JP‑Main‑HY2
UDP 传输路径，已完成真实端到端验证；由 Smart 按实际表现选择，不固定优先。
Daily operation / 只记三件事
平时不折腾，异常按层处理
- Main 正式采用 Smart，在 HY2 / Trojan 两条实际代理间自动选择，不以单次测速保证提速。
- 协议切换不换出口；同一 VPS 仍是单故障域，不保证已有连接无缝恢复。
- Exchange 默认 DIRECT，只按本人所在地、KYC 与平台规则手动固定。
一台节点，两条传输路径
双协议解决的是“当前网络对 UDP 或 TCP 的兼容差异”，不是双地区容灾。
JP‑Main‑Trojan
TCP 兼容路径，与 HY2 形成传输互补；Smart 的两个成员共享同一出口。
中国大陆与本地服务
LAN、SYSTEM、GEOIP CN、Apple 中国、微信、支付、地图与银行保持直连。
交易所手动固定
默认 DIRECT；不做自动测速、不做地区漂移、不用于规避平台规则。
三台设备如何导入与启动
Google 登录后直接领取同一份个人订阅；尚未联网时保留私密口令入口。公开页面不包含本人邮箱、口令或节点凭据。
先登录，再一键导入
点击下方入口，用预先授权的本人 Google 账号登录，然后选择“一键导入 Surge”或“复制私密订阅链接”。仅做身份验证，不申请邮件或云盘权限。
新订阅使用固定文件名 Shane-Main-Network.conf，不再把随机口令显示成配置名称。旧口令轮换后需使用新入口重新导入。
Google 在中国可能需要已有代理才能登录；没有可用配置时，先展开下面的口令备用入口。登录成功不等于 Surge 已安装、选中或启动。
私密口令备用入口 · 首次联网或 Google 暂不可用
口令只在当前页面内存中使用，不保存到浏览器存储、不发送给本页。Surge 导入时向私密订阅服务请求配置；错误口令无法下载。
确认导入后，再启动
Mac 不使用网页“启动”按钮
“一键导入 Surge”支持 Mac 6.7.0 及以上版本；网页启动链接仅适用于 iPhone/iPad，不能替 Mac 开启系统代理或增强模式。
在 Mac 导入后，从菜单栏打开 Surge，选中 Shane-Main-Network，在总览中确认“系统代理”和“增强模式”状态。已经开启时不必重复点击或重新导入。
若下载或更新超时，先检查现有配置是否仍能联网，再重试更新或更换网络；不要把超时等同于节点故障。私密链接与随机口令都不要贴到聊天或截图中。
私密链接也等同于密码
云端完整配置保存在本人 Cloudflare Secrets 中，导入后 Surge 本地也保存一份；订阅只分发配置，不转发节点流量。任何拿到私密链接的人都可能使用节点；泄漏后需撤销订阅口令，若已下载配置还需轮换节点密码。
- Mac 手动确认。 导入后选中
Shane-Main-Network，按上方说明检查系统代理和增强模式；网页不读取你的实际开关状态。 - 在 iPhone 的 Safari 打开 Google 登录入口，领取订阅后点击“一键导入 Surge”。在 Surge 确认安装后选中该配置；若 Google 尚不可达，先用口令备用入口。
- 云端与 Mac 已确认正式版本。手机请在 Surge 主 App 手动更新托管配置，确认版本为
2026.10.13-cn-mobile-smart-1、Main 类型为 Smart，再分别测试 HY2 与 Trojan；Exchange 保持本人确认的手动选择。原订阅 URL / 口令保留，不必重新领取。 - 在 iPad、Mac 重复同样步骤。各设备的配置选择、模块和 VPN 开关分别确认，Mac 的测试不能代替手机测试。
- 配置支持按需每日更新；主 App 运行时才可更新，并非准点后台同步。订阅暂时不可用时继续使用已下载配置。
四个适配后的 Surge 模块
模块主要用于 iPhone / iPad 的 Panel；所有探测统一走 Main，不会重新引入 By‑Shane 的多策略组。
01 / CONNECTIVITY
AI 连通性
检测 ChatGPT、Claude、Grok、Gemini、GitHub 的基础网络响应。
https://shane-main-network.pages.dev/modules/ai-connectivity.sgmodule02 / MEDIA
媒体连通性
检测六项常用国际媒体服务；只说明网络可达，不承诺版权地区或会员权益。
https://shane-main-network.pages.dev/modules/media-connectivity.sgmodule03 / CALL PATH
Telegram / Zoom 通话健康
