代理网络学习笔记：从系统代理、TUN 到 DNS 与 Fake-IP#

1. 先建立完整的分层模型#

可以把一次网络访问拆成下面几层：

1
应用：浏览器、Git、Codex、游戏
2
           ↓
3
流量入口：系统代理 / HTTP / SOCKS5 / TUN
4
           ↓
5
代理内核：Mihomo、sing-box、Xray
6
           ↓
7
决策方式：规则 / 全局 / 直连
8
           ↓
9
节点协议：Shadowsocks、VMess、VLESS、Trojan、Hysteria 2
10
           ↓
11
远端代理服务器
12
           ↓
13
目标网站

这些概念不是互相替代的选项。例如，一次真实连接可能是：

1
浏览器
2
  → TUN 接管
3
  → Mihomo 根据域名规则选择节点
4
  → 使用 Shadowsocks 连接远端节点
5
  → 访问 HTTPS 网站

其中 TUN、Mihomo、规则模式、Shadowsocks 和 HTTPS 分别位于不同层。

2. 从 URL 到 IP：DNS 在做什么#

浏览器输入：

1
https://docs.example.com:8443/guide?id=1

需要 DNS 解析的只有主机名：

1
docs.example.com

协议 https、端口 8443、路径 /guide 和参数 id=1 都不参与 DNS 查询。

DNS 的工作是把域名转换成网络连接需要的 IP：

1
docs.example.com
2
       ↓ DNS
3
203.0.113.20

得到 IP 后，操作系统才能向对应服务器发起 TCP 或 UDP 连接。

不过，“浏览器输入 URL 后一定先查询公共 DNS”并不严谨。浏览器可能先检查自己的缓存，也可能把域名交给系统、Clash 或远程代理解析。使用显式 HTTP 代理时，浏览器甚至可以直接发送：

1
CONNECT docs.example.com:443

然后由代理程序处理域名。

3. DHCP：自动领取网络配置#

DHCP 全称是 Dynamic Host Configuration Protocol，即动态主机配置协议。设备连接 Wi-Fi 或有线网络后，通常通过 DHCP 自动获取：

• 本机 IP；
• 子网掩码；
• 默认网关；
• DNS 服务器；
• 地址租期。

经典交互过程简称 DORA：

1
Discover：设备询问“网络里有 DHCP 服务器吗？”
2
Offer：   DHCP 服务器提供一套配置
3
Request： 设备请求使用这套配置
4
Ack：     DHCP 服务器确认租约

家庭网络中的 DHCP 服务器通常是路由器。公司网络可能使用独立 DHCP 服务，并向员工设备下发公司内部 DNS。

在 Windows 中可以查看当前网卡得到的 DNS：

1
ipconfig /all

或者：

1
Get-DnsClientServerAddress -AddressFamily IPv4

如果系统既没有获得 DHCP 配置，也没有手动配置地址，Windows 可能给网卡分配 169.254.x.x。这通常表示没有成功取得正常的网络配置。

4. hosts 与 DNS 的关系#

Windows 的 hosts 文件位于：

1
C:\Windows\System32\drivers\etc\hosts

可以手动写入静态映射：

1
10.20.30.40  oa.example.internal

对于由 Windows 系统解析器处理的请求，可以近似理解为：

1
本地缓存 / hosts
2
        ↓ 未命中
3
DNS 服务器

但关键在于“谁负责解析”。如果浏览器把域名交给 HTTP/SOCKS 代理，或者 TUN 将 DNS 请求交给 Mihomo，那么最终可能由代理内核解析。此时是否使用 Windows hosts，要看内核配置。

Mihomo 中相关字段包括：

1
dns:
2
  use-hosts: true
3
  use-system-hosts: true

它还可以维护自己的 hosts：

1
hosts:
2
  "oa.example.internal": 10.20.30.40

修改 Windows hosts 后，可以清理系统 DNS 缓存：

1
ipconfig /flushdns

浏览器可能还有独立缓存，必要时需要完全重启。

5. 系统代理：应用主动把请求交给代理#

开启 Clash Verge Rev 的系统代理，通常是修改 Windows 的系统 HTTP 代理设置：

1
支持系统代理的应用
2
        ↓
3
127.0.0.1:本地代理端口
4
        ↓
5
Mihomo

优点是简单、开销较小，浏览器和许多桌面应用都能直接使用。

限制也很明显：只有愿意读取系统代理设置的程序才会进入 Mihomo。某些命令行工具、游戏、Windows 服务、UDP 程序、WSL 或容器中的进程可能忽略系统代理。

