# 杭州移动网络的 Surge 官方最佳实践研究

检索与本机版本核对日期：2026-10-13。资料仅使用 Surge、协议维护者、Apple 以及应用官方一手来源；不采用机场排名、运营商营销或博客测速作结论。

## 结论与证据范围

现有东京单机、HY2/Trojan 两协议是已经验证的主力传输基线。本人于 2026-10-13 明确选择正式采用 Smart，让 Main 在两条实际代理间自动选择；正式版本 `2026.10.13-cn-mobile-smart-1` 的云端与 Mac 已发布并核对一致，手机仍需手动更新和实际验收。此前短时对照不足以证明持续提速。全部设备使用 Surge，也不足以证明改 Snell 会更快；杭州移动的家宽和蜂窝不能只凭运营商名称判定 UDP 必然限速。

已核对的本机事实是 Surge Mac 6.9.1 / Build 12290；官方正式 feed 第一项一致。本人于 2026-10-13 确认 iPhone、iPad 都已解锁 Smart，并回复版本为 5.23.0；这是本人提供的信息，未通过远程控制读取两台设备。现有架构资料为 sing-box 1.14.2，服务端 HY2 上下行 100 Mbps、客户端下载提示 100；本研究没有重启服务器、改拥塞控制或开放新端口。

目标是更少手动操作、可定位问题、可回退更新和可重复验收，不承诺所有时段、所有应用或单台 VPS 绝不故障。

## 版本：最新文档不等于最新正式版

| 项目 | 本次官方现状 | 配置决策 |
|---|---|---|
| Mac 正式版 | 6.9.1 / Build 12290 | 当前实机已符合，不为新参数默认切 beta |
| Mac beta feed | 6.10.0 / Build 12500 | 不纳入主力自动升级 |
| iOS App Store | 复核为 5.23.0，要求 iOS 17 及以上 | 本人提供版本同为 5.23.0；仍须分别做原生设备验收 |
| HTTPS 策略测速 URL | 文档标 Mac 6.10 / iOS 5.23 起 | 现有正式 Mac 保留 HTTP 可用性测速 |

Mac 正式 6.9.1 与 iOS 正式 5.22.1 有 HY2 UDP 协商、UDP 关闭影响其他连接的对应修复。不要从较旧 KB iOS 历史页推断当前最新版本，也不要让跨端配置依赖 beta 才支持的特性。[Mac 发布页面](https://nssurge.com/support/mac/release-notes/)、[正式更新 feed](https://nssurge.com/mac/latest/appcast-signed.xml)、[beta feed](https://nssurge.com/mac/latest/appcast-signed-beta.xml)、[App Store](https://apps.apple.com/us/app/surge-5/id1442620678)、[测速版本要求](https://manual.nssurge.com/tools/testing.html)

## 协议：Smart 的两条传输与未来候选

| 协议 | 适合本方案的理由 | 不能忽略的取舍 |
|---|---|---|
| HY2 | QUIC/TLS、TCP 与 UDP 中继、多路复用，官方定位高吞吐与丢包网络 | 依赖接入网 UDP；固定带宽提示不能超过实际能力 |
| Trojan | TLS/TCP，与 HY2 形成不同传输路径，供 Smart 自动选择或临时固定 | UDP 中继经过 TCP 隧道时可能受队头阻塞，需用真实会议验收 |
| Snell 5.0.1 | Surge 原生、低开销、准确错误反馈，可作为后续对照 | 官方明确无前向保密及专门重放保护；没有本链路实测证明收益 |
| Snell 6 beta/RC | 部署级协议多样性、更多服务端网络控制 | 官方仍提示可能不兼容改变，下载列至 RC2；不作为当前主力 |

两条现有代理都是同机同出口，没有整机/线路容灾。不能保证因为两协议均能连通，就能随时维持已经建立的语音或流式会话。

[HY2 手册](https://manual.nssurge.com/policies/hysteria2.html)、[Trojan 手册](https://manual.nssurge.com/policies/trojan.html)、[Snell 手册](https://manual.nssurge.com/policies/snell.html)、[Snell 发布说明与安全取舍](https://kb.nssurge.com/surge-knowledge-base/release-notes/snell)、[Snell 6 官方设计与 beta 边界](https://nssurge.com/blog/snell-v6/)

## DNS 与规则顺序：最小可落地优化

Surge 代理可直接把域名交给服务端解析；直连和需要地址的 IP 类规则才需要本地 DNS。国际域名规则放在 IP 类规则前，能减少不必要的本地解析。[官方本地/代理 DNS 原理](https://kb.nssurge.com/surge-knowledge-base/technotes/dns)

