.1.1/dns-query
39
    - https://dns.google/dns-query
40
  fallback-filter:
41
    geoip: true
42
    geoip-code: CN
43
    ipcidr:
44
      - 240.0.0.0/4
45

46
# 策略组架构设计
47
proxy-groups:
48
  - name: "节点选择"
49
    type: select
50
    proxies:
51
      - "自动优选"
52
      - "香港优质专线"
53
      - "日本高速专线"
54
      - "美国原生住宅"
55
      - DIRECT
56

57
  - name: "自动优选"
58
    type: url-test
59
    url: "http://www.gstatic.com/generate_204"
60
    interval: 300
61
    tolerance: 50
62
    proxies:
63
      - "香港优质专线"
64
      - "日本高速专线"
65

66
  - name: "AI 智能服务"
67
    type: select
68
    proxies:
69
      - "美国原生住宅"
70
      - "日本高速专线"
71
      - "节点选择"
72

73
  - name: "海外流媒体"
74
    type: select
75
    proxies:
76
      - "节点选择"
77
      - "香港优质专线"
78
      - "日本高速专线"
79

80
# 基础分流规则
81
rules:
82
  - GEOSITE,category-ads-all,REJECT
83
  - GEOSITE,openai,AI 智能服务
84
  - GEOSITE,anthropic,AI 智能服务
85
  - GEOSITE,netflix,海外流媒体
86
  - GEOSITE,geolocation-!cn,节点选择
87
  - GEOIP,CN,DIRECT
88
  - MATCH,节点选择

2. Sing-box 核心路由配置模板（config.json 片断）#

Sing-box 采用直观严谨的 JSON 结构，展示其原生的入站分流与路由体系：

1
{
2
  "log": {
3
    "level": "info",
4
    "timestamp": true
5
  },
6
  "dns": {
7
    "servers": [
8
      {
9
        "tag": "dns-remote",
10
        "address": "https://1.1.1.1/dns-query",
11
        "detour": "select-out"
12
      },
13
      {
14
        "tag": "dns-direct",
15
        "address": "https://223.5.5.5/dns-query",
16
        "detour": "direct"
17
      }
18
    ],
19
    "rules": [
20
      {
21
        "geosite": "cn",
22
        "server": "dns-direct"
23
      }
24
    ],
25
    "strategy": "prefer_ipv4"
26
  },
27
  "inbounds": [
28
    {
29
      "type": "mixed",
30
      "tag": "mixed-in",
31
      "listen": "127.0.0.1",
32
      "listen_port": 7890
33
    },
34
    {
35
      "type": "tun",
36
      "tag": "tun-in",
37
      "interface_name": "singbox-tun",
38
      "inet4_address": "172.19.0.1/30",
39
      "auto_route": true,
40
      "strict_route": false,
41
      "stack": "mixed"
42
    }
43
  ],
44
  "route": {
45
    "rules": [
46
      { "geosite": "category-ads-all", "outbound": "block" },
47
      { "geosite": "openai", "outbound": "ai-out" },
48
      { "geosite": "cn", "outbound": "direct" },
49
      { "geoip": "cn", "outbound": "direct" }
50
    ],
51
    "auto_detect_interface": true
52
  }
53
}

3. Windows PowerShell 一键清理系统代理残留脚本#

针对“代理软件异常退出导致电脑无法上网”的高发事故，编写自动化批处理脚本，在管理员 PowerShell 中一键重置系统代理注册表：

1
<#
2
.SYNOPSIS
3
    Windows 代理环境异常残留一键修复脚本
4
.DESCRIPTION
5
    彻底清理注册表中被意外锁定的系统代理参数，恢复网卡原生直连
6
#>
7

8
Write-Host "==========================================" -ForegroundColor Cyan
9
Write-Host " 正在检测并修复 Windows 系统代理残留..." -ForegroundColor Cyan
10
Write-Host "==========================================" -ForegroundColor Cyan
11

12
$regPath = "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings"
13

14
# 查询当前系统代理状态
15
$proxyEnable = (Get-ItemProperty -Path $regPath).ProxyEnable
16
$proxyServer = (Get-ItemProperty -Path $regPath).ProxyServer
17

18
Write-Host "当前注册表 ProxyEnable 状态值: $proxyEnable"
19
if ($proxyServer) {
20
    Write-Host "当前锁定的代理服务器地址: $proxyServer" -ForegroundColor Yellow
21
}
22