因此经常出现：

1
浏览器可以访问
2
但 Git、npm 或某个程序不能访问

纯粹开启系统代理通常不会直接改变 Windows 网卡的 DNS 地址；不过被代理的请求可能改由 Mihomo 或远程节点解析域名。

6. TUN：用虚拟网卡实现透明代理#

Clash Verge Rev 中的“TUN 模式”“虚拟网卡模式”和“TUN 透明代理”，通常是在描述同一套机制。

• TUN 描述实现技术；
• 透明代理描述使用效果。

开启 TUN 后，代理内核创建虚拟网络接口并调整系统路由：

1
应用正常联网
2
    ↓
3
Windows 网络栈
4
    ↓
5
TUN 虚拟网卡
6
    ↓
7
Mihomo
8
    ↓
9
直连或代理节点

应用不需要知道代理地址，也不需要原生支持 HTTP 或 SOCKS5，所以 TUN 更容易接管命令行程序、游戏、UDP 和其他不读取系统代理的应用。

它的代价包括：

• 需要更高系统权限；
• 可能与公司 VPN、其他 VPN、虚拟化网络或防火墙冲突；
• 需要正确处理局域网、DNS 和路由；
• 出现问题时排查链路更长。

在其他系统上，透明代理也可以通过 iptables、TPROXY 或 REDIRECT 等机制实现，并不永远等于 TUN；但在 Windows 的 Clash Verge Rev 语境下，两者通常可以近似视为同义表达。

7. 规则、全局、直连：接管后怎么处理#

系统代理和 TUN 解决“流量怎样进入 Mihomo”，规则、全局和直连则解决“进入以后怎样处理”。两个维度彼此独立。

1
局域网地址       → DIRECT
2
国内域名         → DIRECT
3
开发平台         → PROXY
4
广告域名         → REJECT
5
剩余流量         → 默认策略组

8. Fake-IP：给域名发放内部编号#

TUN 捕获的是 IP 数据包。应用完成普通 DNS 查询后，建立连接时通常只剩下目标 IP，原始域名可能已经丢失：

1
应用查询 api.example.com
2
        ↓
3
DNS 返回 203.0.113.20
4
        ↓
5
应用连接 203.0.113.20
6
        ↓
7
TUN 看到的是 IP

这会给域名规则带来困难：一个 CDN IP 可能同时承载许多域名，DNS 缓存也可能变化。Mihomo 可以尝试通过 DNS 缓存或流量嗅探恢复域名，但不一定始终可靠。

Fake-IP 的思路是不给应用真实 IP，而是返回一个仅供本机代理内部识别的地址：

1
应用查询 api.example.com
2
        ↓
3
Mihomo 返回 198.18.0.10
4
        ↓
5
Mihomo 保存映射：
6
198.18.0.10 ↔ api.example.com
7
        ↓
8
应用连接 198.18.0.10
9
        ↓
10
Mihomo 准确恢复原始域名并匹配规则

这个 Fake-IP 不会作为真实目标地址发送到公网，更像是 Mihomo 给域名分配的内部编号。

Fake-IP 的主要价值是：

• 在 TUN 模式下保留域名身份；
• 提高域名规则匹配的准确性；
• 减少对 TLS SNI、HTTP Host 等嗅探手段的依赖；
• 先判断分流策略，再决定使用哪组 DNS；
• 减少本地 DNS 污染或错误解析的影响。

如果只使用显式 HTTP 代理，浏览器已经通过 CONNECT api.example.com:443 告诉 Mihomo 域名，Fake-IP 的价值就没有 TUN 场景那么明显。全局代理或只使用 IP 规则时也是如此。

Fake-IP 也可能影响局域网发现、打印机、某些游戏和依赖真实 DNS 结果的程序，因此通常要设置过滤：

1
dns:
2
  enhanced-mode: fake-ip
3
  fake-ip-filter:
4
    - "*.lan"
5
    - "*.local"
6
    - "localhost"

Mihomo 内核并不是永远默认开启 Fake-IP。如果没有显式配置 enhanced-mode，应以当前内核文档和客户端生成的最终配置为准。许多 Clash 配置模板会主动写入 enhanced-mode: fake-ip。

