飞鸟云官方上手指南：3分钟完成全平台客户端配置与订阅导入

在开通飞鸟云的高性能网络加速服务后，许多用户面临的首要问题是如何在不同的操作系统中快速完成客户端安装、订阅链接拉取、分流规则配置以及排查潜在的连接异常。无论是追求极简体验的新手用户，还是对网络协议栈有精细化控制需求的开发者、技术极客与跨境业务团队，选择正确的客户端并掌握底层配置逻辑，是确保长效稳定、毫秒级低延迟与高吞吐网络体验的核心关键。

本文将摒弃空泛的理论宣讲，直击实操细节与底层网络工程机制。无论您使用的是 Windows、macOS、iOS、Android 还是 Linux 生产环境，本文都将为您提供从零到一的保姆级上手路径，深入解析企业级 IEPL 专线、VLESS 前沿协议、Fake-IP 虚拟域名解析与 TUN 虚拟网卡的协同工作原理，并提供完整的生产级配置文件模板与高频故障排查诊断手册。

一、客户端接入全景认知与技术选型决策

在正式开始配置之前，用户首先需要从技术层面理解不同网络加速工具在操作系统底层的拦截方式与工作原理。目前主流的加速方案主要分为两大流派：官方自研一键登录客户端 与 开源通用跨平台客户端（如 Clash Verge Rev、Shadowrocket、Sing-box、v2rayN）。

1. 工作模式的技术差异：系统代理（System Proxy）与虚拟网卡（TUN 模式）

客户端如何接管操作系统的网络流量，直接决定了加速的覆盖广度、协议兼容性与连接稳定性：

系统代理模式（HTTP / SOCKS5 System Proxy）：
- 底层机制：客户端启动后，在本地操作系统的回环地址（Loopback Address，通常为 127.0.0.1:7890 或 127.0.0.1:7897）上开启端口监听。随后，客户端通过修改操作系统注册表（Windows Internet Settings）或系统网络偏好设置（macOS Network Preferences），向操作系统声明全局代理服务器地址。
- 局限性与痛点：系统代理属于典型的“应用层协同”机制。它依赖于各个上层应用程序主动读取系统代理设置。虽然主流网页浏览器（如 Chrome、Edge、Safari、Firefox）能完美遵循该设置，但大量底层开发工具（如 Windows PowerShell、Git 终端、Node.js / Python 脚本、Docker 容器守护进程）、大型 3D 游戏联机引擎以及部分独立桌面客户端会完全无视系统代理，直接向物理网卡发起直连请求，导致“网页浏览正常，但终端命令行和专业软件频繁报错网络超时”的割裂现象。
虚拟网卡模式（TUN / TAP 驱动模式）：
- 底层机制：客户端在操作系统内核中动态注册一个虚拟网络适配器（例如 Windows 平台上的 WinTUN 驱动，macOS 与 Linux 平台上的 utun 字符设备）。客户端通过操作系统内核级路由表（Routing Table）篡改默认网关跃点数（Metric），将流经操作系统的所有第三层（Layer 3 IP 数据包）原始流量无差别强制抓取并投递至客户端分流引擎。
- 核心优势：TUN 模式实现了真正的全操作系统、全应用、无死角的流量深度接管。无论是命令行脚本、后台后台守护进程、UWP 隔离应用还是高并发 UDP 游戏数据包，均能在无需针对单个应用配置代理的情况下，无缝享受智能规则分流与专线加速。

2. 飞鸟云核心协议演进与企业级 IEPL 专线网络拓扑

飞鸟云自 2020 年上线运营以来，底层骨干传输网络全面迭代为 企业级 IEPL（International Ethernet Private Line，国际以太网专线） 配合 轻量级 VLESS 现代通信协议。

flowchart LR
    subgraph ClientLayer ["用户本地终端 (Windows / macOS / iOS / Android / Linux)"]
        App["应用层数据发起 (浏览器 / 终端 / 游戏 / AI 工具)"] --> Router["客户端分流引擎 (Clash Verge Rev / Shadowrocket / 自研App)"]
        Router -->|国内域名 / 本地局域网| Direct["国内骨干公网 (直连毫秒级响应 / 0 流量消耗)"]
        Router -->|海外受阻站点 / AI大模型 / 流媒体| Encrypt["VLESS 协议封装 (0-RTT 握手 / TLS 1.3 混淆)"]
    end