原配置 LAN 未加 `no-resolve`，其内置 IP 规则会先触发本地 DNS，所以其后的 `GEOIP,CN,DIRECT,no-resolve` 仍可能命中已解析域名。这不等于原配置国内流量已全部漏代理，但国际应用存在先被本地 DNS 解析的多余依赖。[内置 LAN 与规则集](https://manual.nssurge.com/rules/ruleset.html)

本次模板采用：

1. Exchange 手动策略保持最前。
2. 明确国内敏感域名直连。
3. 主要国际应用的小型内嵌域名集提前 Main。
4. SYSTEM 直连。
5. LAN 直连加 `no-resolve`。
6. 中国 GeoIP 直连去掉 `no-resolve`。
7. 默认 Main 保留 `dns-failed`。

LAN 与 GeoIP 必须联动修改：LAN 不强制解析后，GeoIP 要保留为未列出的国内域名解析并兜底。国际清单不是每个应用所有端点；未列域名仍按 GeoIP/FINAL 处理。提前选 Main 只减少本地 DNS 依赖，不是线路更快的保证。[IP 规则 no-resolve](https://manual.nssurge.com/rules/ip.html)、[FINAL dns-failed](https://manual.nssurge.com/rules/final.html)

保留系统及现有国内 DNS，而不全局换境外 DoH。多个上游并发、最快答案胜出；配置 encrypted DNS 后，普通上游只用于连通性及 bootstrap，且默认加密 DNS 直连，改变它需要额外验证。[DNS Servers](https://manual.nssurge.com/dns/dns-server.html)、[DNS Overview](https://manual.nssurge.com/dns/overview.html)、[Encrypted DNS](https://manual.nssurge.com/dns/encrypted-dns.html)

国际清单中 OpenAI 的静态资源、文件域和精确登录/验证主机参考其网络建议，不把整个共享域名一概代理。Google、GitHub、Telegram、Zoom 只加主要域名，不声称是防火墙全量 allowlist，也不把应用完整 IP 清单硬编码进配置。[OpenAI 网络建议](https://help.openai.com/en/articles/9247338-network-recommendations-for-chatgpt-errors-on-web-and-apps)、[GitHub 端点说明](https://docs.github.com/en/enterprise-cloud@latest/admin/configuring-settings/hardening-security-for-your-enterprise/restricting-access-to-githubcom-using-a-corporate-proxy)、[Zoom 网络要求](https://support.zoom.com/hc/en/article?id=zm_kb&sysparm_article=KB0060548)

## 保留默认值比堆参数更重要

- 普通日志、UDP 优先、未支持 UDP 时拒绝与证书校验保留；不常开 verbose/debug、全量抓包或 HTTPS 解密。UDP 优先只帮助终端负载高时处理包，不是运营商优先级。
- QUIC 按策略默认阻止应用 HTTP/3，使一般应用回退 HTTPS/TCP；这不会阻止 HY2 外层 QUIC。不要全局允许所有代理 QUIC，也不把国内 DIRECT 的 QUIC 一起屏蔽。
- TFO 保留默认关闭。官方指出部分中间设备（包括中国移动数据网络）会丢弃带 SYN 数据的握手，强开可能不可达。
- IPv6 维持当前关闭与 VIF 设置，留给双网络实测；不把关闭 IPv6 宣称为所有移动用户最佳实践。
- iOS 工作模式保持自动；Wi-Fi 辅助、全混合网络、Include All Networks 不强开。全混合会使用蜂窝且增加流量/耗电，不能默认为用户有无限套餐。
- 实用模块按需启用；更多脚本/MITM 不意味着更快。核心节点验收先不依赖这些模块。

[General 默认值](https://manual.nssurge.com/profile/general.html)、[策略 QUIC/ECN/TFO 默认值](https://manual.nssurge.com/policies/parameters.html)、[QUIC 官方 FAQ](https://kb.nssurge.com/surge-knowledge-base/faq/common-faqs)、[TCP Fast Open](https://kb.nssurge.com/surge-knowledge-base/technotes/tfo)、[Subnet Settings](https://manual.nssurge.com/features/subnet-settings.html)

## Smart 正式采用，fallback 保留为独立恢复方案

此前 `fallback` 基线优先用 HY2，测试不通过再 Trojan；60 秒是按需过期缓存，`evaluate-before-use=true` 会让首轮等待测试。该结构现在保留在独立无密恢复模板 `surge/profile.fallback-recovery.template.conf`，而不是正式默认。恢复模板含占位参数，不能直接导入为可用订阅。短测试只能判可用，不决定下载峰值，也不能续接已经断开的 TCP 连接。[Fallback](https://manual.nssurge.com/policy-groups/fallback.html)、[自动组测试策略](https://kb.nssurge.com/surge-knowledge-base/technotes/testing-group)