9. Clash DNS 配置中的几个关键字段#

Mihomo 没有一个永远固定的公共 DNS 地址。DNS 从哪里来，取决于最终合并配置。

1
dns:
2
  enable: false

1
dns:
2
  enable: true

1
dns:
2
  nameserver:
3
    - https://doh.pub/dns-query
4
    - https://dns.alidns.com/dns-query

1
dns:
2
  default-nameserver:
3
    - 223.5.5.5

1
dns:
2
  nameserver-policy:
3
    "+.example.internal":
4
      - 10.20.30.53
5
      - 10.20.30.54

10. 公司内网为什么容易在开启 Clash 后失效#

很多公司采用 Split DNS，即同一个域名在公司内外得到不同答案：

1
公司 DNS 查询 oa.example.internal
2
→ 返回内网地址 10.20.30.40
3

4
公共 DNS 查询 oa.example.internal
5
→ NXDOMAIN、错误地址或外网地址

连接公司 Wi-Fi 后，DHCP 原本会下发公司 DNS。不开 Clash 时，Windows 使用公司 DNS，因此内网正常。

如果 Clash 开启自己的 DNS 模块并改用公共 DNS，就可能无法解析公司域名。解决思路不是把所有 DNS 都改成公司 DNS，而是为公司域名单独设置策略：

1
dns:
2
  nameserver-policy:
3
    "+.example.internal":
4
      - 10.20.30.53
5
      - 10.20.30.54

DNS 正确还不够，内网流量通常也应该直连：

1
rules:
2
  - DOMAIN-SUFFIX,example.internal,DIRECT
3
  - IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
4
  - IP-CIDR,172.16.0.0/12,DIRECT,no-resolve
5
  - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve

完整逻辑是：

1
公司域名 → 公司 DNS 解析
2
公司域名/内网 IP → DIRECT
3
其他流量 → 普通代理规则

排查时先查看 Clash 的连接记录：

• 显示代理节点：路由规则可能错误；
• 显示 DIRECT，但域名解析失败：重点检查 DNS；
• Clash 中完全没有请求：检查浏览器 DoH、系统代理和其他网络层。

Windows 中可以比较不同 DNS 的结果：

1
Resolve-DnsName oa.example.internal -Server 10.20.30.53
2
Resolve-DnsName oa.example.internal -Server 223.5.5.5

11. HTTP、SOCKS5 与混合端口#

Mihomo 可以提供不同的本地代理入口：

1
port: 7891         # HTTP 代理
2
socks-port: 7892   # SOCKS5 代理
3
mixed-port: 7890   # 同时接受 HTTP 和 SOCKS5

混合端口会根据客户端握手自动判断协议：

1
HTTP 代理  ─┐
2
            ├→ 127.0.0.1:7890 → Mihomo
3
SOCKS5 代理 ─┘

同一个混合端口可以这样使用：

1
http://127.0.0.1:7890
2
socks5://127.0.0.1:7890

协议前缀决定应用用什么方式与本地 Mihomo 通信。

1
CONNECT example.com:443

1
curl.exe --proxy socks5://127.0.0.1:7890 https://example.com

1
curl.exe --proxy socks5h://127.0.0.1:7890 https://example.com

1
应用
2
  → 本机混合端口 7890
3
  → Mihomo
4
  → 节点协议和远端节点端口
5
  → 网站

12. Codex 与代理环境变量#

Windows 和命令行工具常见以下通用代理环境变量：

1
HTTP_PROXY   HTTP 请求使用的代理
2
HTTPS_PROXY  HTTPS 目标使用的代理
3
ALL_PROXY    通用回退代理，常用于 SOCKS5
4
NO_PROXY     不经过代理的地址列表

临时为当前 PowerShell 及其子进程设置：

1
$env:HTTP_PROXY  = "http://127.0.0.1:7890"
2
$env:HTTPS_PROXY = "http://127.0.0.1:7890"
3
$env:ALL_PROXY   = "socks5://127.0.0.1:7890"
4
$env:NO_PROXY    = "localhost,127.0.0.1,::1"
5

6
codex

HTTPS_PROXY 写成 http://127.0.0.1:7890 并不矛盾：这里的前缀描述客户端怎样连接本地代理，HTTPS 目标通常通过 HTTP CONNECT 隧道访问。