在真实通话中读取近期连接，判断是否观察到 UDP/TCP 路径与当前 Main 选择。
https://shane-main-network.pages.dev/modules/call-health.sgmodule04 / MANUAL
操作手册
在 Surge Panel 刷新后发送通知，点击即可回到本页。
https://shane-main-network.pages.dev/modules/operation-manual.sgmodule为什么没有复制“订阅流量余额”
那个模块依赖 Amy 返回的 subscription-userinfo 响应头。自建 VPS 没有订阅流量接口，照搬只会永久报错，因此本方案主动删除。
三端详细设置：只改必要项
面向杭州移动家宽与移动蜂窝网络。未列设置保持 Surge 默认；每台设备都需要单独确认。
先确认客户端与托管配置版本
截至 2026-10-13，本机 Mac 已核对为正式版 6.9.1；本人反馈 iPhone / iPad 均为 5.23.0 且 Smart 已解锁。这是本人反馈，不是远程读取或手机联网验收。Smart 正式配置版本 2026.10.13-cn-mobile-smart-1 已发布，云端与 Mac 已核对一致；手机还需手动更新后确认版本并实测，不能由 Mac 成功推断手机已生效。主力方案不为新功能切换 beta。
- 所有设备：导入并选中
Shane-Main-Network；选择规则模式，不是全局代理或全局直连。Main 使用 Smart，只有 HY2 与 Trojan 两条实际代理，不加入 DIRECT、interval 或权重；Exchange 保持本人确认的手动固定选择。 - Mac：打开 Surge 总览，开启系统代理和增强模式。首次增强模式需要本人完成 macOS 系统授权；允许 Surge 的网络扩展或辅助组件后，再确认开关确实开启。终端、Git、Zoom 等不遵循系统代理的流量尤其需要增强模式。
- iPhone / iPad：在 Surge 确认当前配置，启动 VPN；首次由本人允许系统 VPN 配置。设置里的工作模式保留自动，不要同时启动其他 VPN。手机“已启动”仍需用一次真实访问验证。
- 默认不用改：MITM / HTTPS 解密保持关闭，不安装解密证书；不强开 Include All Networks、全混合网络、Wi-Fi 辅助或 TCP Fast Open；不要额外套一个公共 DNS / VPN App。本方案的四个模块都不要求 HTTPS 解密。
- 检查实际网络：分别在移动家宽 Wi-Fi 与移动蜂窝网络打开国内服务和国际服务；国内微信、支付、地图与局域网应正常直连。会议质量要用真实通话确认，不能只看面板“绿色”。
| 设置 | Mac | iPhone / iPad | 原因 |
|---|---|---|---|
| 运行模式 | 规则模式 | 规则模式 | 国内 / LAN 直连，国际服务走 Main；避免误用全局。 |
| System Proxy | 开启 | 不适用 | 接管遵循 macOS 系统代理的应用。 |
| Enhanced Mode | 开启，首次需系统授权 | 启动 Surge VPN；工作模式自动 | 接管不遵循系统代理的应用；网页不能开启系统权限。 |
| MITM / HTTPS 解密 | 关闭 | 关闭 | 本配置与四个模块都不需要安装解密证书。 |
| Main | Smart | 更新后确认 Smart | 根据实际请求与 TCP/UDP 表现选择同机 HY2/Trojan；不固定优先。 |
| Exchange | DIRECT | DIRECT | 保持出口与账户规则一致，禁止自动漂移。 |
| Smart 权益 / 验收 | 沿用现有正式客户端 | 本人反馈 5.23.0 / 已解锁；需实测 | 正式采用不等于持续提速已证明；手机需手动更新与双网络验证。 |
| TFO / 全混合网络 | 不强开 TFO | 保持默认，不强开全混合 | 移动蜂窝的兼容性与耗电 / 流量需要单独验证。 |
增强模式里的 fake IP 是 Surge 正常 DNS 接管机制，不是节点地址或 DNS 故障。IPv6、DNS、规则顺序和协议参数由订阅统一维护；不要为了“更快”随手把全部 DNS 换成境外 DoH。增强模式说明 · 默认设置说明
协议与优化：Smart 选择两条路径
本人选择正式采用 Smart，协议仍是同机 HY2 + Trojan；短时对照不足以证明持续提速，不因为统一用 Surge 就贸然更换协议。
Hysteria 2 的 UDP 路径
适合 UDP 路径正常时的高吞吐与丢包网络。当前 100 Mbps 是带宽参数，不是保证速度；Smart 是否带来实际收益需分别在移动家宽与蜂窝验证。
