使用教程
各平台配置教程、连接问题排查与使用技巧。
-
CONNECT 没有 200，就不是网站拒绝
经 HTTP 代理访问 HTTPS 时，先有一条 CONNECT。2026-11-11 的 curl 8.5.0 在桩代理回 403 时打印隧道失败；200 之后才是目标网站自己的状态码。不要把代理的拒绝记成 OpenAI 的地区句。
-
全部网络没打开时，AI 请求会直连
Apple 的 IncludeAllNetworks 默认是 0。按需规则匹配到 Disconnect 时隧道会被拆掉，说明里没有写拆掉后丢弃其余流量。补充匹配域没点名的 AI 域名，仍用默认解析器。核对日为 2026-11-11。
-
路由域没盖住时，AI 域名问本地
systemd-resolved 按路由域决定多标签名字问谁。sing-box 1.14.4 的 dns_mode 会设置接口 DNS，没有写加上 ~.。chatgpt.com 因此仍可能问到另一块网卡。核对日为 2026-11-11。
-
流式返回 200 之后，连接仍会断
接口已经返回 HTTP 200，后面仍可能出现错误事件，也可能套接字直接断开。本文按 2026-11-10 的 OpenAI 与 Anthropic 文档把这两种结果分开，并说明没有事件时先记下断开前的秒数。
-
两层隧道时，AI 看见的是哪一跳
路由器和电脑同时开着隧道时，网站看到的是最后一跳。本文按 2026-11-10 核对的 sing-box 1.14.4 拨号字段和 WireGuard 说明，写怎样对照两跳，以及保活写在 detour 旁边为什么不会生效。
-
API 允许列表不是国家不支持
OpenAI 和 Anthropic 的 IP 允许列表看的是到达接口的公网地址。它和「国家或地区不支持」不是同一条错误。本文按 2026-11-09 的文档，把这两种拒绝和 Gemini 的密钥限制分开。
-
AI 证书签发者变了，先别改账号
证书报错时，先看签发者是不是这条路径上的公开证书。2026-11-09 用 OpenSSL 3.0.13 记录了六台主机，并对照 OpenAI 帮助中心关于 SSL 解密和长连接中断的说明。
-
仿 Chrome 会盖住更长的空闲超时
Hysteria2 默认仿 Chrome 时，quic-go 把空闲上限改回 30 秒，更长的 idle_timeout 不会留下。只关开关而不另写时间，另一处默认仍是 30 秒。核对日 2026-11-08。
-
出站的 domain_strategy 已不能单独用
sing-box 1.14.4 的 check 会拒绝出站上的旧 domain_strategy。替换字段只解析节点自己的域名，不改 ChatGPT 等网站的地址族。核对日为 2026-11-08。
-
AI 域名的 HTTPS 记录里有没有 ECH
加密客户端问候会把真实服务器名放进内层。2026-11-07 向两台公共解析器查询，三家 AI 域名的 HTTPS 记录都没有 ech 参数。没有这项时，先不要把规则落空记成加密问候。
-
后量子份额把 ClientHello 撑大
浏览器握手停住、curl 却已有状态码时，先看密钥份额的大小。RFC 10024 把 X25519MLKEM768 的客户端份额写成 1216 字节。本文只核对到 2026-11-07，没有抓取 Chrome 的报文。
-
VPN 断开后 NRPT 仍指向旧 DNS
Windows 上隧道已经断开，AI 域名仍可能交给表里的旧 DNS。Intune 文档写明只有 Persistent 启用时规则才会留下。2026-11-07 核对的 WireGuard 说明没有写 NRPT。
-
AI 的 AAAA 可以不进 IPv4 隧道
ChatGPT、Claude 与 Gemini 可以同时有 A 和 AAAA。隧道没接住 IPv6 时，这一次不会因为图标亮着就走进去。核对日为 2026-11-06，命令来自 dig、curl 与 sing-box 1.14.4。
-
