分流规则、DNS 与协议配置：进阶设置常见问题
共 62 条 · 属于常见问题解答
把基础跑通之后，剩下的问题多半出在规则顺序、DNS 处理和协议选择上。这一页覆盖这些进阶设置里最常被问到的部分。
什么是“全局模式（Global）”和“规则模式（Rule/Rule-based）”？
在全局模式下，本机的所有网络请求（包括访问淘宝、百度）都会被强制送往海外节点，这不仅浪费机场流量，还会拖慢国内网页的加载速度；而规则模式下，软件会智能分流，国内流量走直连（Direct），海外受限流量走代理（Proxy）。日常上网强烈建议保持在规则模式。
什么是 DNS 泄漏？它有什么危害？
DNS 泄漏是指当代理开启时，你查询海外网站域名的请求，依然被发送给了国内的运营商 DNS（如 114.114.114.114）。这不仅会导致你的访问记录被运营商轻易掌握，还极易遭受域名的强制劫持。
如何在 Clash 客户端中让某个特定的国内 App（例如特定游戏）强制不走代理？
你可以在配置文件的 rules: 模块最顶部，手工插入一条直连语句。其标准格式为：- PROCESS-NAME,游戏进程名.exe,DIRECT，或者使用域名匹配规则：- DOMAIN-SUFFIX,域名后缀,DIRECT。
什么是 GeoIP 和 GeoSite 数据库？为什么要定期更新它们？
它们相当于是代理软件进行流量分发的“导航图”。GeoSite 库分类记录了全球主要网站的域名，而 GeoIP 库则包含了各 IP 段的地理位置信息。只有经常更新这两个数据库，客户端才能准确无误地判断流量是该直连还是走代理。
为什么开启代理后，访问国内的本地开发环境（如 localhost 或 127.0.0.1）会报 502 错误？
原因是分流规则不够严谨，导致客户端把本地的回环测试流量也扔给了海外节点，而远端的服务器自然无法访问你本地的计算机。解决方法是在客户端的“跳过代理（Bypass 列表）”中补充添加 127.0.0.1 和 localhost。
为什么用了分流规则，我的淘宝账号还是频繁提示“异地登录验证”？
这是因为许多 App 会在后台同时向多个不同的域名发起请求。如果某些边缘域名缺失在规则库中，从而被代理到了海外，淘宝的后台就会判定你的账号在同一秒内跨国同时登录，进而触发安全风控。
什么是代理链（Proxy Chain） / 链式代理？
代理链就是让流量依次穿过多个代理节点进行接力转发。例如：你的设备 -> 机场中转节点 -> 机场落地节点 -> 自建的隐私服务器 -> 目标网站。这种玩法通常用于极致的匿名保护，代价是网络延迟会变得极高。
为什么在 Clash 配置文件里把 udp: false 改成 true 后，有些网页反而打不开了？
这是因为部分海外节点或机场入口并未正确配置 UDP 转发功能。当你强行开启 UDP 之后，浏览器会试图利用 QUIC 协议（基于 UDP）去访问网页，结果数据包在服务端遭到丢弃，最终导致网页加载死锁。
为什么在 iPhone 上运行 Shadowrocket 并向电脑开启热点后，连接的电脑仍然不能进行科学上网？
因为 iOS 系统底层的网络隔离设定，通过热点分享的网络请求会默认跳过 VPN 虚拟网卡。要让连接的设备也能使用代理，你需要进入 Shadowrocket 的设置并勾选“启用代理共享（Allow LAN）”功能，随后在电脑的网络代理选项中，手动填入手机分配的局域网 IP 地址及其端口号。
如何在安卓智能电视或电视盒子上配置并使用机场节点？
你可以在电视端安装那些专门适配了遥控器操作的代理工具，例如 v2rayNG 或者是 Clash for Android（支持切换到电视专属界面）。具体流程是先用 U 盘把应用的 APK 文件拷贝到电视中进行安装，接着利用手机或电脑扫码的方式，将订阅链接导入到电视端的软件中。
家中的网络环境改用软路由实现透明代理之后，为何米家扫地机器人、小度音箱这类智能设备经常掉线？