Smart 对实际请求、丢包和站点成功史评分，Mac 6.8 / iOS 5.21 后还使用 UDP 响应延迟及无响应故障，符合少手动操作的目标。本人确认两台 iOS 设备解锁 Smart，并提供 5.23.0 版本，满足增强 UDP 判断的版本门槛；这是本人反馈，不是远程读取。本人已选择正式采用，双网络收益仍待验证，手机也需手动更新配置后实际验收。已解锁的功能在更新订阅到期后仍可使用，不要求仅为继续使用 Smart 重新付费。[Smart 手册](https://manual.nssurge.com/policy-groups/smart.html)、[功能权益](https://kb.nssurge.com/surge-knowledge-base/license/ios-fus)、[跨端版本条件](https://manual.nssurge.com/profile/requirement.html)

建议仍保留 Main 与 Exchange 两组。相同 VPS 的 HY2/Trojan 复制进多个 AI、视频、社交组不会增加出口、带宽或整机容灾；只有实测表明某应用持续需要独立固定协议时才加对应例外。Exchange 保持手动选择，不将 DIRECT 加入国际主线路的自动兜底。

Mac 此前已执行短时 fallback → Smart → fallback 对照；候选在真实引擎生效，当时结束后恢复原始配置字节，并确认云端正文未变。该历史短测不足以证明持续收益；本人随后明确选择正式采用 Smart，这是使用决策，不是提速验收结论。后续应在移动家宽、蜂窝和晚高峰记录真实应用首响应、失败原因、UDP/会议表现，不公开本人的原始流量统计。

正式配置只放两条实际代理：

```ini
Main = smart, JP-Main-HY2, JP-Main-Trojan, evaluate-before-use=true
Exchange = select, DIRECT, Main
```

Main 不嵌套组或 DIRECT，不设权重，移除不生效的 `interval=60`；Smart 自行每五分钟复测，界面“最近最常用”不等于每个请求固定使用该协议，也不保证 HY2 始终优先。保留现有首轮评估和通用测试超时，不把测速延迟或 Smart 评分当作最高下载带宽的证明。[Smart 选择与复测](https://manual.nssurge.com/policy-groups/smart.html)

发布器已改用结构校验，只接受经过批准的两代理 fallback 或 Smart 结构，拒绝 DIRECT、嵌套组、额外成员和 Smart 的无效 interval。合成测试覆盖两种模式互相发布失败时恢复原云端正文，并保留原订阅 URL/摘要。默认模板已改为正式 Smart；本次普通发布机械调整 Main、保留真实代理和托管信息、不轮换 URL/口令，云端正文与 Mac 已核对一致。若有持续回归，按独立 fallback 恢复模板机械还原 Main，再普通发布；Mac 生效、模板或语法检查不代表手机已更新。详见 [Smart 正式采用、对照与恢复边界](surge-smart-trial.md)。

两种自动组都支持临时固定 HY2 或 Trojan。Mac 从组菜单操作，iOS 长按组菜单；测试或会议后清除覆盖，避免一直固定并停止按使用触发自动检测。协议自动重试不能保证续接已断开的长连接，也不能解决同一 VPS 或整条跨境路径故障。[官方临时覆盖](https://manual.nssurge.com/policy-groups/parameters.html)

## 吞吐和服务器：需要 A/B 才能定参数

客户端 100 是拥塞控制提示，服务端上下行 100 是当前上限，不是测速结果。Hysteria Brutal 固定速率超过真实接入能力，可能变慢、抖动、浪费流量；不能为追求峰值盲改成千兆。[Surge HY2](https://manual.nssurge.com/policies/hysteria2.html)、[Hysteria 带宽协商](https://v2.hysteria.network/docs/advanced/Full-Server-Config/)

后续可比较“现有基线”“基于实际能力的保守提示”“HY2 BBR 候选”，但需同时遵守 sing-box 的带宽与 `ignore_client_bandwidth` 组合；不能仅加 `bbr_profile` 就声称已切换。内核 TCP BBR 与 HY2 用户态 QUIC 拥塞控制不是同一开关；Trojan CUBIC/BBR 另做对照。[sing-box HY2 服务端](https://sing-box.sagernet.org/configuration/inbound/hysteria2/)

服务器重启、客户端/服务端协议迁移、混淆或端口跳跃都可能短暂断网，应另开维护窗口，不与网页登录或规则发布混在同一无感更新。没有资源瓶颈证据时不升级套餐、不加香港或第二台付费服务器。