Trojan 的 TCP 443 路径
与 UDP 路径形成兼容互补，供 Smart 按实际表现选择。两者是同一东京 VPS、同一出口，不能覆盖 VPS 或共同线路故障，也不能恢复已中断的会议连接。
本轮优化重点：减少国际域名的本地 DNS 依赖
已知 AI、Google、GitHub、Telegram、Zoom 等主要国际域名提前匹配 Main，再处理 SYSTEM / LAN / 中国大陆 IP。LAN 保留不触发解析的匹配，国内 GeoIP 兜底允许必要解析；DNS 失败最终交给 Main。系统和国内 DNS 保留，国际清单并非所有应用端点的完整清单，也不意味着线路物理延迟变低。IP 规则说明 · FINAL dns-failed
正式采用 Smart，与“已经证明提速”有什么区别？
此前 Mac 的 fallback → Smart → fallback 短时对照完成后恢复了当时基线；它只证明候选能够加载，不能证明持续提速。本人随后选择正式采用 Smart；Main 只保留 HY2 / Trojan 两个实际代理，不设 interval、权重或 DIRECT。Smart 根据真实请求与站点历史评分，界面“最近最常用”不代表所有请求固定使用同一协议。手机仍需手动更新并实测，正式采用不是三端验收完成。Smart 官方说明 · 正式采用与恢复边界
为什么不同时换 Snell 或更新测速参数？
Snell 可作为后续同网络 A/B 候选，但没有杭州移动双网络实测证明它一定更快；新协议迁移会影响全部设备。本轮只调整 Main 自动组，不混入协议、带宽或服务器变更。跨端保留兼容 Mac 正式版的 HTTP 策略可用性测试；HTTPS 测速 URL 另有版本要求，实际访问测试仍使用 HTTPS。测速版本要求
移动网络上哪些“优化”可能适得其反？
官方明确提示部分中国移动数据网络会丢弃带 SYN 数据的 TCP Fast Open 握手，所以不强开 TFO。也不盲目把 HY2 带宽提示放大到千兆、不全局放开应用 HTTP/3；应用 QUIC 和 HY2 外层 QUIC 不是同一项开关。服务器内核 TCP BBR 也不等于 HY2 的 QUIC 拥塞控制。TFO 官方兼容性说明 · 协议参数默认值
真实验收仍有边界
需要分别完成移动 Wi-Fi / 蜂窝与晚高峰验证：实际 AI 流式回复和上传、Telegram 双向语音、至少 30 分钟 Zoom 音视频 / 共享，以及国内支付与地图直连。小请求成功、UDP DNS 包可用、Mac 测试通过，都不能代替手机的会议体验；目前不能声称这些场景已全部验收。单 VPS 也无法保证永不中断。
故障恢复顺序
先判断是当前网络、协议、Surge 配置，还是 VPS 本身。
网站偶发打不开，但 VPS 健康
先换网络或关闭再开启 Surge；确认 DNS 与 Main 选择。不要立刻重建服务器。
HY2 失败，Trojan 正常
当前 UDP 路径可能受限，但一次失败不足以确定运营商限速。让 Smart 按表现选择；若应用持续失败，可临时固定 Trojan 后重新连接，测试后清除覆盖。不要在正式会议中来回切协议。
Smart 出现持续回归，如何恢复 fallback？
由维护者按独立无密恢复模板 surge/profile.fallback-recovery.template.conf 机械恢复 Main，再检查语法并普通发布，保留原 URL、口令与真实代理。模板含占位参数，不能直接导入为可用配置，也不能把密码写回仓库。发布者核对 Mac，手机在主 App 手动更新后实际验证；恢复过程要避开重要会议。
Google 登录失败或入口尚未就绪
先确认现有 Surge 是否可访问 Google；重试登录或换网络。在此期间已经下载的配置不受网页登录影响，首次导入可用“私密口令备用入口”。网页 30 分钟登录会话过期不等于 Surge 订阅被撤销。
两种协议同时失败
在 Mac 仓库运行 node scripts/self-node.mjs --verify，检查协议、sing-box、TCP/UDP 443、自愈定时器和 AWS 防火墙；按灾难恢复手册处理。
Mac 正常，iPhone 或 iPad 异常
确认移动端选中的是同一份最新配置、Surge VPN 已启动、没有另一个 VPN，并分别测试 Wi‑Fi 与蜂窝网络。
安全边界
页面可以公开，节点凭据不能公开。
禁止公开的内容
真实 VPS 地址、节点密码、SSH 私钥、Terraform state、证书私钥、完整生成配置、AWS 临时凭据和任何个人订阅 URL。
可以公开的内容
架构说明、占位模板、操作步骤、无凭据的 Surge 模块、健康检查逻辑和灾难恢复流程。