安全 DNS 不回退时，AI 域名先失败
Chrome 选了自定义安全 DNS 时，查询失败不会退回未加密 DNS。ChatGPT 等域名会先表现为找不到地址，这时还没有地区英文。帮助页和策略文件于 2026-11-06 核对。
-
PAC 把 AI 主机名判成直连
公司或校园的 PAC 会把 ChatGPT、Claude 或 Gemini 的主机名判成直连。本文用 2026-11-06 读到的匹配函数说明，只写后缀为什么漏掉顶点域名，以及这和例外名单不是同一层。
-
没拦住旁路时，AI 请求会漏出
Android 开发者文档写了拦截非 VPN 连接的开关。用户帮助页又写，通过应用配置的 VPN 可能没有始终开启。对照这两页，看隧道掉线时 AI 请求会不会漏出。核对日为 2026-11-05。
-
53 端口被改道时，AI 域名先答错
发往 1.1.1.1 或 dns.google 的 53 端口查询，要用官方调试名判断有没有到达那家解析器。没到达时，AI 域名的答案还不是地区报错。核对日为 2026-11-05。
-
连接复用后，第二个 AI 名字不再握手
HTTP/2 可以把证书仍覆盖的第二个名字放进已经握过手的连接。代理因此看不到新的 Server Name，域名规则也不会再跑。核对日为 2026-11-04。
-
回环地址交给代理，请求就离开本机
登录回调若被 curl 交给 HTTP 代理，请求先到代理，不再直接打到本机监听。本文用 curl 8.5.0 做了对照，并写明 ip_is_private 匹配哪些地址。核对日为 2026-11-04。
-
进程规则比的是套接字主人
sing-box 1.14.4 的 process_name 比的是套接字所属进程的文件名，不是应用显示名。对不上时，AI 客户端会落到默认出站。核对日为 2026-11-04。
-
网页能开，不代表 API 同一出口
网页能打开，只说明那一台主机走通了。API 仍可能从另一出口收到国家不支持。本文按 2026-11-03 的三家文档，写 sing-box 1.14.4 的精确域名规则。
-
远程 DNS 关掉时，AI 域名在本地查
Firefox 159 默认让 SOCKS v5 代为解析域名。关掉之后，ChatGPT、Claude 或 Gemini 的名字由本机回答，代理只看到 IP。本文按 2026-11-03 的源码和管理文档说明这个开关。
-
专用代理不会把 Safari 变成另一个国家
iCloud 专用代理不会把 Safari 的 ChatGPT、Claude 或 Gemini 换成另一个国家。本文按 2026-11-03 打开的 Apple 支持页和 2021 年 12 月说明，分开 VPN 接管与自动关闭。
-
结账页和银行验证不在同一出口
结账被拒、银行验证页打不开、以及国家不支持，是三种结果。本文按 2026-11-02 打开的 OpenAI、Anthropic 与 Gemini 页面，说明验证页该跟哪一条出口，以及发卡地不会因代理改变。
-
在核心里拒绝 AI 域名的 QUIC
Protocol 列是 h3、页面却没有状态码时，可以在 sing-box 里只拒绝这些 AI 域名上的 QUIC。步骤按 2026-11-02 核对的 1.14.4 标签文档来写，不代替浏览器开关，也不改变地区资格。
-
WireGuard 没握手，先别改 AI 账号
WireGuard 还没有成功握手时，ChatGPT、Claude 或 Gemini 的超时不是改账号能解决的。本文按 2026-11-02 核对的 wg 源码、白皮书草稿和 sing-box 1.14.4，写先看握手再看地区报错。
-
状态页正常，不等于路径通
状态页写着正常，只说明对方当时这样报告。本文用 2026-11-01 打开的 OpenAI 与 Claude 状态接口，把全站故障和你这条到 ChatGPT、Claude 或 Gemini 的路径分开。
-
AI 站点的 TLS 停在哪一步
