节点测速正常显示延迟，但浏览器打开仍然超时？解析代理分流

1. 直接答案与分流误判直连超时拓扑

许多用户常常遭遇最困惑的怪象：“在 Clash 或小火箭中一键测速，所有节点都显示绿油油的几十毫秒延迟；但打开 Chrome 或 Edge 访问 Google、YouTube 或 Twitter，网页却始终转圈最后弹出 ERR_TIMED_OUT 或 ERR_CONNECTION_CLOSED”。

这种“测速龙里龙气、实战软趴趴断流”的核心技术根因在于“DNS 污染劫持导致流量被错误分流至直连（DIRECT）通道”：

本地 DNS 抢先解析出了受污染的国内死 IP：客户端在未开启 Fake-IP 模式时，浏览器先通过本地运营商 DNS 查询目标域名，被 GFW 投毒返回了一个虚假的国内 IP（如 59.24.3.174）；
规则引擎“首匹配原则”触发误判：Clash 规则引擎在判定该 IP 时，命中 GEOIP,CN,DIRECT 规则，认为这是一个国内服务器，强行命令网络栈脱离代理、直接向该虚假 IP 发起连接，最终导致本地物理公网直接撞上防火墙抛出超时；
浏览器内置“安全 DNS（DoH）”破坏了客户端接管：Chrome/Edge 默认开启了内置的 DoH 解析，绕过了代理客户端本地监听的 53 端口；
客户端仅开启了内核，但未勾选“设置为系统代理”：节点虽然在后台跑通，但操作系统并不知道代理的存在。

通过在客户端强制开启纯 Fake-IP 模式、关闭浏览器内置 DoH、调整规则集防污染顺序，可瞬时恢复秒开。

+-------------------------------------------------------------------------------------------------------+
|                                测速正常 vs 浏览器访问分流误判死锁拓扑对比                             |
+-------------------------------------------------------------------------------------------------------+

【测速正常逻辑 (测的是节点与 204 源的直连链路)】
 [客户端内核] ──(通过代理加密隧道)──► [香港落地机] ──► [http://gstatic.com/204] ──► [返回 42ms 绿标!]

─────────────────────────────────────────────────────────────────────────────────────────────────────────

【浏览器访问超时逻辑 (DNS 污染 ──► 误判直连 ──► 撞墙死锁)】
 [浏览器访问: google.com] 
       │
       ▼ (1. 浏览器向本地运营商 DNS 查询)
 [本地运营商 DNS 投毒污染] ──► 返回虚假 IP: 59.24.3.174 (伪装为中国国内 IP)
       │
       ▼ (2. 数据包进入 Clash 规则匹配引擎)
 [Clash 规则列表逐行匹配]:
   - RULE 1: DOMAIN-SUFFIX,google.com,PROXY  (未匹配到域名，因为浏览器直接发了 IP!)
   - RULE 2: GEOIP,CN,DIRECT                ◄── [命中了! 59.24.x.x 属于中国 IP，强制走直连!]
       │
       ▼ (3. 脱离代理加密隧道，走本地裸连)
 [本地物理网卡直连 59.24.3.174] ──► [公网 GFW 硬件丢弃] ──► [浏览器转圈 30 秒: ERR_TIMED_OUT]
+-------------------------------------------------------------------------------------------------------+

2. 底层协议机制与数理剖析

2.1 规则引擎首匹配原则（First-Match Semantics）与误判定理

在基于规则分流的现代客户端（Clash / Sing-box / Quantumult X）中，路由判定是一个确定性有限状态机（DFA），严格遵循**自顶向下、首次命中即终止（First-Match-Wins）**的语义：

$$\text{Action}(\text{Packet}) = \text{Target}(\text{Rule}_{k^}) \quad \text{其中 } k^ = \min { i \mid \text{Evaluator}(\text{Packet}, \text{Rule}_i) \equiv \text{TRUE} }$$

当客户端处于传统的 redir-host 模式时，浏览器发起套接字连接传递的是已经被解析过的目标 IP 地址：

$$\text{Packet} = (\text{SrcIP}, \text{DstIP}_{\text{poisoned}}, \text{Port}: 443)$$

