分流配置安全底线与合规声明
合理的规则分流是兼顾网络访问速度与合规安全的基础。分流策略的配置旨在实现学术科研、开源代码拉取等合法业务的精准分流，同时保证国内政企、网银与内网业务走本地物理宽带直连。严禁配置非法入侵或数据截获规则。
在很多用户的初始认知中，代理软件往往被当成一个非黑即白的“全局开关”。然而在现代计算机网络工程中，**智能分流与工作模式**才是决定整个代理系统是否好用、是否稳定的核心灵魂。无论是区分国内与海外流量、保护本地局域网（LAN）直连通信，还是解决终端命令行工具（Git/Node/Python）的网络超时，理解代理模式与分流算法至关重要。
代理模式集群核心技术要点
- 系统代理的天然局限性：系统代理仅能修改操作系统的 HTTP/HTTPS 代理注册表（如 WinINET），对不支持代理设置的命令行终端、大型游戏客户端及 UDP 数据包完全无能为力。
- TUN 虚拟网卡实现全系统接管：通过在操作系统内核层创建虚拟网络适配器（Wintun / utun），接管所有底层 IP 数据包（Layer 3），实现对全系统 TCP 与 UDP 流量的透明拦截。
- 规则匹配遵循“自上而下、先中先停”：分流规则的执行顺序极为严格，通常先匹配局域网私有地址（GEOIP,PRIVATE），再匹配国内直连规则（GEOIP,CN），最后由 MATCH 兜底规则送入境外代理节点。
- Fake-IP 模式是终结 DNS 污染的工程利器：通过为境外域名分配虚拟的保留私有 IP 地址，彻底避免了本地 ISP 的 DNS 投毒，并将真实的域名解析工作移交至境外出口节点执行。
一、三类核心运行模式横向对比与适用场景
理解系统代理、TUN 模式与全局模式的技术边界：
| 运行模式 | 拦截网络层级 | 对 UDP 支持 | 终端环境是否生效 | 性能开销 | 核心推荐场景 |
|---|---|---|---|---|---|
| 系统代理 (Rule) | 应用层 (Layer 7) | 否（仅 TCP） | 否（需手动配置环境变量） | 极低 | 日常网页浏览、海外学术检索、视频流媒体观看 |
| TUN 虚拟网卡 | 网络层 (Layer 3) | 是（完全支持） | 是（全自动无感透明接管） | 极低（现代内核高效转发） | 全栈开发、Git 仓库拉取、Docker 镜像下载、外服游戏联机 |
| 全局代理 (Global) | 视底层拦截方式而定 | 视底层拦截方式而定 | 视底层拦截方式而定 | 偏高（国内流量亦绕行） | 快速定位某条规则是否误判的临时调试手段，严禁日常常驻 |
二、智能分流规则的工程级设计原则
构建一个高可用、零误杀的分流规则系统，必须严格遵循以下层次逻辑：
- 第一层：私有网络与本地回环绝对直连（DIRECT）：
- 必须将
127.0.0.1、192.168.0.0/16、10.0.0.0/8及本地局域网打印机、NAS 服务排在首位，杜绝内网资产无法访问。
- 必须将
- 第二层：中国大陆域名与 IP 精准直连（DIRECT）：
- 引入维护良好的 GeoSite (cn) 与 GeoIP (cn) 数据库，确保所有国内日常软件（微信、微信读书、网易云音乐、淘宝等）均走本地低延迟物理宽带。
- 第三层：特定流媒体与海外高频学术服务策略分流（Proxy）：
- 针对需要低延迟的 YouTube、GitHub、OpenAI、Google Scholar 等服务，定向路由至指定线路或自动 Fallback 容灾节点组。
- 第四层：最终兜底（FINAL / MATCH）：
- 未在上述白名单中的未知海外域名与 IP 走默认代理节点，避免产生未预期的直连阻断。
三、本集群收录文章与深入阅读导航
本集群收录了针对代理模式与分流算法的详尽深度拆解：
- 系统代理模式与 TUN 模式深度对比及工程选型指南：全面拆解应用层代理与虚拟网卡的工作机理、Wintun 驱动原理与避坑指南。
- 客户端规则模式与智能分流策略实操全解：从规则语法、域名通配符、GeoIP 数据库更新到自定义路由组，手把手构建最科学的分流体系。