国内的智能物联网（IoT）终端对网络连通性要求十分严苛，且无法自如应对跨国网络的延迟波动。如果软路由的分流策略误将这些家居设备的请求路由到了海外节点，它们会因为请求超时或 IP 地址异常而无法登录服务器。解决此问题的方法是在软路由设置里，把这些智能设备的 MAC 地址强制绑定为“直连”模式。
电脑端已经开启了代理软件，为何在夜神或雷电等安卓模拟器中运行外服游戏时，还是会遇到地区限制的提示？
许多安卓模拟器默认开启的是“桥接网络”环境，这会让模拟器在局域网内分配到一个独立的虚拟 IP，从而直接绕开了电脑本身的系统全局代理。要解决这个问题，你可以在电脑的代理客户端中启动 TUN 模式，或者直接在模拟器内部安装一个代理 App（如 v2rayNG）并配置好订阅信息。
开启代理软件时，使用飞书、Zoom 或钉钉进行视频会议为什么会出现严重的画面卡顿和网络丢包？
视频会议软件对数据传输的延迟和丢包率有着极高的要求。若是你的代理分流规则把国内的会议流量引向了国外的代理节点，几千公里的物理距离会带来灾难性的网络延迟。因此，务必在代理软件中确保这些会议软件的进程或相关域名处于白名单直连状态。
将 Switch 或 PS5 游戏机接入电脑共享的代理网络后，为何网络检测时显示的 NAT 状态依旧是严格型（NAT 3 或是 NAT D）？
这是由于常规的网页代理节点并不兼容完全锥形 NAT（Full Cone NAT）的数据转发，或者所用客户端未开启全锥形 UDP 端口映射功能。如果你有联机打游戏的需求，推荐购买专门提供游戏加速原生支持的节点，同时记得在客户端设置内打开 Full Cone 特性。
相比于以往的加密手段，Shadowsocks 使用的 AEAD 加密具备哪些优势？
AEAD（Authenticated Encryption with Associated Data）的特点是在加密数据的同时还会附带完整性认证，从而阻止数据包遭到恶意篡改。过去像 AES-CFB 这样的加密容易遭受主动探测和重放攻击的威胁，而像 ChaCha20-Poly1305 或 AES-256-GCM 这类 AEAD 算法在解密前会先验证数据的有效性，能够极其有效地防范主动探测，大幅提升了抗封锁的能力。
VMess 协议早期引入的 AlterID 机制是为了解决什么问题？为何目前不再推荐使用？
最初设计 AlterID 的初衷是允许一个主账户生成一系列备用 ID，让每次网络连接表现得如同多个不同用户在通信，借此来规避针对连接模式和流量特征的网络审查。然而，随着 VMessAEAD 加密方式的全面普及，依靠多 ID 来防范侦测的意义已经微乎其微，反而会无谓地增加内存消耗和 CPU 运算负担。因此，V2Ray 官方如今建议直接摒弃该机制，将 AlterID 设为 0，单纯依靠 AEAD 算法来保障安全。
与 Shadowsocks 相比，Trojan 协议在底层设计思路上最本质的差别是什么？
Shadowsocks 的目标是把网络流量转换成毫无规律的随机字符串，试图以“消除特征”来躲避审查。相对而言，Trojan 走的是“伪装”路线，它把传输流量包装成标准的 TLS 1.2 或 TLS 1.3 的 HTTPS 请求，从外界看来就像是在访问普通的加密网页。如果遭遇了非法的探测请求，Trojan 会直接把流量丢给后端的真实网页服务器，从而天衣无缝地混入海量的正常互联网背景流量中。
为何 Hysteria 协议能够在丢包率极高的恶劣网络中依然维持出色的传输速率？
Hysteria 是建立在 UDP 协议（基于 QUIC）之上的，并且搭配了诸如 Brutal 这样专门定制的拥塞控制算法。传统的 TCP 协议只要侦测到丢包就会判定网络拥堵并大幅收缩发送窗口（即降速），但跨国链路的丢包很多时候并不是因为拥堵。Hysteria 选择无视这些丢包现象，按照用户预设的带宽上限强制进行 UDP 暴力传输，所以在劣质网络下依然能够“跑满”带宽。
和初代 Hysteria 相比，Hysteria 2 在底层架构层面做出了哪些主要升级？
