很多出海用户在使用 Clash、Sing-box 或 Shadowrocket 时，常常会产生诸多疑问：“为什么开启代理后，访问国内淘宝、微信依然走本地网络不卡顿？”、“为什么有些游戏和软件不走系统代理，必须开启 TUN 模式？”、“Fake-IP 究竟是如何在毫秒内干掉 DNS 污染的？”。搞懂代理客户端分流的底层运作机制，不仅能帮助我们排查各类连接疑难杂症，更能让我们在网络调优时游刃有余。
一、数据包捕获第一道关卡：系统代理 vs TUN 虚拟网卡
- 传统系统代理（System Proxy / HTTP / Socks5）：工作在应用层。客户端在 Windows/Mac 系统网络设置中设置一个本地监听端口（如
127.0.0.1:7890）。缺点：只有主动遵循系统代理设置的软件（如 Chrome、Edge、Firefox 浏览器）才会把数据发给它；而诸如很多游戏、终端命令行、Telegram 等桌面客户端默认直接无视系统代理，直接走物理网卡直连出海导致无法联网。 - TUN 虚拟网卡模式（Tun Mode）：工作在网络层（L3）。在操作系统内核中虚拟出一块专属网卡，并通过修改系统路由表（Routing Table），将全电脑发出的所有 IP 数据包全量接管并无缝重定向到代理内核中，实现真正的全局捕获与无死角分流。
二、分流的灵魂核心：DNS 决断与 Fake-IP 绝妙设计
在访问 www.google.com 时，计算机必须先通过 DNS 解析知道它的 IP 地址。如果由本地运营商（如电信、联通）解析，返回的一定是错误污染的虚假 IP；如果发给境外专线解析，又会平白增加 50-100ms 的 DNS 往返延迟。
为了解决这个死循环，Clash 与 Sing-box 普及了革命性的 Fake-IP（虚假 IP 映射）模式：
- 本地浏览器发起对
google.com的 DNS 请求； - 代理内核在 1ms 内 立即从预设的保留地址池（如
198.18.0.1）中抓出一个尚未使用的虚构 IP 返回给浏览器； - 浏览器毫无察觉，立即向
198.18.0.1发送 HTTP/TCP 握手包； - 代理内核拦截到目标为
198.18.0.1的数据包，查表发现它代表google.com，遂将真正的域名与数据直接打包送入全内网 IEPL 专线，由境外落地节点在机房本地完成最终真实 DNS 查询并请求数据。
这一流程彻底消除了本地 DNS 污染风险，并将网页首次打开的首包响应延迟压缩至极限！
三、四层智能规则链匹配全流程
在规则模式下，代理内核会按照从上到下的顺序依次扫描规则树：
- 第一层：局域网私有地址直连（
GEOIP,private,DIRECT，确保局域网打印机、NAS 访问直连）； - 第二层：域名后缀与关键词匹配（如命中
OpenAI.list导流至美国节点，命中Netflix.list导流至流媒体节点）； - 第三层：GEOIP-CN 中国大陆地理 IP 白名单（访问国内网站直接走
DIRECT物理直连，完全不消耗机场套餐流量）； - 第四层：MATCH 兜底规则（所有未命中上述规则的未知海外流量，统一导向默认代理策略组）。
四、开箱即用的工业级分流体验
自己手写维护一份完备的规则集需要花费成百上千小时。Nice加速机场 在订阅源中为全球主流代理工具（Clash、Sing-box、小火箭、Surge、Loon）深度内置了由专业网络工程师维护的精细化规则拓扑，一键拉取即刻拥有最科学的国内外智能分流体系，让您专注于工作与娱乐，告别一切繁琐配置困扰。