23
# 强制重置系统代理参数
24
Set-ItemProperty -Path $regPath -Name ProxyEnable -Value 0
25
Set-ItemProperty -Path $regPath -Name ProxyServer -Value "" -ErrorAction SilentlyContinue
26

27
# 清理可能存在的自动配置脚本 PAC
28
Set-ItemProperty -Path $regPath -Name AutoConfigURL -Value "" -ErrorAction SilentlyContinue
29

30
# 刷新系统 DNS 解析缓存
31
Clear-DnsClientCache
32

33
Write-Host ""
34
Write-Host "------------------------------------------" -ForegroundColor Green
35
Write-Host " 修复成功! 系统代理已被强制关闭。" -ForegroundColor Green
36
Write-Host " 本地网络已恢复直连状态，DNS 缓存已刷新。" -ForegroundColor Green
37
Write-Host "------------------------------------------" -ForegroundColor Green

Q1 为什么开启系统代理后浏览器可以访问 Google，但命令行终端和 Git 依然报错连接超时？#

这是由于 Windows 与 macOS 的底层终端（CMD、PowerShell、Bash、Zsh）在启动时，不会默认去读取操作系统的图形界面代理设置。 当你在命令行中运行 git clone、curl 或 npm install 时，这些程序会直接绕过系统代理，尝试从物理网卡直连目标海外服务器，因而遭遇网络阻断。 彻底解决该问题有两种方案： 第一种，在客户端中开启【TUN 虚拟网卡模式】。TUN 模式在系统第三层全面接管所有数据流，无需对命令行做任何额外配置，即可自动将终端流量送入代理通道。 第二种，在终端中临时注入环境变量。例如在 PowerShell 中执行： $env:http_proxy="http://127.0.0.1:7890"; $env:https_proxy="http://127.0.0.1:7890" 即可让当前终端窗口的后续指令走代理端口。

Q2 Clash Verge Rev 开启 TUN 模式提示“Service Mode 未安装”或权限不足怎么办？#

TUN 模式需要在 Windows 底层注册名为 Wintun 的虚拟网络适配器驱动，该操作严格依赖操作系统的最高管理员权限（Administrator）。 如果直接以普通用户权限启动客户端并强行打开 TUN 开关，程序因无权修改系统路由表与加载驱动，便会抛出服务未安装错误甚至崩溃。 标准解决流程： 第一步，彻底退出 Clash Verge Rev 托盘图标。 第二步，鼠标右键点击 Clash Verge Rev 桌面快捷方式，选择【以管理员身份运行】。 第三步，进入客户端【设置】页面，找到【Service Mode（服务模式）】，点击【Install（安装）】。等待右侧图标变为绿色对勾后，再开启 TUN 模式即可永久解决。

Q3 购买的机场订阅链接导入小火箭（Shadowrocket）或 Clash 提示“Invalid Subscription”格式错误如何排查？#

订阅导入失败通常由以下三个根源导致： 第一，复制过程中发生了字符截断或空格污染。检查复制的 URL 是否包含多余的换行符，或者前后夹带了空格。 第二，订阅下发服务被本地网络或运营商 DNS 拦截。部分机场的订阅域名由于未开启防污染，在国内网络环境下直接解析超时。解决技巧：断开本地 Wi-Fi，手机开启 5G 热点重新尝试拉取，或者先开启其他可用代理后再点击更新订阅。 第三，协议格式与客户端内核版本脱节。例如你的订阅中包含了 Hysteria 2 或 VLESS Reality 节点，但你使用的是老旧版本的原版 Clash 内核，客户端无法识别这些新型协议字段，便会报错格式无效。升级到最新版 Clash Verge Rev 或小火箭即可正常识别。

Q4 节点测速全部显示超时（Timeout 全红），但手机或电脑网络正常，最常见原因是什么？#

在全网网络正常的情况下节点全部超时，排查优先级最高的是系统时间同步误差。 现代前沿翻墙协议（如 Shadowsocks、VLESS、Trojan、Hysteria 2）在建立 TLS 加密握手时，服务端为了防止数据包被黑客中间人录制并重放攻击，强制校验客户端请求携带的时间戳。如果你的电脑或手机系统时间比国际标准北京时间快了或慢了超过 60 秒，服务端会毫不留情地直接丢弃握手数据包，导致所有节点全部报超时错误。 解决对策：进入操作系统的【日期和时间】设置，确保开启了【自动设置时间】，并手动点击一次【立即同步】校准时间。