Hysteria 2 对底层代码进行了全面重构，应用了全新的协议规范。它不再过度依赖标准 QUIC 框架，转而使用更为轻量的定制版 UDP 协议，极大地减少了延迟并降低了 CPU 耗能；同时，它加入了安全性更高的密码学握手验证，并内置端口跳跃（Port Hopping）机制来反制端口封杀和 UDP QoS 限制。此外，它的配置流程也得到了大幅精简，用户不再需要费心去调整复杂的带宽参数。
虽然 TUIC 和 Hysteria 都采用 QUIC 协议，但二者在设计方向和适用场景上存在什么差异？
TUIC 更加注重架构的优雅性和协议的“标准化”，它以标准 QUIC 协议为基础，充分发挥多路复用与 0-RTT 握手的优势，致力于降低网络延迟，非常适合需要极速打开网页或低延迟游戏的场景。而 Hysteria 走的则是“暴力发包”路线，依靠激进的算法在恶劣环境下强行占据带宽。总体来说，线路质量尚可但对延迟要求高的选 TUIC；线路丢包严重、需要大吞吐量的则选 Hysteria。
相比于 VMess 协议，VLESS 剔除了哪些多余的设计？
VLESS 是一种非常轻量的无状态代理协议。它舍弃了 VMess 中必须依赖客户端和服务端系统时间同步的时间戳验证机制，同时也移除了复杂的内置加密设计。它选择将数据加密的重任完全交由 XTLS 或 TLS 等底层安全通道来完成，这让 VLESS 自身的性能损耗降到了最低，转发速度得到了显著提升。
Xray 的 Reality 协议是如何做到在没有自有域名及服务器证书的情况下完成 TLS 伪装的？
Reality 的原理是在 TLS Client Hello 阶段进行拦截与修改，把 SNI 伪装成微软、苹果等知名大厂的域名，同时服务端利用特定算法动态生成一把和目标站点相匹配的临时公钥。它并不需要真正获取该域名的私钥，但在防火墙看来，TLS 握手过程完全就是客户端正在和真实的高权重知名网站建立连接。这种做法不仅免去了购买域名与证书的繁琐步骤，还因为伪装目标极具欺骗性而非常难以被封禁。
XTLS 的 Vision（即 Direct 模式）是依靠什么机制来增强代理性能的？
在以往的 TLS 代理流程中，数据在客户端被加密一次后，外层代理协议还会再嵌套一层加密。而 XTLS Vision（Direct 模式）能够在探测到内部传输本身就是 TLS 数据流（比如访问 HTTPS 站点）时，直接在握手完毕后将内外层数据进行“拼接转发”，省去了代理层面的重复加解密步骤。这一设计极大减轻了路由器的 CPU 运算负担，并显著拔高了数据吞吐的上限。
新一代 Shadowsocks 2022 标准（SS-2022）的推出主要是为了修补旧版本的哪些缺陷？
即便旧版本配备了 AEAD 加密，其防重放攻击的机制依然存在时间窗口限制，且无法彻底防范流量包的长度分析。为此，SS-2022 引入了严格的服务端时间校验（类似于 VMess）以及基于会话的独立加密机制，并大幅强化了处理 UDP 流量的安全策略。它彻底封堵了主动探测和重放攻击的后门，赋予了协议抵御量子计算级别攻击的前向安全潜能。
在何种网络状况下，Xray 或 V2Ray 的 Mux（多路复用）功能反而会导致网速变慢？
Mux 的初衷是将多个数据流合并到单一的 TCP 连接中，借此减少频繁 TCP 握手造成的延迟。然而，TCP 协议存在队头阻塞（Head-of-line blocking）的问题。在跨国传输这种高延迟、高丢包的环境下，只要底层这个唯一的 TCP 连接发生哪怕一个包的丢失，所有叠加在上面的数据流都不得不停下来等待重传。因此，在网络质量糟糕时，开启 Mux 反而会引发大面积的网页卡顿，造成速度断崖式下跌。
为何现在大量的机场服务商开始放弃常规的 TLS 伪装，转而推崇 Reality 或者纯 TCP 加密方案？
因为防火墙的深度学习机制已经逐渐掌握了普通 TLS 伪装（如 WebSocket+TLS）的流量特征。特别是当你使用一个极其冷门的域名作为伪装时，非常容易引来审查系统的主动探测进而被封锁。相反，Reality 能够完美伪装成高频的大厂域名；而纯 TCP 加密（如 Shadowsocks）只要做到流量绝对随机且毫无规律，在当今的封锁机制下，其生存能力往往要优于那些粗劣的 TLS 伪装。
