a5d980a5e9
实现独立加密设备身份、网关 agent、持久生命周期任务和 Surge/FlClash 专属订阅凭证。 完善 Shadowrocket 规则转换与 Clash AI DNS，增加 Surge FFSB 适配、规则快照、运维工具及验收文档。
24 lines
4.8 KiB
Markdown
24 lines
4.8 KiB
Markdown
# Mac Surge、FFSB 与 njcq WireGuard 二次检查
|
||
|
||
2026-11-02 约 15:48–15:51（UTC+8），只读检查；没有改变订阅、规则、策略选择、FFSB 设置或客户端配置，没有重启或重连。私密原始配置、请求和测试记录仅留在本机权限 700/600 的 `/private/tmp/surge-wg-ffsb-audit.*`，不入仓库。
|
||
|
||
## 配置和规则
|
||
|
||
- 本机 Surge 6.11.0 build 12670，活动 `Proxy Station`，增强模式及规则模式开启。活动托管 URL 带 Mac 设备参数，HTTPS 下载内容与本地托管文件逐字一致；有效配置含设备 WireGuard 身份。`🦀 Claude → 🦁 FFSB`，`🤖 AI → 🧠 AI Nodes → US LA Trojan Direct`，`🚀 Proxy → Japan → JP Trojan Direct`。
|
||
- 对照生产默认订阅和当前 Mac 设备订阅：General、Host 完全一致；从设备订阅移除两条 10.203 私网规则后，Rule 段逐字一致；三条地区组正则只增加排除 WG 节点的过滤。实际 All Nodes 和 AI Nodes 各有相同 12 个公网节点且不含 WG，Japan 组有 4 个日本节点，不含 WG。
|
||
- Mac 自身 `10.203.0.3/32 → DIRECT` 位于 `10.203.0.0/24 → NJCQ WireGuard LAN` 之前；iPad 和网关地址命中 WG。Surge 报告 WG 握手完成，实时策略测试 RTT 4 ms；这不能代替各设备之间实际 VNC 测试。
|
||
- 25/25 项 FFSB 既定域名样本由 Surge 原生规则解释命中 FFSB（通配项仅选一个代表样本），不在 always-real-ip；系统解析 API 得到 fake-IP，Surge DNS trace 使用 100.70.255.254。FFSB daemon 的真实可执行文件路径规则命中 DIRECT，先于普通 STUN 防护；Tailscale 进程例外也命中 DIRECT。针对 1.1.1.1 的既有 AI IP 特例排在 daemon 规则前，因此不能表述为该进程任何目标都必然 DIRECT；实际 FFSB 隧道 DNS 为 100.70.255.254，当前检查未发现由此引起的故障。
|
||
- 集合外 downloads.claude.ai、anthropic.auth0.com 和 Claude 专用 Datadog 命中隐藏 Claude 组，再走美国 AI；GitHub、Google 和 Telegram 样本走普通代理，ChatGPT 走 AI；LAN 样本直连。`translate.googleapis.com` 与 `dl.google.com` 命中 Unbreak DIRECT，FINAL 为 NoAuto → Mainland → DIRECT。YouTube/Netflix 样本进入 Streaming。规则解释是抽样，不代表穷举全部域名、IP、进程与规则集。
|
||
- 实际设备 HTTPS 配置和 49/49 个最新规则集快照通过官方 Surge CLI；13 条静态域名遮蔽提示对应既定 25 项 FFSB 优先于较宽 Claude 内部集合，与发布前默认配置提示数量和业务意图一致。当前生产节点、组、规则、settings 与本次发布前快照相同；只有一个启用订阅。
|
||
|
||
## 实际新连接与发现
|
||
|
||
FFSB 0.1.27 daemon／管理和信令 Connected，4/5 peer Connected；`disableDns=true`、`disableClientRoutes=false`，utun100 MTU 1280。FFSB 状态不是业务可用的证明。
|
||
|
||
- 两轮系统入口及显式本机 Surge 代理的 `api.ipify.org` 均 HTTP 200，出口一致；GitHub 200、Google 204、集合外 Claude 下载地址 403、ChatGPT 403 均收到响应。403 只证明 TLS/HTTP 传输，不能证明登录或业务成功。
|
||
- 与此同时 `api.anthropic.com` 和 `claude.ai` 的新连接在普通系统入口及显式 Surge 入口反复失败：第一次分别在 8 秒连接预算内超时，之后两轮四种路径均在约 10 秒 TLS 连接失败。规则解释仍正确指向 FFSB。
|
||
- 独立对照：通过 FFSB DNS 获取真实 IPv4，再将 curl 显式绑定 utun100，两个目标在 12 秒 TCP 连接预算内超时；相同方式访问 ipify 则 HTTP 200。单次用 Surge HTTP probe 显式指定 AI Nodes（不改变组选择）时，API 返回 404、claude.ai 返回 Cloudflare 403，均在约 0.8 秒收到响应。这将异常收窄至 FFSB 到这两个目标的链路或相关解析/转发，不能确定服务商、路由、目标、DNS 等更细根因，也不能凭成功的 ipify 或管理状态宣布 FFSB 整体正常。
|
||
- FFSB 当前 Selected 清单为 27 项，比本项目既定 25 项多 `hcaptcha.com`、`*.hcaptcha.com`。根域目前命中 FINAL → DIRECT，`newassets.hcaptcha.com` 命中 CDN → Proxy，日本；本次各有一次 302/200 响应，不代表完整验证码或登录业务已通过。这一差异在此前检查已经存在，不是本次 WireGuard 改动产生；未擅自扩展既定分流范围。
|
||
|
||
本轮没有切组、重启 Surge 或重连 FFSB；没有测试真实计费模型请求、iPad 到 Mac 的 VNC/媒体、所有规则集流量及长时间／睡眠／换网。此前记录的 FFSB 间歇性连接问题仍不能视为已解决。若用户临时需要使用 Claude，可手动将 `🦀 Claude` 选择现有 AI/国家节点；这样只改变现有用户可见策略，FFSB 未选用期间不会自动回退。对 hCaptcha 是否应纳入 FFSB，需结合实际验证码业务及用户对范围的决定处理。
|