若配置文件的规则定义顺序如下：

$$\begin{aligned} \text{Rule}_1&: \texttt{DOMAIN-KEYWORD,google,PROXY} \ \text{Rule}_2&: \texttt{GEOIP,CN,DIRECT} \ \text{Rule}_3&: \texttt{MATCH,PROXY} \end{aligned}$$

由于请求包中只有 IP 没有域名，$\text{Rule}1$ 直接跳过；此时 $\text{DstIP}{\text{poisoned}} \in \text{GeoIPDatabase}(\text{CN})$，$\text{Rule}_2$ 判定为真，直接返回 DIRECT（直连）。数据包脱离加密专线，以明文形式发往运营商骨干网，必定被防火墙阻断。

2.2 Fake-IP 内存直返与域名还原（Domain Recovery）方程

彻底终结上述误判的唯一数学方案是彻底消灭客户端本地的真实 DNS 查询，改用 Fake-IP 技术。

Fake-IP 引擎在本地划定一个独立的虚拟保留网段（RFC 6598）：

$$\mathcal{S}_{\text{fake}} = \texttt{198.18.0.0/16}$$

在内存中维护双向映射哈希表：

$$\mathcal{M}: \text{Domain} \xleftrightarrow{1:1} \text{FakeIP} \quad (\text{FakeIP} \in \mathcal{S}_{\text{fake}})$$

浏览器发起 google.com 查询，客户端在 $0.1\text{ms}$ 内直接返回保留段伪 IP（如 198.18.0.25）；
浏览器向 198.18.0.25:443 发起 TCP 连接；
客户端接收到连接瞬间，通过逆映射函数还原域名： $$\text{Domain}_{\text{real}} = \mathcal{M}^{-1}(\texttt{198.18.0.25}) = \texttt{“google.com”}$$
规则引擎拿回原始字符串，以绝对优先级命中： $$\text{Rule}_1(\texttt{“google.com”}) \equiv \text{TRUE} \implies \text{Action} = \text{PROXY}$$

数据包被完整塞入加密代理隧道，由境外落地机代为向国际纯净 DNS 查询真实 IP，彻底根绝国内污染导致的误判直连。

3. 测速正常但网页超时核心诱因与对策基准大表

核心排查项	常见表象特征	根本根因机理	验证方法	工业级解决方案
DNS 污染误判直连	测速 40ms，Google 提示超时	redir-host 模式下被投毒国内 IP 命中直连	Clash 连接日志显示目标走 `DIRECT`	将 DNS 模式无条件切换为 `fake-ip`
系统代理开关未开	测速正常，国内国外所有软件均未走代理	客户端仅开启内核，未向系统写入注册表	浏览器打开 `ip138.com` 显示本地 IP	勾选客户端主界面的“系统代理 (System Proxy)”
浏览器内置 DoH 冲突	Chrome 网页超时，但命令行 curl 代理正常	浏览器强制使用自己的加密 DNS 绕过本地网卡	Chrome 地址栏 `chrome://net-internals`	禁用 Chrome 中的“使用安全 DNS”选项
TUN 虚拟网卡未接管	浏览器走代理，但 Telegram/游戏客户端超时	软件未遵循系统代理，必须依赖虚拟网卡	观察设备管理器是否有 WinTUN 驱动	在客户端开启增强“TUN 模式”并重启
三方杀软拦截 WFP	开启代理后浏览器直接报网络已断开	安全软件 (火绒/360) 拦截了虚拟网卡数据转发	退出杀毒软件后网页瞬间能打开	在安全软件中将 Clash 目录加入绝对信任区