Hysteria 2 是如何利用端口跳跃（Port Hopping）来应对运营商针对 UDP 协议的 QoS 限速的？
很多宽带运营商会对持续占用单一 UDP 端口的大流量数据进行强制降速（QoS）甚至是彻底切断。Hysteria 2 引入的端口跳跃功能允许客户端和服务端在传输数据的过程中，无缝且连续地变换目标 UDP 端口，把庞大的数据流均匀打散到各个随机端口中。这使得运营商的流量监测设备很难将这些数据归类为单一的持续高带宽连接，从而成功规避了 UDP 的 QoS 限制。
采用 WebSocket 协议作为代理传输层有哪些突出的优缺点？
其主要优势在于 WebSocket 是一种合规的 Web 标准协议，能够借助 Cloudflare 等 CDN 服务进行流量中转；即便服务器 IP 被封锁，只要 CDN 节点能访问，节点就能“复活”；此外，它还可以通过 Nginx 分流与普通的网页服务共享 443 端口。然而，其最大的劣势是协议封装带来的冗余极大，HTTP 头部信息过于臃肿，导致传输效率低下、网络延迟偏高，极不适合用于游戏加速或者对即时响应要求苛刻的代理需求。
与 WebSocket 相比，使用 gRPC 作为代理底层传输协议具有哪些技术层面的优势？
gRPC 是基于 HTTP/2 标准构建的，天然支持双向流媒体交互以及多路复用。它利用 Protobuf 进行数据序列化，不仅头部压缩效果出众，协议本身的冗余开销也远小于 WebSocket。它在保留了“可通过 CDN 中转”及“支持 Nginx 端口分流”等优点的同时，还能提供更加优秀的并发吞吐能力和更低的网络延迟。
在当下的网络审查环境中，ShadowsocksR (SSR) 的混淆（obfs）机制为什么已经失去安全保障了？
SSR 的混淆手段主要是通过篡改数据包头部，将流量表面伪装成 TLS 或 HTTP 请求。但这种伪装纯粹是“静态”且“浮于表面”的，并没有真正还原 HTTP/TLS 协议复杂的交互逻辑。面对如今已经具备深度包检测（DPI）及机器学习分析能力的防火墙，这种机械的特征篡改极易被识别为可疑的异常流量，从而导致服务器 IP 遭到精准封杀。
Xray 配置文件里的入站（Inbound）与出站（Outbound）分别承担着什么核心功能？
入站（Inbound）主要用来接收本地客户端（如浏览器或代理软件）发送过来的请求数据，它规定了本地监听的协议（如 HTTP、SOCKS5）与端口号。出站（Outbound）则负责将经过处理的数据发往外界，它设定了远程服务器的端口、IP 地址以及所采用的代理协议（如 Shadowsocks、VMess 等）。Xray 的核心作用就是在这两者之间进行协议转换与路由规则的智能分发。
Trojan-Go 针对原版 Trojan 进行了哪些升级？增加了哪些新功能？
Trojan-Go 是用 Go 语言将 C++ 版本的原版 Trojan 进行了彻底重写。它不仅兼容原有配置，还新增了多路复用（Mux）、路由规则分流（类似 V2Ray 的 Routing 机制）、WebSocket 传输以及对 CDN 中转的支持，并且在跨平台运行上表现更好。这些新特性完美填补了原版 Trojan 功能单一、无法套用 CDN 的短板，使其演变成了一个更为全面的代理核心引擎。
在游戏加速领域，为何 NAT 类型以及 UDP 转发的稳定性显得尤为关键？
像 Apex、CS:GO 这样绝大多数的多人在线竞技类游戏，其底层的网络实时通信都极其依赖 UDP 协议。如果使用的代理无法良好地转发 UDP 流量，或者是转发之后的 NAT 状态显示为严格（Strict），将直接导致游戏内无法正常匹配玩家、语音中断或无法建立 P2P 联机。因此，一款合格的游戏加速节点必须能够稳定穿透 UDP 数据，并保持完全圆锥型 NAT（Full Cone NAT），以确保玩家的联机体验。
在 vless+tcp+xtls-rprx-vision 的 XTLS 配置中，XTLS-Vision 是通过什么机制来抵御审查系统主动探测的？
