a5d980a5e9
实现独立加密设备身份、网关 agent、持久生命周期任务和 Surge/FlClash 专属订阅凭证。 完善 Shadowrocket 规则转换与 Clash AI DNS，增加 Surge FFSB 适配、规则快照、运维工具及验收文档。
41 lines
5.1 KiB
Markdown
41 lines
5.1 KiB
Markdown
# Surge AI 域名 DNS 分流
|
||
|
||
当前数据库与实际 HTTPS 产物、节点／组选择链见 [生产状态](CURRENT-STATE.md)。AI DNS 由生成器派生，检查时区分数据库 Surge 原文、最终订阅及设备模块后的有效配置。
|
||
|
||
Claude／ChatGPT 的精确补充域名、广告拦截优先级例外、官方 inbound IP 兜底与不采用全局 NTP 分流的理由，见 [2026-10-04 AI 规则审阅](AI-RULE-REVIEW-2026-10-04.md)。该次补充保留已有 AI 规则集；新增域名同样由下述流水线派生 DNS 映射。
|
||
|
||
同日后续已将全部启用的 AI 规则集中排到广告及普通分流之前，按用户选择保留 STUN 阻断和 Google 更新／翻译直连例外。Unbreak 仍在 AI 之前，生成的 Host 映射也保持该顺序；手写 Host 未改动。具体排序、验证及限制见 [AI 与广告优先级](AI-PRIORITY-2026-10-04.md)。策略组显示顺序不决定连接规则或 DNS 匹配优先级。
|
||
|
||
Net.Coffee 的 Claude 页面通过随机 `*.d.ip.net.coffee` 子域名检测 DNS，而不是查询 Claude 域名。线上已按用户要求加入 `DOMAIN-SUFFIX,ip.net.coffee,🤖 AI`；精确 DOMAIN 根域规则无法覆盖这些探测子域。页面与探测子域名采用 AI 连接及派生 DNS 映射，本机更新同一托管订阅后，由中国电信 DNS「可能泄露」变为美国 Cloudflare「未检测到泄露」。页面检测权威 DNS 观察到的递归解析器，并按地区判断，不要求解析器 IP 等于代理出口 IP；无返回结果也不能证明无泄漏。检测机制、备份与验收边界见 [Net.Coffee DNS 复测](NET-COFFEE-DNS-2026-10-04.md)。
|
||
|
||
默认 DNS 基于 https://github.com/ClashConnectRules/Surge 的 Surge.conf：阿里、腾讯 DoH 与原来的国内 Host 映射保持直连；不再将全局 DNS 送到 AI，也不再新增全端口 53 接管。
|
||
|
||
Surge 生成器从启用的 AI 策略规则自动生成 Host 映射。组名支持 `AI` 和 `🤖 AI`。DOMAIN 精确匹配；DOMAIN-SUFFIX 同时生成根域与子域匹配；DOMAIN-KEYWORD 生成通配符；RULE-SET / DOMAIN-SET 直接绑定相同远程列表，由 Surge 更新，无需维护国内域名集合。IP、进程及复合规则无法直接转换为域名 DNS 映射，不生成。Host 与连接规则是独立匹配系统，复杂优先级或例外可能不同。
|
||
|
||
生成配置打开 encrypted-dns-follow-outbound-mode，并置顶：
|
||
|
||
```ini
|
||
IP-CIDR,1.1.1.1/32,"🤖 AI",no-resolve
|
||
DOMAIN,doh.pub,DIRECT
|
||
DOMAIN,dns.alidns.com,DIRECT
|
||
```
|
||
|
||
AI Host 映射使用 `server:https://1.1.1.1/dns-query`。手写 Host 项在前，保留精确 DNS 例外；随后按连接规则顺序生成至最后一条 AI 域名规则的映射，先前非 AI 域名／规则集使用 General 的普通 DNS。这样 Unbreak 等先前例外不会被后面的宽泛 AI 映射覆盖。选择其他 AI 线路后 Cloudflare 查询也跟随同一策略组。该 IP 规则也会将访问 1.1.1.1 的其他连接交给 AI 组。
|
||
|
||
AI 可以选择地区组或独立的 `🧠 AI Nodes`；后者与 All Nodes 的节点来源相同、保存选择独立，详见 [AI Nodes](AI-NODES-2026-10-04.md)。2026-10-04 数据库 General 原文中的 encrypted-dns-follow-outbound-mode 仍为 false，生成器将最终配置派生为 true；不需要为这个差异重复修改全局 DNS 设置。
|
||
|
||
本功能控制 Surge 自己执行的 DNS 查询。代理目标域名可能由远端代理解析；官方说明 use-local-host-item-for-proxy 仅适用于 IP 映射，不适用于 server: 映射，因此不能声称远端代理的解析器被改为 Cloudflare。浏览器自带 DoH 也不自动按 AI 域名匹配这些 Host 项。
|
||
|
||
代理服务器域名的解析可能触发加密 DNS 循环依赖，需核对 Surge 日志。线上保留已验证的节点 Host IP 映射供引导使用；节点 IP 变化后更新映射，私有节点 IP 不提交仓库。
|
||
|
||
数据库 settings/rules 是已有订阅的来源，模板仅首次初始化导入。修改默认 DNS 时使用 update-db 技能备份并经管理 API 更新；不重置规则。全局 PROTOCOL,DOH,AI 已停用；保留 STUN 阻断，特定 googlevideo UDP 拦截放在服务域名规则之前。生产没有全局 UDP 拦截，不把 UDP 回落参数误认为全局阻断。
|
||
|
||
导入时关联 General、Proxy、Proxy Group、Rule、Host，并开启增强模式。无需 MITM 证书。更新后清除 DNS 缓存并复测 Surge DNS 请求日志；生成配置验证不是设备泄漏测试。
|
||
|
||
参考：[Host DNS 映射](https://manual.nssurge.com/dns/local-dns-mapping.html)、[加密 DNS](https://manual.nssurge.com/dns/encrypted-dns.html)。
|
||
|
||
|
||
## 2026-10-19 Claude 独立出口
|
||
|
||
Claude 已从 AI 独立为 `🦀 Claude`，其合并域名通过生产手写 Host 使用1.0.0.1 DoH，并由同组承载DNS连接；AI派生逻辑未修改。同日后续已改为 [手动订阅方案](FFSB-MANUAL-SUBSCRIPTION-2026-10-19.md)：25 项在 Surge 产物中映射至 FFSB DNS，但保持 fake-IP 接管；选远端代理时由远端解析，不依赖 FFSB。设备须关闭 FFSB 对系统 DNS 的管理并重连。集合外 Claude 及其 DoH 传输始终经隐藏组转 AI Nodes；不再运行本机协调脚本。
|