JP‑Main‑HY2
日常主用。适合 UDP 路径正常的网络，已完成真实端到端验证。
Daily operation / 只记三件事
平时不折腾，异常按层处理
- Main 优先 JP‑Main‑HY2，按可用性回退，不按延迟排名切换。
- HY2 不可用时自动回退 Trojan；同一 VPS、同一出口，不保证已有连接无缝恢复。
- Exchange 默认 DIRECT，只按本人所在地、KYC 与平台规则手动固定。
一台节点，两条传输路径
双协议解决的是“当前网络对 UDP 或 TCP 的兼容差异”，不是双地区容灾。
JP‑Main‑Trojan
HY2 可用性检查失败时自动回退；两种协议共享同一出口。
中国大陆与本地服务
LAN、SYSTEM、GEOIP CN、Apple 中国、微信、支付、地图与银行保持直连。
交易所手动固定
默认 DIRECT；不做自动测速、不做地区漂移、不用于规避平台规则。
三台设备如何导入与启动
输入仅本人持有的私密口令，生成三端导入入口。页面源代码不含口令、节点地址或节点密码。
私密云端订阅
新订阅使用固定文件名 Shane-Main-Network.conf，不再把随机口令显示成配置名称。旧口令轮换后需使用新入口重新导入。
口令只在当前页面内存中使用，不保存到浏览器存储、不发送给本页。点击导入或复制后，Surge 才会向私密订阅服务请求配置；错误口令无法下载。
Mac 不使用网页“启动”按钮
“一键导入 Surge”支持 Mac 6.7.0 及以上版本；网页启动链接仅适用于 iPhone/iPad，不能替 Mac 开启系统代理或增强模式。
在 Mac 导入后，从菜单栏打开 Surge，选中 Shane-Main-Network，在总览中确认“系统代理”和“增强模式”状态。已经开启时不必重复点击或重新导入。
若下载或更新超时，先检查现有配置是否仍能联网，再重试更新或更换网络；不要把超时等同于节点故障。私密链接与随机口令都不要贴到聊天或截图中。
私密链接也等同于密码
云端完整配置保存在本人 Cloudflare Secrets 中，导入后 Surge 本地也保存一份；订阅只分发配置，不转发节点流量。任何拿到私密链接的人都可能使用节点；泄漏后需撤销订阅口令，若已下载配置还需轮换节点密码。
- Mac 手动确认。 导入后选中
Shane-Main-Network，按上方说明检查系统代理和增强模式；网页不读取你的实际开关状态。 - 在 iPhone 的 Safari 打开本页，输入私密口令，点击“一键导入 Surge”。在 Surge 确认安装后选中该配置。
- 启动 Surge，确认 Main 为 HY2 优先的 fallback，再分别测试 HY2 与 Trojan；Exchange 保持本人确认的手动选择。
- 在 iPad、Mac 重复同样步骤。各设备的配置选择、模块和 VPN 开关分别确认，Mac 的测试不能代替手机测试。
- 配置支持按需每日更新；主 App 运行时才可更新，并非准点后台同步。订阅暂时不可用时继续使用已下载配置。
四个适配后的 Surge 模块
模块主要用于 iPhone / iPad 的 Panel；所有探测统一走 Main，不会重新引入 By‑Shane 的多策略组。
01 / CONNECTIVITY
AI 连通性
检测 ChatGPT、Claude、Grok、Gemini、GitHub 的基础网络响应。
https://shane-main-network.pages.dev/modules/ai-connectivity.sgmodule02 / MEDIA
媒体连通性
检测六项常用国际媒体服务；只说明网络可达，不承诺版权地区或会员权益。
https://shane-main-network.pages.dev/modules/media-connectivity.sgmodule03 / CALL PATH
Telegram / Zoom 通话健康
在真实通话中读取近期连接，判断是否观察到 UDP/TCP 路径与当前 Main 选择。
https://shane-main-network.pages.dev/modules/call-health.sgmodule04 / MANUAL
操作手册
在 Surge Panel 刷新后发送通知，点击即可回到本页。
https://shane-main-network.pages.dev/modules/operation-manual.sgmodule为什么没有复制“订阅流量余额”
那个模块依赖 Amy 返回的 subscription-userinfo 响应头。自建 VPS 没有订阅流量接口，照搬只会永久报错，因此本方案主动删除。
Surge 开关建议
保持功能足够少，出现问题时才容易定位。
| 设置 | Mac | iPhone / iPad | 原因 |
|---|---|---|---|
| System Proxy | 开启 | 不适用 | 接管遵循 macOS 系统代理的应用。 |
| Enhanced Mode | 开启 | 由 VPN 接管 | 让终端、Git、部分非系统代理流量也进入 Surge。 |
| MITM / HTTPS 解密 | 关闭 | 关闭 | 本配置与四个模块都不需要安装解密证书。 |
| Main | HY2 优先 | HY2 优先 | 可用性失败时回退 Trojan，结果缓存 60 秒，按需复测。 |
| Exchange | DIRECT | DIRECT | 保持出口与账户规则一致，禁止自动漂移。 |
故障恢复顺序
先判断是当前网络、协议、Surge 配置，还是 VPS 本身。
网站偶发打不开，但 VPS 健康
先换网络或关闭再开启 Surge；确认 DNS 与 Main 选择。不要立刻重建服务器。
HY2 失败，Trojan 正常
说明当前链路很可能限制 UDP。临时保持 Trojan，换回常用网络后再测 HY2。
两种协议同时失败
在 Mac 仓库运行 node scripts/self-node.mjs --verify，检查协议、sing-box、TCP/UDP 443、自愈定时器和 AWS 防火墙；按灾难恢复手册处理。
Mac 正常，iPhone 或 iPad 异常
确认移动端选中的是同一份最新配置、Surge VPN 已启动、没有另一个 VPN，并分别测试 Wi‑Fi 与蜂窝网络。
安全边界
页面可以公开，节点凭据不能公开。
禁止公开的内容
真实 VPS 地址、节点密码、SSH 私钥、Terraform state、证书私钥、完整生成配置、AWS 临时凭据和任何个人订阅 URL。
可以公开的内容
架构说明、占位模板、操作步骤、无凭据的 Surge 模块、健康检查逻辑和灾难恢复流程。