XTLS-Vision 在建立连接的握手阶段，会针对 TLS Client Hello 的数据特征执行严格校验，并在后续通信中引入长度混淆机制与随机填充（Padding）。如果有任何探测设备试图发送重放报文或非法数据包，服务端将默默丢弃这些包或伪装成正常的连接超时。这种机制使得审查系统的探测器无法从服务端获取任何有效反馈，进而无法判定该端口上是否存在代理服务。
如果在配置 Reality 协议时，将“Dest”和“ServerNames”参数填错，会引发什么后果？
Dest 代表的是你想要伪装的目标网站地址，而 ServerNames 则是客户端握手时发送的 SNI 域名。如果这两个参数设定不一致，或者 ServerNames 根本不在目标网站服务器证书的授权列表里，当防火墙进行探测时，就会发现这种“挂羊头卖狗肉”的行径——即客户端请求的域名和服务端返回的证书完全匹配不上。这将立刻暴露出代理特征，导致节点 IP 遭遇封锁。
“前向保密”（Forward Secrecy）是什么概念？它在基于 TLS 1.3 的现代代理协议中发挥了怎样的作用？
前向保密的核心在于每一次新的通信会话都会生成一套独一无二的临时密钥。这意味着，即使在未来某天代理服务器的长期私钥不慎泄露或被暴力破解，攻击者也绝对无法解密他们过去长期截获并囤积的加密通讯记录。在 TLS 1.3 标准中，前向保密（如 ECDHE 算法）被强制设为默认选项，这极大增强了代理网络在应对国家级流量监听时的底层安全性。
QUIC 协议特有的“连接迁移”（Connection Migration）功能，能为手机端的科学上网体验带来什么实质性提升？
以往的 TCP 代理在手机切换网络环境（例如从 Wi-Fi 切到 5G 数据）时，因为本地 IP 发生了改变，TCP 必须强制断开并重新进行握手，导致代理网络出现短暂失联。而 QUIC 协议则采用了与 IP 地址无关的“连接 ID（Connection ID）”来标识会话。因此，不论手机的 IP 地址如何变动，诸如 TUIC 或 Hysteria 这些基于 QUIC 的协议都能保持连接无缝过渡，实现不断流的顺畅体验。
为何通过 Cloudflare 等 CDN 服务来中转代理流量，往往会造成网络延迟飙升以及极限网速下降？
因为 CDN 中转相当于在用户和实际代理服务器之间强行插入了一个“中继站”。数据包必须先绕道发送至 CDN 的边缘节点，然后再通过 CDN 骨干网周转至源服务器。这种增加的网络跳数和处理流程不可避免地推高了物理延迟。此外，免费的 CDN 节点通常存在严重的带宽瓶颈和并发限制，一到网络晚高峰就会出现严重的拥堵，进而拖累整体的科学上网速度。
“旁路由”（Bypass Router）的定义是什么？在家庭网络架构中，它和主路由有着怎样的配合关系？
从逻辑上来讲，旁路由其实是一种单臂路由结构，而非物理层面的“旁置设备”。它只需将 LAN 口接入主路由所在的局域网即可。在这个拓扑中，主路由依然承担 DHCP 地址分配和宽带拨号的重任；而旁路由则扮演一个特定的网关角色，负责截取并处理局域网内需要走代理的设备的网络请求（比如去广告、科学上网），处理完毕后再交还给主路由发送至外网。这样即便旁路由出故障，也不会干扰主路由的正常运作。
在 OpenWrt 系统上配置旁路由时，如果遇到局域网内设备连不上网的情况（通常与防火墙相关），该如何解决？
旁路由导致设备断网，绝大部分原因是缺失了 NAT 伪装规则。解决办法是登录 OpenWrt，在“防火墙 - 自定义规则”板块中加入如下代码：iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE。这行指令的作用是把经由旁路由处理后的所有数据包源 IP，统统篡改为旁路由自己的 IP，从而确保这些数据能够被主路由顺利接纳并进行后续回传。
透明代理（Transparent Proxy）技术的底层运作原理是什么？
