代理连接

TUN 模式、系统代理、环境变量，三选一，别混着开。

网页端需要强制设置系统代理，使用zeroomega插件。

macOS 上如果不开增强模式，Surge 只能接管一部分应用的流量。

快捷方式强行绑定代理锁（代理一旦断开直接报错，绝不直连）。

直接通过你电脑的真实物理网卡去直连官方服务器

暂无对应原文引用。

先删系统国内 DNS，再让代理软件接管 DNS，再打开 DNS 通过代理 / TUN DNS / Fake-IP，最后用全局模式复测。

有些朋友会建议“开 TUN 全局”，但在日常主力生产中，强烈推荐使用 Clash（如 Clash Verge Rev）走精细规则分流 + 系统代理模式：

暂无对应原文引用。

如果电脑开机时代理还没启动、或者代理软件偶尔卡顿/崩溃，客户端发起的请求连不上本地代理端口时，它不会报错弹窗，而是会悄悄绕过代理，直接通过你电脑的真实物理网卡去直连官方服务器！

如果你的目的是保证某项业务只能使用经过批准的网络出口，可以考虑 Fail-closed（故障阻断）。

不能指望客户端自己“讲良心”，必须在操作系统内核的防火墙（Windows WFP / macOS pf）上下达物理死命令：该程序除了本机的 127.0.0.1 代理端口外，严禁向外部任何 IP 发送数据包。

暂无对应原文引用。

暂无对应原文引用。

如果电脑开机时代理还没启动、或者代理软件偶尔卡顿/崩溃，客户端发起的请求连不上本地代理端口时，它不会报错弹窗，而是会悄悄绕过代理，直接通过你电脑的真实物理网卡去直连官方服务器！

暂无对应原文引用。

暂无对应原文引用。

确保母体拉出的所有子进程 100% 继承代理通道。

在 Claude 桌面端中挂载 MCP 插件（如文件处理、GitHub 插件、Fetch 网页抓取工具等）时，桌面端会派生出独立的 Node.js 或 Python 子进程来运行这些插件。很多时候，父进程（桌面端）走了代理，但派生出来的子进程并不会自动继承代理配置！

暂无对应原文引用。

暂无对应原文引用。

在相关版本中，这用于 TUN Only 模式，对应配置参数 compatibility-mode=3。None 在这里并非关闭整个 VPN。

③ 包括所有网络：开启

设置 → 隧道 → 强制路由。

④ 包括本地网络：按需求设置

2. 将“设置 → 代理 → 代理类型”设为None（TUN Mode），开启“设置 → 隧道 → 包括所有网络”，并开启“始终开启”，按当前版本识别对应入口并核验。

暂无对应原文引用。

连接 Wi-Fi 测试一次，切换蜂窝网络测试一次，打开连接日志观察实际结果。

暂无对应原文引用。

两次都发生在突然关掉 VPN、再连上的瞬间。

暂无对应原文引用。

暂无对应原文引用。

🇺🇸 落地SOCKS5 = socks5-tls, socks.example.com, 30000, username=你的账号, password=你的密码, sni=socks.example.com, skip-cert-verify=false, underlying-proxy=🤖 前置组

暂无对应原文引用。

暂无对应原文引用。

延迟偏高，还没解决

3、线路要稳。有人自建了 VPS，以为万事大吉，结果晚上丢包严重，IP 来回跳，第二天早上收到封号邮件。固定的前提是线路本身稳定。

网络抖动丢包

机场可能抽风、自动切换、维护、限速

使用 Claude 就完全没问题

暂无对应原文引用。

暂无对应原文引用。

APN 栏目：必须精准输入 m.iot。 保存并勾选启用该新接入点。

暂无对应原文引用。

暂无对应原文引用。

梯子总有掉线的时候，节点挂了、Clash 崩了、电脑睡醒还没重连上。

暂无对应原文引用。