JP‑Main‑HY2
日常主用。适合 UDP 路径正常的网络，已完成真实端到端验证。
Daily operation / 只记三件事
平时不折腾，异常按层处理
- Main 优先 JP‑Main‑HY2，按可用性回退，不按延迟排名切换。
- HY2 不可用时自动回退 Trojan；同一 VPS、同一出口，不保证已有连接无缝恢复。
- Exchange 默认 DIRECT，只按本人所在地、KYC 与平台规则手动固定。
一台节点，两条传输路径
双协议解决的是“当前网络对 UDP 或 TCP 的兼容差异”，不是双地区容灾。
JP‑Main‑Trojan
HY2 可用性检查失败时自动回退；两种协议共享同一出口。
中国大陆与本地服务
LAN、SYSTEM、GEOIP CN、Apple 中国、微信、支付、地图与银行保持直连。
交易所手动固定
默认 DIRECT；不做自动测速、不做地区漂移、不用于规避平台规则。
三台设备如何导入与启动
Google 登录后直接领取同一份个人订阅；尚未联网时保留私密口令入口。公开页面不包含本人邮箱、口令或节点凭据。
先登录，再一键导入
点击下方入口，用预先授权的本人 Google 账号登录，然后选择“一键导入 Surge”或“复制私密订阅链接”。仅做身份验证，不申请邮件或云盘权限。
新订阅使用固定文件名 Shane-Main-Network.conf，不再把随机口令显示成配置名称。旧口令轮换后需使用新入口重新导入。
Google 在中国可能需要已有代理才能登录；没有可用配置时，先展开下面的口令备用入口。登录成功不等于 Surge 已安装、选中或启动。
私密口令备用入口 · 首次联网或 Google 暂不可用
口令只在当前页面内存中使用，不保存到浏览器存储、不发送给本页。Surge 导入时向私密订阅服务请求配置；错误口令无法下载。
确认导入后，再启动
Mac 不使用网页“启动”按钮
“一键导入 Surge”支持 Mac 6.7.0 及以上版本；网页启动链接仅适用于 iPhone/iPad，不能替 Mac 开启系统代理或增强模式。
在 Mac 导入后，从菜单栏打开 Surge，选中 Shane-Main-Network，在总览中确认“系统代理”和“增强模式”状态。已经开启时不必重复点击或重新导入。
若下载或更新超时，先检查现有配置是否仍能联网，再重试更新或更换网络；不要把超时等同于节点故障。私密链接与随机口令都不要贴到聊天或截图中。
私密链接也等同于密码
云端完整配置保存在本人 Cloudflare Secrets 中，导入后 Surge 本地也保存一份；订阅只分发配置，不转发节点流量。任何拿到私密链接的人都可能使用节点；泄漏后需撤销订阅口令，若已下载配置还需轮换节点密码。
- Mac 手动确认。 导入后选中
Shane-Main-Network，按上方说明检查系统代理和增强模式；网页不读取你的实际开关状态。 - 在 iPhone 的 Safari 打开 Google 登录入口，领取订阅后点击“一键导入 Surge”。在 Surge 确认安装后选中该配置；若 Google 尚不可达，先用口令备用入口。
- 启动 Surge，确认 Main 为 HY2 优先的 fallback，再分别测试 HY2 与 Trojan；Exchange 保持本人确认的手动选择。
- 在 iPad、Mac 重复同样步骤。各设备的配置选择、模块和 VPN 开关分别确认，Mac 的测试不能代替手机测试。
- 配置支持按需每日更新；主 App 运行时才可更新，并非准点后台同步。订阅暂时不可用时继续使用已下载配置。
四个适配后的 Surge 模块
模块主要用于 iPhone / iPad 的 Panel；所有探测统一走 Main，不会重新引入 By‑Shane 的多策略组。
01 / CONNECTIVITY
AI 连通性
检测 ChatGPT、Claude、Grok、Gemini、GitHub 的基础网络响应。
https://shane-main-network.pages.dev/modules/ai-connectivity.sgmodule02 / MEDIA
媒体连通性
检测六项常用国际媒体服务；只说明网络可达，不承诺版权地区或会员权益。