    subgraph IngressLayer ["飞鸟云高可用多线 BGP 接入枢纽"]
        Encrypt -->|电信 / 联通 / 移动 智能最优测速| Entry["多线 BGP 动态入口网关 (负载均衡集群)"]
    end

    subgraph BackboneLayer ["企业级 IEPL 内网物理光纤专线"]
        Entry ==>|物理隔离内网光纤穿国内陆 / 0 丢包 / 绕过公网防火墙| Tunnel["境外专线落地机房 (香港 / 日本 / 新加坡 / 美国)"]
    end

    subgraph EgressLayer ["全球落地节点与原生住宅 IP 池"]
        Tunnel -->|原生住宅 IP 路由| OpenAI["ChatGPT / Claude 3.5 / Midjourney"]
        Tunnel -->|自动化 DNS 流媒体重定向| Stream["Netflix 4K / Disney+ / YouTube Premium"]
        Tunnel -->|全球 Tier-1 骨干互联| GlobalWeb["全球高速互联网基础设施"]
    end

VLESS 协议相较于传统 VMess / Trojan 协议的工程优势

彻底摒弃冗余加密计算：传统 VMess 协议设计于多年前，强制引入了复杂的双重对称加密算法，对移动端与低性能路由器的 CPU 算力造成了巨大浪费与发热。VLESS 属于无状态轻量级协议，在客户端与服务端建立 TLS / Reality 隧道后，不再进行多余的二次二次加密，极大降低了传输封包的膨胀率（Overhead）；
0-RTT 极速握手与时延优化：结合 TLS 1.3 会话恢复机制，VLESS 能够实现首包 0-RTT 握手直连，使跨境网页首次加载与 API 请求建连时延降低 30% 以上；
消除确定性特征指纹：VLESS 配合先进的流控（Flow）技术与标准 HTTPS 流量完美融合，有效抵御主动探测与深度包检测（DPI）。

3. 主流客户端全维度特性矩阵与选型建议

以下表格详细横向评估了不同客户端在平台兼容性、资源占用、TUN 虚拟网卡支持度以及用户画像定位上的技术差异：

客户端名称	操作系统支持	核心分流内核	TUN 虚拟网卡	订阅自动同步	内存平均占用	目标用户定位与推荐场景	综合推荐指数
飞鸟云官方自研客户端	Windows / macOS / Android	深度定制内核	原生免配置集成	登录即自动同步	约 35MB - 60MB	追求极简、开箱即用、免去复杂配置的新手用户与日常办公者	★★★★★
Clash Verge Rev	Windows / macOS / Linux	Mihomo (Clash.Meta)	WinTUN / utun 支持	支持定时轮询	约 70MB - 120MB	开发者、程序员、重度 PC 用户、需要精细化分流与规则扩展	★★★★★
Shadowrocket (小火箭)	iOS / iPadOS / macOS(M)	自研高性能引擎	原生 Network Extension	支持后台静默刷新	约 20MB - 45MB	苹果全生态首选、支持规则重写、MitM 证书解密与测速排序	★★★★★
Sing-box	全平台通用	Sing-box Core	原生集成 TUN 模块	支持远程拉取	约 25MB - 50MB	极客玩家、低内存软路由/VPS、追求极限性能与低开销	★★★★☆
v2rayN	Windows	Xray / V2Ray Core	支持 Core 插件扩展	支持手动与定时更新	约 45MB - 80MB	传统 Windows 用户、习惯老牌界面、单节点快速切换	★★★☆☆

二、飞鸟云专属订阅机制与安全验证原理

在飞鸟云的技术服务架构中，订阅链接（Subscription URL） 是连接客户端与云端分布式专线集群的核心通信通道。深入理解订阅的下发原理、格式解析与鉴权逻辑，是保障个人资产与数据安全的基础。

