不同用户角色的免费资源最佳利用路线

开源社区是跨境网络生态最宝贵的基石。优质的分流规则集能够智能识别上千万条域名走向，实现“国内应用走直连 0 延迟、海外学术走代理、恶意广告直接拦截”的无感体验。以下为实验室经过长期工程验证的权威开源项目列表：

# 在 Clash Verge Rev 的扩展配置 (Merge) 或自定义配置中添加：
rule-providers:
  loyalsoldier-direct:
    type: http
    behavior: domain
    url: "https://raw.githubusercontent.com/Loyalsoldier/clash-rules/release/direct.txt"
    path: ./ruleset/loyalsoldier-direct.yaml
    interval: 86400

  loyalsoldier-proxy:
    type: http
    behavior: domain
    url: "https://raw.githubusercontent.com/Loyalsoldier/clash-rules/release/proxy.txt"
    path: ./ruleset/loyalsoldier-proxy.yaml
    interval: 86400

rules:
  - RULE-SET,loyalsoldier-direct,DIRECT
  - RULE-SET,loyalsoldier-proxy,节点选择
  - GEOIP,CN,DIRECT
  - MATCH,漏网之鱼

# 1. 启动本地私有 subconverter 服务容器（监听本地 25500 端口）
docker run -d --name subconverter --restart=always -p 25500:25500 tindy2013/subconverter:latest

# 2. 验证本地服务健康探活
curl http://127.0.0.1:25500/version

# 3. 本地转换链接语法示例（无需经过任何第三方公共服务器）
# http://127.0.0.1:25500/sub?target=clash&url=你的专属节点订阅地址

# Windows / Linux 终端执行测试（单次测速 10 个线程，筛选平均延迟小于 200ms 的 IP）
./CloudflareST -tl 200 -tll 10 -p 10 -f ip.txt

# 将输出结果中综合测速最高的一组 IP，填入客户端对应节点的 server (服务器地址) 字段中

工具安全是科学上网的第一道护城河。近几年来，大量第三方恶意网站通过 SEO 霸屏、投毒修改、注入广告甚至植入勒索木马的方式分发所谓“破解版代理客户端”。本站严正声明：所有正规现代客户端均为开源或正规开发团队发行，绝不需要任何所谓的绿化破解版！

# Windows PowerShell 执行命令：
Get-FileHash -Algorithm SHA256 "C:\Path\To\Clash.Verge_x64-setup.exe"

# macOS / Linux 终端执行命令：
shasum -a 256 /path/to/Clash.Verge.dmg

# macOS 若提示“已损坏，无法打开”时的官方修复命令：
sudo xattr -rd com.apple.quarantine /Applications/Clash\ Verge.app

遇到无法连通或速度缓慢时，盲目重启软件毫无用处。网络工程学讲求“通过指标定位故障”。以下精选的 12 款免费权威在线工具，能够帮助你从 IP 风控分、DNS 泄漏、物理骨干网路由到流媒体解锁进行全链路诊断：

实录一：公共免费节点上的“未加密 HTTP 凭证窃听”抓包还原

很多用户误以为“只要连接了代理节点，我的所有流量就被绝对加密了”。实测表明，代理加密仅仅存在于“你的设备到代理服务器出口”这一段中间隧道中。一旦数据包到达代理服务器的公网出口网关，其内容便会被还原为原始数据包发往目标网站。

# Wireshark 在公共恶意代理出口网关捕获到的明文数据包分析示例：
Frame 1420: 890 bytes on wire (7120 bits), 890 bytes captured
Ethernet II, Src: Gateway_XX:XX:XX, Dst: FreeProxyExit_XX:XX:XX
Internet Protocol Version 4, Src: 10.8.0.42 (用户在代理内网分配的虚拟IP), Dst: 104.28.16.5
Transmission Control Protocol, Src Port: 54320, Dst Port: 80
Hypertext Transfer Protocol
    POST /api/user/login HTTP/1.1\r\n
    Host: target-forum-service.com\r\n
    User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)\r\n
    Cookie: PHPSESSID=9a8b7c6d5e4f3a2b1c0d; remember_token=sec_token_8899\r\n
    Content-Type: application/x-www-form-urlencoded\r\n
    Content-Length: 48\r\n
    \r\n
    [DATA] username=my_user_account&password=my_confidential_password123
    
# [安全审计结论]：
# 如果你访问的网站未强制部署 HTTPS / HSTS，恶意节点运营者在出口处只需运行一条简单的 tcpdump 命令，
# 就能以纯明文的形式记录并存储你的账号、密码、明文 Cookie 以及全部浏览历史！

实录二：DNS 缓存污染与钓鱼跳转（DNS Hijacking & Phishing）抓包实录

当客户端向公共免费节点发起 DNS 查询时，恶意节点可在解析上游部署虚假 DNS 响应，将目标金融或交易网站直接导向攻击者的克隆镜像站点：

# Wireshark 捕获到的 DNS 伪造响应包示例：
Domain Name System (response)
    Transaction ID: 0x8a3f
    Flags: 0x8180 Standard query response, No error
    Questions: 1
    Answer RRs: 1
    Queries
        www.crypto-exchange-login.com: type A, class IN
    Answers
        www.crypto-exchange-login.com: type A, class IN, TTL 60, addr 198.51.100.88 (黑客搭建的高仿钓鱼镜像站)

# [安全审计结论]：
# 客户端浏览器虽然展示了正常的域名，但实际上连接的是位于 198.51.100.88 的钓鱼服务器，
# 用户输入的登录名与双重验证码（2FA）将被攻击者实时截获并在真实网站自动重放执行盗币！

实录三：蜜罐节点（Honeypot）与黑产变现四大暗黑产业链

如果你需要纯净、安全且高品质的节点体验，正规商业机场提供的免费试用或低门槛体验包是远优于全网垃圾公共节点的最佳选择。以下为本站评测实验室梳理的 42 家主流机场品牌的试用机制、体验额度与平价门槛台账：

科学上网升级演进决策树 (Decision Tree)

proxy-groups:
  - name: "🚀 高可用智能路由"
    type: fallback
    url: "http://www.gstatic.com/generate_204"
    interval: 300
    proxies:
      - "专线-香港01-高速IEPL"   # 主力付费节点（首选）
      - "专线-日本01-高速IEPL"   # 主力付费节点（次选）
      - "免费容灾-Cloudflare优选" # 免费备用容灾节点（兜底）
      - "免费容灾-品牌体验节点"   # 免费备用容灾节点（兜底）