这四个变量不是 Windows 上运行 Codex 时“四个缺一不可”的强制配置。它们是许多网络库和命令行工具共同遵循的约定：

• TUN 已经稳定接管流量时，通常不需要重复设置；
• 只有系统代理，而 Codex 启动的 Git、npm、curl 等工具不读取系统代理时，显式环境变量更可预测；
• HTTP_PROXY 和 HTTPS_PROXY 通常足以覆盖网页请求；
• ALL_PROXY 按软件和协议需求配置；
• NO_PROXY 应至少保护本机回环地址，避免本地开发服务或工具错误绕行代理。

环境变量只会被新启动的进程继承。修改后应重新打开终端，并从这个终端启动 Codex；已经运行的桌面应用不会自动获得当前 PowerShell 中的 $env: 变量。

还要区分 Codex 的本地命令网络、模型与登录连接、网页搜索、浏览器和连接器。它们不一定走同一条网络通道，Codex 自身用于限制沙箱命令访问范围的“网络代理”也不是 Clash。

13. GUI、内核与节点协议#

代理客户端不是一个不可拆分的整体，可以分成：

1
客户端 GUI：Clash Verge Rev、FlClash、v2rayN
2
         ↓
3
代理内核：Mihomo、sing-box、Xray
4
         ↓
5
节点协议：Shadowsocks、VMess、VLESS、Trojan

1
type: ss

1
type: vmess

14. 常见代理客户端与内核家族#

不同客户端有时只是同一个内核的不同 GUI，有时却连内核和配置体系都不同。

历史上的 Clash for Windows 使用 Clash Premium 内核，已经停止维护。原版 ClashX 和 ClashX.Meta 也不能只按名字视为同一个项目。

即使 Mihomo、sing-box、Xray 和 Shadowrocket 都支持某种节点协议，它们的 DNS、TUN、路由语法和配置格式也可能不同。节点能导入，不代表整个配置文件可以无损互换。

同一台电脑可以安装多个客户端用于比较，但不应同时让多个客户端开启系统代理或 TUN，否则它们会争抢系统代理、路由和 DNS。

15. 一次访问的完整链路#

以 规则模式 + TUN + Fake-IP 为例：

1
1. 用户访问 https://api.example.com
2
2. 应用发起 api.example.com 的 DNS 查询
3
3. TUN 的 DNS 劫持把查询交给 Mihomo
4
4. Mihomo 检查 hosts 和 nameserver-policy
5
5. Mihomo 记录域名与真实解析结果
6
6. Mihomo 向应用返回 198.18.x.x Fake-IP
7
7. 应用连接这个 Fake-IP
8
8. TUN 把数据包交给 Mihomo
9
9. Mihomo 由 Fake-IP 恢复 api.example.com
10
10. Mihomo 按规则决定 DIRECT 或代理组
11
11. 如果走代理，使用选中节点的 SS/VMess/VLESS 等协议
12
12. 远端节点连接目标网站

如果是显式系统代理，链路会更短：

1
浏览器
2
  → HTTP CONNECT api.example.com:443
3
  → 本机混合端口
4
  → Mihomo 已经知道目标域名
5
  → 规则判断
6
  → 直连或代理节点

16. 最简速查表#

17. 使用建议#

• 日常桌面软件为主：使用规则模式和系统代理即可；
• 希望终端、游戏和 UDP 统一接管：使用规则模式和 TUN；
• TUN 下需要稳定域名规则：优先使用 Fake-IP，针对不兼容域名设置过滤；
• 公司内网：公司域名使用公司 DNS，公司域名和内网 IP 直连；
• 排查规则问题：临时切换全局模式作对照，不要长期依赖；
• 排查 Clash 是否参与：同时关闭系统代理和 TUN，而不只是切换直连；
• 修改订阅配置：优先使用 Merge、覆写或脚本，避免订阅更新覆盖手工修改；
• 同一台电脑：不要同时开启多个代理客户端的 TUN 或系统代理。

18. 延伸阅读#

• Mihomo DNS 配置
• Mihomo 第三方客户端列表
• Clash Verge Rev 官方文档
• Clash Verge Rev：无法访问公司内网域名
• sing-box 官方文档
• v2rayN 项目说明
• Codex 环境变量
• Codex Agent approvals & security

一句话总结：系统代理和 TUN 决定流量怎样进入内核，DNS 与 Fake-IP 帮内核识别目标，规则决定流量从哪里出去，节点协议负责把流量安全地送到远端代理服务器。