ChatGPT、Claude 或 Gemini 打不开时，先看 TCP 和 TLS 停在哪一步。本文用 2026-11-01 的 curl 8.5.0 与 OpenSSL 3.0.13，把连不上、握手没完成和已经返回的 HTTP 分开。
-
测速组不要给 AI 换国家
测速组选的是到测试网址更快的出口，不是 AI 名单里的国家。本文按 2026-11-01 打开的 sing-box 文档，把 ChatGPT、Claude 与 Gemini 的域名指到选择器，并说明这不能取得地区资格。
-
AI 域名仍由本地解析器回答
隧道已连接时，ChatGPT、Claude 或 Gemini 的域名仍可能由本机解析器回答。本文按 2026-10-31 的 sing-box 1.14.4，写新的 DNS 服务器对象、把这些查询送到出站上的 DoH，以及怎样对照。
-
节点域名解析成环，隧道起不来
出站服务器写成域名后，若解析它的 DNS 又必须穿过同一条出站，隧道会在建立前卡住。本文按 2026-10-31 的 sing-box 1.14.4 说明这个环，以及它和 AI 地区报错不是同一种失败。
-
没嗅探时，AI 域名规则对不上
规则里写了 ChatGPT、Claude 或 Gemini 的域名，TUN 上的连接却可能只有 IP。本文按 2026-10-31 的 sing-box 1.14.4 迁移示例写嗅探顺序，并说明这不能变成支持地区。
-
UDP 不通时，浏览器仍走 HTTP/3
Protocol 列若是 h3，页面走的是基于 UDP 的 HTTP/3。本文按 2026-10-29 的 Chrome 策略模板、Edge 文档和 Firefox 159 源码，写关掉 QUIC 的位置。这不改变地区资格。
-
命令行里的 Claude、Codex 与 Gemini
Claude Code、Codex 与 Gemini CLI 不跟浏览器的代理按钮。本文按 2026-10-29 打开的官方说明和当天的发布标签，写出各自读取的变量、不支持的代理类型，以及长回复断开时先记哪一项。
-
例外名单把 AI 网站留在直连
系统代理开着，ChatGPT、Claude 或 Gemini 仍可能不走代理。本文按 2026-10-29 的 Windows、macOS 和 WinINet 文档，说明例外名单的分隔符和通配符，以及怎样和 curl 的出口对照。
-
国内站被送进境外节点：直连规则
代理开着时只有国内站打不开，常常是这些站被送进了境外出站。本文按 2026-10-28 的 sing-box 1.14.4 文档写直连规则，并说明 geosite 已在 1.12 移除。
-
系统代理没清掉，国内站一起超时
关掉客户端后国内网站仍超时，常常是系统代理还指着本机端口。本文按 2026-10-28 的 Windows、macOS 与 sing-box 1.14.4 文档，把这套设置和 WinHTTP、环境变量分开查。
-
电脑能用、手机不行：私有 DNS 与分应用
同一节点在电脑上能用、手机上不行时，先分清系统代理、TUN 和 Android 私有 DNS。步骤按 2026-10-27 核对的 sing-box 1.14.4 与 Android、Apple 文档来写。
-
官方 SDK 怎么走代理：变量与超时
浏览器能打开 API 主机，官方 SDK 仍可能超时。本文对照 2026-10-27 的 openai 3.39.0、anthropic 2.3.0 与 google-genai 2.33.0，说明各读哪些代理变量，以及超时用秒还是毫秒。
-
大陆代理连上后仍失败：按现象排查
代理状态栏显示已连接，只说明到代理服务器的一段通了。本文按 DNS、传输层、时钟、IPv6 和空闲断流分开排查，并写明 2026-10-26 核对过的 sing-box 日志与超时字段。
-
国外 AI 的 API、订阅与支付排查
把网页订阅、API 密钥和支付拒付分开看。OpenAI、Anthropic 与 Gemini 用哪些状态码表示地区、密钥或账单问题，长回复断开时又该先记下什么。核对日为 2026-10-26。
-