1. 订阅链接的底层下发与鉴权全流程

当用户在客户端中录入订阅地址并触发同步时，服务端与客户端之间会经历严谨的加密交互：

客户端环境识别与协议协商：客户端向飞鸟云 API 边缘节点发起带 TLS 加密的 HTTPS 请求。请求头中携带客户端特定的 User-Agent（例如 clash-verge/v1.7.5、Shadowrocket/2245 或 v2rayN/6.40）；
API 边缘节点 Token 鉴权：飞鸟云 API 解析请求路径中的唯一用户识别令牌（Token / UUID），在分布式内存数据库中毫秒级核验该用户的方案状态（轻量版、极速版或流光版）、剩余高速流量额度与有效期；
自适应格式动态渲染：
- 若检测到请求方为 Clash 类客户端，服务端直接下发经过优化的结构化 YAML 配置文件，预置好代理策略组、延迟测速地址与分流规则链；
- 若检测到请求方为 Shadowrocket 或通用工具，服务端将节点参数数组编码为 Base64 字符串流或 SIP002 标准格式回传；
客户端本地解析与内存路由表构建：客户端接收响应后，完成签名验证与 Base64 解码，将各节点的 IP 地址、连接端口、VLESS 用户 UUID、传输层参数（TCP/gRPC/WebSocket）动态加载至本地内存分流路由表中。

2. 订阅安全的核心守则：为什么严禁公开泄露订阅 URL

每条专属订阅 URL 本质上就是一把通往您个人账户全部专线配额的“万能数字钥匙”。公开暴露订阅链接将引发一系列严重后果：

套餐高速流量被恶意盗刷：任何第三方仅需复制该 URL，即可无缝将其导入自己的设备，在您不知情的情况下消耗您购买的专线流量；
并发连接数挤占导致本地断连：异常庞大的多 IP 并发连接可能触发飞鸟云后端安全风控引擎的自动防护，导致您的正常设备被临时限制连接；
节点信誉降级与潜在封禁：非授权用户如果通过您的节点从事垃圾邮件发送、恶意网络扫描或暴力破解等违规行为，可能导致该专线出口 IP 被目标网站拉黑。

[!WARNING] 请务必妥善保管个人专属订阅 URL。若发现订阅意外泄露、流量异常锐减或未知设备登录，请立即登录飞鸟云官网用户中心，在控制台首页点击【重置订阅链接】。系统将瞬间作废旧密钥并生成全新 URL，原泄露链接将立即失效。

三、Windows 平台实战：官方客户端与 Clash Verge Rev 深度配置

Windows 作为全球使用最广泛的桌面操作系统，同时支持零门槛的官方定制客户端与高度可定制的开源工具。

方案 A：飞鸟云 Windows 官方客户端快速上手（推荐新手）

登录控制台：前往飞鸟云官方网站登录您的个人中心；
下载安装包：在控制台左侧菜单点击【客户端下载】，选择 Windows 官方定制客户端（全面兼容 Windows 10 / Windows 11 64位操作系统）；
安装与初始化运行：双击运行安装程序。安装过程中若出现 Windows Defender SmartScreen 安全提示，点击“更多信息”并选择“仍要运行”即可；
账号一键登录：启动客户端，输入您在飞鸟云注册的账号邮箱与密码，点击登录。客户端将全自动调用后端 API 拉取最新的全节点配置，无需手动复制任何链接；
智能节点测速与加速开启：点击主界面的【延迟测速】，系统会以毫秒级精度显示各节点当前的网络响应速度。选择延迟表现最优的 香港 IEPL 01 或 日本 IEPL 01 节点，点击中心连接大按钮即可开启极速上网。

方案 B：Clash Verge Rev 深度配置与 TUN 模式调优（推荐进阶）

Clash Verge Rev 是基于现代化 Mihomo（原 Clash.Meta）内核构建的开源客户端，具备极致的性能、优雅的界面与强大的规则扩展能力。

1. 软件安装与订阅拉取

从官方发布渠道下载并安装最新版 Clash Verge Rev（支持便携免安装版与安装版）；
登录飞鸟云控制台，在【便捷导入】专区点击【复制 Clash 订阅链接】。

2. 配置订阅导入与自动轮询更新

打开 Clash Verge Rev，点击左侧导航栏的【订阅（Profiles）】；
在上方输入框粘贴复制的订阅链接，并在右侧点击【导入（Import）】；
导入成功后，在订阅卡片上点击右键选择【编辑配置】，将【自动更新间隔（Auto Update）】设置为 1440 分钟（即 24 小时自动刷新一次），以确保能够实时同步机房线路扩容与节点优化；
单击该配置卡片，使其变为高亮激活状态。