透明代理主要依靠在网关设备（如软路由）上配置底层的防火墙规则（如 nftables 或 iptables），在局域网内各设备完全不知情的情况下，将其产生的 TCP 和 UDP 流量强行重定向（Redirect）或透明截获（Tproxy）并转发给本地运行的代理核心（如 Clash 或 Xray）。其最大的优势在于，手机、电视等终端设备只要连上家里的 Wi-Fi，无需任何额外配置就能直接实现科学上网。
作为 OpenWrt 平台上最知名的两款代理插件，PassWall 和 OpenClash 在流量分流策略上有什么本质差异？
OpenClash 底层调用的是 Clash 核心，其分流逻辑完全由 Clash 的 YAML 配置体系（例如 Rule Providers）在应用层接管，能够支持极其复杂的域名和规则匹配，灵活性首屈一指。相反，PassWall 偏向于在网络层与传输层做文章，它高度依赖路由器底层的 ipset、nftables 或 iptables 模块，并配合 SmartDNS/dnsmasq 进行 IP 级分流。这种做法降低了路由器的性能开销，但在应对错综复杂的规则时，直观性和灵活性不如 Clash。
在构建透明代理环境时，Redirect 和 TProxy 这两种流量接管方式有什么不同之处？
Redirect 方式只能接管 TCP 请求，它是通过修改数据包的目标端口将流量硬性转发给代理程序的，这个过程会丢失原始的目标 IP 信息（需要额外手段恢复），并且对 UDP 流量无能为力。而 TProxy（真正的透明代理技术）则工作于更底层的 mangle 表中，它不仅能够完美捕获 UDP 流量，还能在不修改数据包任何原始头部信息的前提下完成流量劫持。对于需要全双工代理（尤其是主机游戏 UDP 转发）的场景，TProxy 毫无疑问是最佳选择。
在软路由上搭建代理环境后，为何时常会遭遇国内网页加载缓慢甚至无法访问的“DNS 污染”现象？
这是因为如果你没有做好严谨的 DNS 分流规划，国内的域名解析请求就很可能会被错发到已经遭受污染的海外 DNS 服务器，或者是被国内 DNS 的错误结果抢答。一旦代理插件未能正确落实“国外域名走代理解析，国内域名走国内 DNS 直连”的策略，就会引发严重的 DNS 解析错乱，最终拖累国内互联网服务的连通性和访问速度。
Fake-IP（伪装 IP）模式的原理是什么？它是怎么帮助 OpenClash 实现网页“秒开”的？
在 Fake-IP 模式下，当你的设备尝试解析某个域名时，路由器不会真的去公网查询该域名的实际 IP，而是瞬间秒回一个伪造的局域网 IP（比如 198.18.x.x）给该设备。设备收到假 IP 后立刻发起 TCP 连接，此时路由器截获该连接，再让 Clash 内核通过远端代理节点去获取真实 IP 并拉取数据。这一系列操作直接省掉了本地设备漫长的 DNS 等待时间，从而极大地提升了网页的响应速度。
dnsmasq 这一组件在软路由的流量分流体系中起到了什么样的作用？
作为 OpenWrt 系统自带的 DHCP 与 DNS 核心，dnsmasq 在缺乏 Clash 这种高级应用层分流工具时（例如搭配 PassWall 使用），会承担起至关重要的分流任务。它会根据预设的规则列表，将国内网站的查询请求分配给运营商 DNS，而将海外域名交由纯净 DNS 处理，随后把解析得到的国外 IP 地址悄悄注入到底层的 ipset 集合中。最后，防火墙会读取这个 ipset 集合，将匹配到的 IP 流量全部导入科学上网隧道。
软路由上的“设备控制”或“MAC 地址过滤”功能在局域网分流管理中能带来哪些实际好处？
在家庭局域网内，绝非每一台设备都需要通过代理通道上网。比如智能电视在观看爱奇艺等国内流媒体时，即便你走的是“国内直连”节点，流量依然会白白消耗软路由的 CPU 资源。借助 MAC 地址控制功能，你可以精准指定只有平板或电脑等设备走透明代理，而让洗衣机、电视机等设备的流量在网关底层直接绕开代理插件。这能极大减轻路由器的负载，保障家庭网络的整体稳定。
为什么在采用了旁路由（网关模式）的网络中，Xbox 或 PS5 这类主机的 NAT 状态常常会跌落为 Strict（NAT 3）？