Wi-Fi 与蜂窝网切换时 VPN 为何掉线
解释手机在 Wi-Fi 与蜂窝网之间切换时，出口 IP 变更、默认路由切换与系统休眠如何让 VPN 掉线或显示已连接却不能用，对比不同协议对网络漫游的处理，并给出可复现的排障步骤。
-
VPN 为何让手机更耗电
从加密运算、保活对无线电的唤醒、始终开启与后台重连四个方面，解释 VPN 为什么会增加手机耗电，并给出同一部手机可复现的对照清单，不做产品排名。
-
验证门户与 VPN：登录页打不开怎么判断
说明在酒店、机场与校园 Wi-Fi 上，验证门户为何会与 VPN 隧道互相干扰，以及如何用可复现步骤判断网页为什么打不开，是门户尚未通过，还是 DNS 或路由方面的问题。
-
VPN 路由冲突：网段重叠时内网为何不通
解释家里或公司局域网与 VPN 推送路由、节点内网发生网段重叠时，访问打印机、网关或内网服务为何失败，以及如何按前缀长度阅读路由表，并把该判断与分应用分流分开核对。
-
Always-on VPN 与开机守护
区分系统 Always-on / 按需连接与 Kill Switch：解释开机竞态、断线窗口与强制门户（captive portal）在概念层的张力，并给出与保活、杀开关一起核对的清单。
-
VPN 保活与掉线重连：Keepalive 怎么读
解释 VPN 客户端里的 Keepalive、心跳与 Dead Peer Detection 各自在防什么，对比静默超时、主动探测与自动重连，并说明如何用可复现步骤判断「显示已连接」是否仍对应可用隧道。
-
VPN 用 TCP 还是 UDP？传输层怎么选
解释 VPN 隧道外层选用 TCP 或 UDP 各自代表什么，对比延迟、抖动、防火墙友好度与队头阻塞，并说明读客户端选项时如何对照场景而不是只看协议名。
-
DoH/DoT 是什么？和 VPN DNS 怎么对照
解释 DNS over HTTPS（DoH）与 DNS over TLS（DoT）如何绕过系统解析器，说明它们与 VPN/TUN 隧道 DNS 叠加时为何检测结果会「看起来矛盾」，以及如何按浏览器、系统、客户端三层对照。
-
Fake-IP 是什么？和真实 DNS 怎么选
解释规则代理里 Fake-IP（虚拟 DNS）如何把域名映射成占位地址再匹配分流，它与真实 DNS 的差异、常见副作用，以及何时该改回真实解析。
-
VPN 延迟怎么看：RTT、抖动与丢包
解释 VPN 场景下 RTT、抖动与丢包各自代表什么，如何区分本地 Wi-Fi、隧道封装与远端出口三段延迟，以及读测速结果时常见的误判。
-
VPN 分流是什么？全局与按需分流怎么选
解释 Split Tunneling（分流）在 VPN/TUN 场景下的含义，对比全局、按域名、按应用与按进程规则，说明 DNS 一致性与旁路风险，便于按场景选择而不是盲目全开。
-
VPN 的 MTU 是什么？能连上却打不开网页时怎么查
解释隧道场景下 MTU 与 Path MTU 的含义，说明外层封装为何让大包失败，以及如何用对照表区分 DNS 问题、路由问题和路径黑洞，便于按层排查。
-
IPv6 泄漏是什么？如何检查以及结果怎么读
解释 IPv6 泄漏的含义：IPv4 已进隧道时 v6 流量或 AAAA 解析为何仍直连，以及如何用检测页对照双栈出口，判断是否出现 v6 旁路。
-
WebRTC 泄漏是什么？如何检查以及结果怎么读
解释 WebRTC 泄漏：浏览器为实时通话收集候选地址时，可能在 VPN 已开启时仍把本机或局域网 IP 交给网页。说明如何用检测页对照候选地址，以及它和 DNS 泄漏有何不同。
-
Kill Switch 是什么？断线时如何防流量回落
解释 VPN Kill Switch（断线保护）要挡住的是哪一类泄漏，常见实现靠路由还是防火墙，以及如何用可复现步骤验证它在断线、休眠和网络切换时是否真的生效。
-
DNS 泄漏是什么？如何检查以及结果怎么读
解释 DNS 泄漏的含义、它在 VPN 或全局代理下为何出现，以及如何用公共检测页对照解析器地址，判断名字解析是否仍走本地运营商。