## 官网及三端操作必须明示

Mac 规则模式、系统代理加手动增强模式；iOS 正常规则模式/VPN/自动工作模式。系统代理不能保证接管所有应用；增强模式会给 DNS 返回 fake IP，不把这种地址当作服务器 IP 或“DNS 错误”。[Enhanced Mode](https://manual.nssurge.com/features/enhanced-mode.html)、[Fake-IP DNS](https://manual.nssurge.com/dns/advanced.html)

Mac 6.7 起支持配置安装 URL，但手机的启动动作仅 iOS 有效。Google 登录只用于本人领取链接；在中国首次 Google 登录可能先需要既有代理，必须保留私密口令备用入口。Google 网页登录完成也不等于 Surge 已安装、选中、启动、联网。[URL scheme](https://manual.nssurge.com/tools/url-scheme.html)

托管配置保持一天间隔与 `strict=false`：只有主 App 运行才有机会更新，不保证准时；失败保持旧版。每次后台下载不应依赖浏览器 OAuth 会话；领取后的链接本身仍是私密凭据。[Managed Profile](https://manual.nssurge.com/profile/managed-profile.html)

## 实测验收，不做虚假的“完美”保证

| 项目 | 家宽与蜂窝都需要 | 证据边界 |
|---|---|---|
| HTTPS | 小请求成功率、冷/热连接、p50/p95、首字节 | 不是下载速度 |
| TCP/UDP | Surge 策略测试分别记录 | UDP DNS 包可用不证明会议质量 |
| 吞吐 | 固定大小、限量下载/上传；日间与晚高峰 | 原生上传默认上限可达 1 GB，测试前明确限制 |
| Zoom | 30 分钟音视频/共享，有限下载同时进行 | 记录连接协议、latency、jitter、平均/最大丢包 |
| Telegram | 文字、文件、双向语音、前后台/切网 | TCP 可达不代替通话验收 |
| AI | 实际流式回复、上传、登录 | 区分线路、账号、地区及平台服务错误 |
| 国内/LAN | 微信、支付、地图、Apple 服务、局域网 | 确认直连且不破坏默认功能 |

Zoom 官方常用参考为延迟不高于 150 ms、jitter 不高于 40 ms、丢包不高于 2%；这是诊断参考，不是我们的质量承诺。正式会议不反复切换协议；A/B 固定本轮协议后退出重进，测试后清除覆盖。[Zoom 统计说明](https://support.zoom.com/hc/en/article?id=zm_kb&sysparm_article=KB0070504)、[Surge UDP 测试](https://manual.nssurge.com/policies/udp.html)、[吞吐测试配置](https://manual.nssurge.com/tools/testing.html)、[项目 Zoom 验收](zoom-test-runbook.md)

## 实现与发布的验收边界

- 本轮 Main 已从历史 fallback 基线改为正式 Smart；此前域名规则顺序及配套 DNS 优化保留。HY2/Trojan 真实代理、证书校验、带宽 100、IPv6、QUIC/TFO 默认不作额外改变。
- 假数据测试检查规则顺序、主要国际域名避免本地 DNS、未列国内域名 GeoIP 兜底与 DNS 失败转 Main；该测试是有边界的合成模型，不代替真实 Surge 引擎。
- 此前规则发布阶段，无密占位模板和真实 Mac 均通过 Surge 语法检查；Mac 实际规则匹配确认主要国际域名走 Main、国内常用域名/局域网与手动 Exchange 保持原策略。该阶段规则已经同步到 Mac 与私密云端，真实凭据、托管 URL、General 和当时策略组保持不变；连续三次 Mac 原生更新成功，云端正文与本地一致。这些历史结果不替代本轮 Smart 正式发布的独立确认。
- Google 网站入口已经部署，本人在独立 Chrome 窗口完成真实登录；领取返回 200，导入按钮与领取结果一致，未登录领取被拒绝。所有验证只输出布尔状态，不导出私密链接、Cookie 或 ID token。运维边界见 [Google 登录说明](portal-access.md)。
- iPhone/iPad 登录、原生导入、移动家宽/蜂窝和晚高峰长时间会议仍未验收；不能把 Mac 小请求、模板或网页登录成功写成全部设备体验已完美。没有调用服务器 apply、重启或改变拥塞/带宽参数。
- Mac 近期请求、保留日志和 Logbook 已按官方诊断流程只读检查；原始网址、节点信息与日志不导出、不进入公开文档。历史候选短测结束时恢复 fallback；随后本人选择正式 Smart 版本 `2026.10.13-cn-mobile-smart-1`，本次云端正文与 Mac 已核对一致，多次原生更新维持同版、Main 无临时覆盖，国内 / LAN / Exchange 和安全开关保持原边界。手机仍需手动更新和实际验收，该结果不是服务器吞吐或三端稳定性证明。