https://shane-main-network.pages.dev/modules/media-connectivity.sgmodule03 / CALL PATH
Telegram / Zoom 通话健康
在真实通话中读取近期连接，判断是否观察到 UDP/TCP 路径与当前 Main 选择。
https://shane-main-network.pages.dev/modules/call-health.sgmodule04 / MANUAL
操作手册
在 Surge Panel 刷新后发送通知，点击即可回到本页。
https://shane-main-network.pages.dev/modules/operation-manual.sgmodule为什么没有复制“订阅流量余额”
那个模块依赖 Amy 返回的 subscription-userinfo 响应头。自建 VPS 没有订阅流量接口，照搬只会永久报错，因此本方案主动删除。
三端详细设置：只改必要项
面向杭州移动家宽与移动蜂窝网络。未列设置保持 Surge 默认；每台设备都需要单独确认。
先确认正式版与选中的配置
截至 2026-10-13，官网 Mac 正式版为 6.9.1，App Store iOS 正式版为 5.22.1（iOS 17 及以上）。本机 Mac 已核对；iPhone、iPad 请在 App Store 与 Surge 设置中检查，不能由 Mac 的版本推断。主力方案不为新功能切换 beta。
- 所有设备：导入并选中
Shane-Main-Network；选择规则模式，不是全局代理或全局直连。查看 Main，保持 HY2 优先、Trojan 回退；Exchange 保持本人确认的手动固定选择。 - Mac：打开 Surge 总览，开启系统代理和增强模式。首次增强模式需要本人完成 macOS 系统授权；允许 Surge 的网络扩展或辅助组件后，再确认开关确实开启。终端、Git、Zoom 等不遵循系统代理的流量尤其需要增强模式。
- iPhone / iPad：在 Surge 确认当前配置，启动 VPN；首次由本人允许系统 VPN 配置。设置里的工作模式保留自动，不要同时启动其他 VPN。手机“已启动”仍需用一次真实访问验证。
- 默认不用改：MITM / HTTPS 解密保持关闭，不安装解密证书；不强开 Include All Networks、全混合网络、Wi-Fi 辅助或 TCP Fast Open；不要额外套一个公共 DNS / VPN App。本方案的四个模块都不要求 HTTPS 解密。
- 检查实际网络：分别在移动家宽 Wi-Fi 与移动蜂窝网络打开国内服务和国际服务；国内微信、支付、地图与局域网应正常直连。会议质量要用真实通话确认，不能只看面板“绿色”。
| 设置 | Mac | iPhone / iPad | 原因 |
|---|---|---|---|
| 运行模式 | 规则模式 | 规则模式 | 国内 / LAN 直连，国际服务走 Main；避免误用全局。 |
| System Proxy | 开启 | 不适用 | 接管遵循 macOS 系统代理的应用。 |
| Enhanced Mode | 开启，首次需系统授权 | 启动 Surge VPN；工作模式自动 | 接管不遵循系统代理的应用；网页不能开启系统权限。 |
| MITM / HTTPS 解密 | 关闭 | 关闭 | 本配置与四个模块都不需要安装解密证书。 |
| Main | HY2 优先 | HY2 优先 | 可用性失败时回退 Trojan，结果缓存 60 秒，按需复测。 |
| Exchange | DIRECT | DIRECT | 保持出口与账户规则一致，禁止自动漂移。 |
| Smart 自动组 | 暂不替换主配置 | 先核对版本与功能权益 | 当前跨端统一使用 fallback；不把尚未验证的权益当作已具备。 |
| TFO / 全混合网络 | 不强开 TFO | 保持默认，不强开全混合 | 移动蜂窝的兼容性与耗电 / 流量需要单独验证。 |