因为在旁路由的架构下，游戏主机发出的数据包被迫经历了两次 NAT 地址转换（一次是旁路由防火墙的 MASQUERADE，另一次是主路由 WAN 口的 NAT 拨号）。这种双重 NAT 会彻底破坏 UDP 协议原有的端口映射逻辑，导致主机的 P2P 联机握手惨遭失败。若想解决此问题，一般需要撤销旁路由上的 NAT 伪装规则（但这要求主路由具备静态路由配置能力，以便将回程流量精准指向旁路由 IP）。
运行在 OpenWrt 上的 SmartDNS 主要是用来干什么的？它是不是代理插件不可或缺的组件？
SmartDNS 的核心优势在于能够同时向一大批上游 DNS 服务器发送查询请求，并自动筛选出延迟最低的 IP 返回给客户端，以此优化 CDN 节点的访问速度。但它并非科学上网环境的“刚需”。如果新手配置不慎，极易与 OpenClash 内置的 DNS 模块（特别是 Fake-IP 机制）发生逻辑冲突，造成 DNS 死循环甚至完全断网。因此，我们通常不建议初级用户在复杂的代理环境中混搭使用 SmartDNS。
挑选软路由硬件时，为什么说 CPU 是否支持 AES-NI 指令集对科学上网的体验影响极大？
AES-NI 是一套内嵌在 CPU 芯片中的硬件级加密加速指令。由于绝大部分传统的代理协议（比如 VMess 或 Shadowsocks 依赖的 AES-128-GCM）都必须进行高强度的 AES 运算，具备 AES-NI 指令集的处理器（例如 Intel 的 N100 或 J4125）能以极低的功耗轻松跑满千兆代理带宽。相反，缺失该指令集的 ARM 架构芯片在处理海量加密数据包时，极易因 CPU 算力见底而触发宽带限速瓶颈。
“策略路由”（Policy Routing）到底指什么？它在多宽带叠加和网络分流场景下是怎么发挥作用的？
策略路由打破了传统路由表只能依赖“目标 IP”来决定数据走向的单一限制，它允许管理员依据数据包的源端口、源 IP 甚至是协议类型来制定非常复杂的转发策略。在软路由的实际应用中，你可以强制指定某台电脑的所有流量必须通过特定 VPN 接口出海，其他设备则走默认 WAN 口；或者在多线多拨环境下，规定看视频的流量走联通宽带，打游戏的流量走电信宽带。
软路由出现频繁的“断流”（即网络忽然断开几秒钟随后自动恢复）问题时，通常是因为哪些因素引起的？
引发断流的常见因素有四种：第一，机场服务器自身波动或遭到了防火墙的瞬时干扰；第二，路由器内部 DNS 解析逻辑崩溃，或者上游 DNS 服务器无法响应；第三，代理内核（如 Xray 或 Clash）遭遇内存泄漏，导致进程崩溃并触发自动重启；第四，软路由底层固件（尤其是某些私人编译的 OpenWrt 版本）存在网卡驱动缺陷，造成物理网口频繁重置掉线。
在给 PassWall 设置分流时，加入中国大陆 IP 地址库（Chnroute）能起到什么作用？
Chnroute 汇总了所有归属于中国大陆境内的 IP 网段。将这份名单导入路由器的防火墙后，能够实现一种极其基础且高效的分流策略——“大陆 IP 与局域网流量直连”。也就是说，只要你访问的目标 IP 在这个名单内，路由器就会让这部分流量直接走本地宽带，而绝不让它们进入代理内核，以此保障国内网页的浏览速度并规避各类视频软件的版权地区限制。
透明代理环境下的“IPv6 泄露”是怎么一回事？我们该怎样去阻止这种现象？
目前多数科学上网节点并未提供针对 IPv6 的良好支持。当你的家庭网络开启了 IPv6 分配，终端设备获取到公网 IPv6 地址后，在访问 Google 等支持双栈协议的站点时，可能会优先选择 IPv6 线路进行直连请求。这就会绕过软路由针对 IPv4 设定的透明代理规则，导致网页加载失败或者暴露你的真实 IP。最简单的防范手段就是在 OpenWrt 的接口设置里彻底禁用 IPv6 的 DHCP 服务，或者在代理客户端中勾选屏蔽 IPv6 解析（Drop IPv6）的选项。
怎么通过 Docker 容器技术，把一台普通的群晖 NAS 打造成一台合格的旁路由来实现透明代理？