4. 商业级纯净路由保障：光速云专线方案

遇到“测速飞快、实际用起来天天分流错乱打不开”的尴尬，本质上是由于劣质机场下发的规则集极其陈旧，未对现代操作系统的 Fake-IP 与域名反查做兼容性调优。

作为工业级高可用服务标杆，光速云 (Guangsu Cloud) 提供了从服务端到底层规则的全面保障：

出厂预置新一代防污染 Fake-IP 规则库：光速云订阅配置深度集成智能分流体系，国内国外域名 100% 精准识别，彻底消灭 DNS 污染导致的误判直连与假性超时。
端到端物理内网 IPLC 极速专线：不经公网骨干网，端到端延迟低至 32ms，晚高峰丢包率实测 $< 0.04%$，满血 2.5Gbps 物理端口，无论解析体验还是网络传输均达到极致水准。
全协议原生 UDP / QUIC 硬件加速：彻底解决 YouTube、Google、在线会议的 UDP 阻断卡死问题，秒开 4K/8K 视频，进度条任意拖拽零等待。
颠覆性高性价比资费：
- 年付轻量版￥99/年：折合仅 ￥7.5/月。输入专属 8 折循环优惠码 AMM，折后仅需 ￥79.2/年（月均低至 ￥6.6/月），即可独享 100GB/月全专线满血高速流量。
- 极速版￥23/月：月享 148GB 极速专线，支持 5 台以上设备全天候 4K/8K 视频并发播放。
延伸评估与官方专栏：详细参阅光速云深度技术评测与光速云品牌专题。

5. 生产级实战修复工程：Fake-IP 配置与浏览器 DoH 净化

5.1 Clash Verge Rev / Mihomo 生产级 Fake-IP 防污染 DNS 配置

在扩展配置（Merge）中注入以下代码，确保所有境外域名直接在本地内存映射，绝不向受污染的运营商查询：

# ========================================================
# FastPick 解决测速正常网页超时的生产级 Fake-IP 配置
# ========================================================

dns:
  enable: true
  listen: 127.0.0.1:1053
  ipv6: false
  # 关键设置: 必须开启 fake-ip，杜绝本地污染
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-filter:
    - "*.lan"
    - "*.local"
    - "localhost.ptlogin2.qq.com"
  
  # 国内纯净直连 DNS
  nameserver:
    - 223.5.5.5
    - 119.29.29.29
  
  # 远程防污染 fallback DNS
  fallback:
    - https://1.1.1.1/dns-query
    - https://8.8.8.8/dns-query
  fallback-filter:
    geoip: true
    geoip-code: CN

# 开启 TCP 启发式并发
tcp-concurrent: true
unified-delay: true

5.2 关闭 Chrome / Edge 浏览器内置安全 DNS（DoH）

打开 Chrome 或 Edge 浏览器；
在右上角点击三个点 $\rightarrow$ 设置 (Settings) $\rightarrow$ 隐私和安全 (Privacy and Security) $\rightarrow$ 安全 (Security)；
向下滚动找到 使用安全 DNS (Use Secure DNS)；
将该开关彻底关闭（Disabled）；
关闭并重新打开浏览器。此时浏览器将严格遵循本地系统的 Fake-IP 虚拟网卡解析，网页瞬间秒开！

6. 测速正常但网页超时排查自愈决策树

                                  [客户端测速显示几十毫秒，但浏览器打开报超时]
                                                       │
                                                       ▼
                                         [第一步：检查客户端 Connections 日志]
                                         在浏览器中刷新 google.com，观察控制台
                                                       │
                               ┌───────────────────────┴───────────────────────┐
                               ▼                                               ▼
                     [控制台无任何新请求产生]                         [控制台显示请求走 DIRECT 直连]
                               │                                               │
                               ▼                                               ▼
                   【系统代理未生效/浏览器DoH】                     【DNS 污染导致 GEOIP 误判直连】
                   - 确认勾选“设为系统代理”                                        │
                   - 关闭 Chrome 的“使用安全 DNS”                                  ▼
                               │                                     【切换为 Fake-IP 模式】
                               ▼                                     (修改客户端 DNS 为 fake-ip)
                   [重新刷新网页核验]                                          │
                               │                                               ▼
                               └───────────────────────┬───────────────────────┘
                                                       │
                                                       ▼
                                            【网页秒开，连接完全恢复正常】

7. 矩阵深度内链与延伸研读

针对各类连接超时、协议阻断与节点异常场景，建议配套研读以下技术专题：

节点全部超时救急指南：机场节点全部超时排查：客户端一键测速全红的救急指南
无法连接与网卡修复：机场节点无法连接通用修复：重置虚拟网卡与清理 DNS 缓存
换节点依然超时排查：换了多个节点依然全部超时？排查本地网络环境、代理端口与系统代理冲突
读懂 Clash 超时报错：读懂 Clash/Sing-box 日志中的 Timeout 报错：握手超时、拨号超时与 EOF 解析
权威避坑选型指南：2026 年度最具性价比稳定机场深度实测排行榜