Q5 使用全局模式（Global）和规则模式（Rule）有什么本质区别？为什么不建议长期开启全局模式？#

两者的核心区别在于对数据流量的去向是否经过智能分流引擎筛选：

• 规则模式（Rule）：客户端会根据预设的成千上万条规则库（Geosite / GeoIP），将国内的网站、应用与 IP 强制分配给 DIRECT（本地宽带直连）；只有匹配到被屏蔽的海外网站时，才将请求交由 PROXY（代理节点）转发。这种模式下国内访问速度最快，既不浪费机场流量，又保证了国内各种支付工具与银行 App 不会频繁收到异地登录警告。
• 全局模式（Global）：无论你打开的是百度、微信还是海外网站，整台设备的所有流量全部无差别强行绕道海外节点。这不仅会导致打开国内网站延迟激增、拖慢下载速度，更会快速消耗宝贵的机场套餐流量，并且极易触发微信、支付宝等金融安全风控导致账号被封。除少数特定单点故障排障外，日常严禁长期开启全局模式。

Q6 iPhone 上的小火箭（Shadowrocket）开启后为什么电量消耗速度明显加快？后台会被 iOS 杀进程吗？#

小火箭在后台正常运行时的 CPU 占用率极低，通常不会导致明显的异常发热与电量雪崩。如果电量消耗异常巨大，通常是由于以下配置诱发： 第一，开启了详细的抓包日志输出。在小火箭的【设置】中，检查是否误开了【日志记录】或开启了复杂的 HTTPS 解密 MITM 脚本。持续向手机闪存写入数据流日志会导致功耗暴增。 第二，关于后台存活问题：iOS 系统对利用 Network Extension 框架创建的 VPN 虚拟网络接口拥有极高的保活特权，只要你不手动关闭或手机内存严重不足崩溃，小火箭在后台基本不会被系统主动杀死。 优化建议：在小火箭设置中关闭无用日志，将健康检查频率调低，并在日常配合按需连接（On-Demand）使用。

Q7 为什么同一份订阅在电脑上测速能跑 500Mbps，在手机上却只有 50Mbps？#

测试带宽产生十倍差距的技术因素包括： 第一，Wi-Fi 局域网物理信道协商速率差异。很多老旧手机或距离路由器较远时，无线网卡协商在 2.4GHz 频段或较弱的 5GHz 频段上，物理空口带宽本身就受到了严重制约。 第二，加解密芯片算力瓶颈。在面对超高并发数据流时，电脑的多核高性能 CPU 能够轻松完成 AES-GCM 或 ChaCha20-Poly1305 的对称加密解密计算；而部分手机在开启省电模式或发热降频时，单核计算性能受限，导致数据包在手机客户端内核队列中排队堆积。 第三，MTU 与数据包分片损耗。移动端虚拟网络接口默认配置的 MTU 若与本地路由器发生碰撞，会产生大量的数据包分片与丢包重传。相关 MTU 极限测算实操可参考 外服网游高丢包高延迟优化攻略。

Q8 客户端内开启了“自动选择（URL Test）”，为什么经常在对局或观看直播中突然卡顿切换？#

这属于典型的“频繁漂移震荡”问题。 URL-Test 策略组的机制是每隔一段时间自动测速，并无条件切向那个在测试瞬间延迟最低的节点。然而，公网节点的延迟天然存在几毫秒至十几毫秒的微小波动。如果节点 A 延迟是 40ms，节点 B 是 42ms，下一次测试可能节点 B 变成了 39ms。 这种无保护机制的频繁跳跃，会导致客户端在对局或看直播时突然掐断原有的 TCP/UDP 长连接，并向新节点重新发起握手建立新连接，在用户端直接表现为画面卡死、直播转圈或游戏掉线。 解决对策：在配置文件或策略组设置中加入 tolerance: 50（容差参数）。只有当新节点的延迟比当前使用节点低出整整 50ms 以上时才允许切换；或者日常直接选用手动指定的【Select 节点选择】策略组。

Section 34 站内内容关系验收表#

Section 38 最终验收升级表#