你可以在 NAS 系统中拉取一个支持 macvlan 虚拟网卡模式的 Docker 镜像（例如打包了 Clash 内核或 OpenWrt 的容器）。通过 macvlan 技术，这个容器就能获取到一个与 NAS 处于同一局域网网段的真实 IP。接下来，只要把你手机或电脑的网络网关及 DNS 服务器地址，手动修改为这个 Docker 容器的 IP，该容器就能像真正的旁路由那样，全面接管并代理这些设备的网络流量。
除了我们熟知的 OpenWrt，市面上还有 RouterOS (ROS) 和 iKuai（爱快）等软路由系统。在复杂的家庭代理网络中，它们之间通常是如何配合的？
在高级的网络拓扑中，ROS 或爱快通常被部署为主路由，负责处理多条宽带的负载均衡、精细的流量控制（QoS）以及提供极致稳定的拨号服务。而 OpenWrt 则多被安置在虚拟机环境内充当旁路由，专心运行各种去广告和科学上网插件。这种“主旁结合”的架构，既守住了家庭底层网络的绝对稳定性底线，又充分白嫖了 OpenWrt 庞大的开源插件红利。
OpenClash 配置项里提到的 Rule Providers（规则集）究竟是什么？它相较于手写静态规则有哪些优势？
Rule Providers 是 Clash 提供的一项特性，它允许软件从指定的网络链接中动态拉取并加载分流规则（例如苹果服务列表或广告屏蔽清单）。相比于把成千上万条规则代码死板地塞进本地配置文件里，使用 Rule Providers 不仅能让你的配置文件变得清爽简短，更重要的是它可以配置定时自动更新，确保你的流量分流策略永远紧跟互联网域名的最新变化。
为什么在编写透明代理的防火墙规则时，一旦发生网络“回环”（Loopback）现象，路由器就会死机或者断网？
所谓回环，是指由于 iptables 防火墙规则编写失误，把代理客户端本身发往海外代理服务器的加密数据包，再次拦截并重定向（Redirect）回了代理软件自己的监听端口。这就导致数据包在路由器内部形成了一个走不出去的死循环，在极短时间内就会榨干路由器的内存和 CPU 算力，引发整个网络环境瘫痪。想要规避这个问题，就必须在防火墙规则中设置豁免白名单（比如放行特定用户组或打上专属标记的数据包）来切断回环。
AdGuard Home具体是什么？在软路由的科学上网架构中，它在DNS解析流程里扮演什么角色？
AdGuard Home是一款功能丰富的局域网DNS管理与广告拦截软件。在常规的软路由网络架构下，它往往部署在最前沿（直接监听局域网内所有终端的53端口）以拦截广告类域名。经过过滤后的常规域名查询，会被转交至下游的OpenClash或者PassWall等插件进行境内外路由分流，以此达到屏蔽广告和科学上网兼顾的效果。
采用Tun模式（例如Clash Premium的Tun功能）来实现全局透明代理，与传统的iptables劫持方式相比有什么优势？
Tun模式能够在操作系统底层生成一个虚拟的网络接口（Tun设备）。系统路由表会被修改，使得所有网络数据包直接导入该虚拟网卡并由Clash接管，从而摆脱了对繁杂的iptables或nftables防火墙规则的依赖。因此，Tun模式具备极佳的跨平台特性（兼容Windows、macOS以及Linux），不仅配置极为便捷，还能原生支持对TCP与UDP流量的全面代理。
面对多节点的机场服务，为什么软路由里的“负载均衡”或“故障转移”（自动切点）功能有时候体验不佳？
针对科学上网节点的连通性检测（一般采用PING或HTTP请求）存在一定的盲区。某些节点表面上延迟极低且HTTP响应正常，但实际上防火墙已经拦截了业务流量。倘若探测机制不够精准，负载均衡系统就会错误地将数据包路由到这些“假死”节点上，这不仅无法改善上网体验，反而会造成频繁的网络中断。
在家庭网络布局里，为何将光猫设为桥接并由路由器负责拨号，是折腾软路由及透明代理的首要基础？
假如由光猫来执行拨号与路由任务（即光猫路由模式），它将获取网络的绝对主导权，导致软路由沦为从属设备。鉴于光猫的硬件配置往往较差且系统封闭，用户难以实现端口映射、NAT类型调整以及自定义DHCP网关等高阶配置。只有将光猫改为桥接模式并交由软路由进行拨号，软路由才能获得家庭网络的全局控制权，进而彻底发挥其强大功能。