增强模式里的 fake IP 是 Surge 正常 DNS 接管机制，不是节点地址或 DNS 故障。IPv6、DNS、规则顺序和协议参数由订阅统一维护；不要为了“更快”随手把全部 DNS 换成境外 DoH。增强模式说明 · 默认设置说明
协议与优化：以稳定基线为主
最适合现在的组合是 HY2 主用 + Trojan 兜底，而不是仅因为所有设备用 Surge 就立刻换协议。
日常主用 Hysteria 2
适合 UDP 路径正常时的高吞吐与丢包网络。当前 100 Mbps 是带宽参数，不是保证速度；移动家宽与蜂窝要分别实测。
TCP 443 兼容兜底
UDP 不可用时回退 TLS/TCP。两者是同一东京 VPS、同一出口，不能覆盖 VPS 或整条国际线路故障，也不能恢复已中断的会议连接。
本轮优化重点：减少国际域名的本地 DNS 依赖
已知 AI、Google、GitHub、Telegram、Zoom 等主要国际域名提前匹配 Main，再处理 SYSTEM / LAN / 中国大陆 IP。LAN 保留不触发解析的匹配，国内 GeoIP 兜底允许必要解析；DNS 失败最终交给 Main。系统和国内 DNS 保留，国际清单并非所有应用端点的完整清单，也不意味着线路物理延迟变低。IP 规则说明 · FINAL dns-failed
为什么暂不换 Snell、Smart 或强开新参数？
Snell 可作为后续同网络 A/B 候选，但没有杭州移动双网络实测证明它一定更快；新协议迁移还会影响全部设备。Smart 有实际请求与 UDP 评分优势，待 iPhone / iPad 版本和授权核实后再评估。当前正式版本继续用兼容的 HTTP 策略可用性测试；HTTPS 测速 URL 要求更新版本，实际访问测试仍使用 HTTPS。Smart 官方说明 · 测速版本要求
移动网络上哪些“优化”可能适得其反？
官方明确提示部分中国移动数据网络会丢弃带 SYN 数据的 TCP Fast Open 握手，所以不强开 TFO。也不盲目把 HY2 带宽提示放大到千兆、不全局放开应用 HTTP/3；应用 QUIC 和 HY2 外层 QUIC 不是同一项开关。服务器内核 TCP BBR 也不等于 HY2 的 QUIC 拥塞控制。TFO 官方兼容性说明 · 协议参数默认值
真实验收仍有边界
需要分别完成移动 Wi-Fi / 蜂窝与晚高峰验证：实际 AI 流式回复和上传、Telegram 双向语音、至少 30 分钟 Zoom 音视频 / 共享，以及国内支付与地图直连。小请求成功、UDP DNS 包可用、Mac 测试通过，都不能代替手机的会议体验；目前不能声称这些场景已全部验收。单 VPS 也无法保证永不中断。
故障恢复顺序
先判断是当前网络、协议、Surge 配置，还是 VPS 本身。
网站偶发打不开，但 VPS 健康
先换网络或关闭再开启 Surge；确认 DNS 与 Main 选择。不要立刻重建服务器。
HY2 失败，Trojan 正常
当前 UDP 路径可能受限，但一次失败不足以确定运营商限速。让 Main 回退 Trojan，检查网络后再复测；不要在正式会议中来回切协议。
Google 登录失败或入口尚未就绪
先确认现有 Surge 是否可访问 Google；重试登录或换网络。在此期间已经下载的配置不受网页登录影响，首次导入可用“私密口令备用入口”。网页 30 分钟登录会话过期不等于 Surge 订阅被撤销。
两种协议同时失败
在 Mac 仓库运行 node scripts/self-node.mjs --verify，检查协议、sing-box、TCP/UDP 443、自愈定时器和 AWS 防火墙；按灾难恢复手册处理。
Mac 正常，iPhone 或 iPad 异常
确认移动端选中的是同一份最新配置、Surge VPN 已启动、没有另一个 VPN，并分别测试 Wi‑Fi 与蜂窝网络。
安全边界
页面可以公开，节点凭据不能公开。
禁止公开的内容
真实 VPS 地址、节点密码、SSH 私钥、Terraform state、证书私钥、完整生成配置、AWS 临时凭据和任何个人订阅 URL。
可以公开的内容
架构说明、占位模板、操作步骤、无凭据的 Surge 模块、健康检查逻辑和灾难恢复流程。