3. 启用 TUN 虚拟网卡模式（解决终端与游戏代理的核心步骤）

为了让终端命令行、开发环境与大型联机游戏完全受到专线分流保护，必须正确配置 TUN 模式：

进入 Clash Verge Rev 左侧【设置（Settings）】页面；
找到【TUN 模式（TUN Mode）】开关；初次开启时，Windows 系统会弹出 UAC 管理员提权确认框，允许其安装 WinTUN 虚拟网卡驱动程序；
进入内核配置项，将【网络堆栈（Stack）】推荐设置为 Mixed 或 System，【DNS 劫持】保持开启状态；
切换至左侧【代理（Proxies）】页面，确保界面右上角的运行模式设置为 规则模式（Rule）。

4. Windows 命令行网络连通性深度诊断实战

通过 Windows PowerShell 可以执行专业级网络探测，验证代理监听状态与出口 IP：

# 1. 检测本地 Clash 核心监听端口（默认混合端口 7890 与备用端口 7897）是否处于正常监听状态
Get-NetTCPConnection -LocalPort 7890, 7897 -ErrorAction SilentlyContinue | Select-Object LocalAddress, LocalPort, State, OwningProcess

# 2. 通过 SOCKS5 代理接口向 Cloudflare 节点发起底层 TCP 握手时延测试
Test-NetConnection -ComputerName 1.1.1.1 -Port 443

# 3. 在当前 PowerShell 会话中临时注入 HTTP/HTTPS 代理环境变量
$env:HTTP_PROXY="http://127.0.0.1:7890"
$env:HTTPS_PROXY="http://127.0.0.1:7890"

# 4. 验证当前终端出口公网 IP 的地理位置与自治系统组织 (ASN)
(Invoke-RestMethod -Uri "https://ipinfo.io/json").ip

命令执行结果分析：若步骤 4 返回的 IP 地址为飞鸟云专线境外落地机房（如香港、东京或新加坡）而非本地宽带公网 IP，且返回时延在 50ms 以内，则证明 Windows 系统的终端与全局网络栈已被完美接管。

四、macOS 平台实战：Clash Verge Rev 权限与内核优化

macOS 系统基于 Unix 底层架构，拥有严格的应用沙盒机制与系统网络扩展策略，在配置加速环境时需要特别关注守护进程（Daemon）权限与终端环境变量。

1. 架构识别与应用安装

芯片架构选择：
- 搭载 Apple Silicon 芯片（M1 / M2 / M3 / M4 系列及 Pro/Max/Ultra 机型）：请务必下载 arm64.dmg 原生架构安装包，以获得最低的内存开销与原生效能；
- 搭载 Intel 处理器的老款 Mac 电脑：下载 x64.dmg 安装包；
应用安装与安全性放行：打开 .dmg 镜像，将 Clash Verge.app 拖入 Applications 文件夹。首次打开若提示“无法验证开发者”，请进入 Mac【系统设置】->【隐私与安全性】，在安全性一栏点击“仍要打开”。

2. 授权服务模式（Service Mode）与 TUN 模式配置

在 macOS 上开启 TUN 虚拟网卡需要向系统注入特权辅助工具（Helper Daemon）：

打开 Clash Verge Rev，进入【设置】页面；
找到【服务模式（Service Mode）】，点击右侧的【安装（Install）】；
macOS 会弹出系统授权密码框，输入您的 Mac 管理员开机密码完成安装；安装成功后图标旁将显示绿色常亮的小圆点；
返回开启【TUN 模式】，系统将自动创建 utun 虚拟网络接口，无缝接管全系统所有进程的 TCP/UDP 流量。

3. macOS 终端（Zsh）代理别名配置与一键生效

macOS 终端（Terminal / iTerm2）默认不读取 GUI 系统代理。对于日常频繁使用 git clone、brew update、npm install 或 cargo build 的工程师，可将以下自动化别名函数配置到 Zsh 环境中：

# 打开当前用户的 Zsh 配置文件
nano ~/.zshrc

# 在文件最底部追加以下代理快捷切换函数与状态查询命令
alias setproxy="export http_proxy=http://127.0.0.1:7890; export https_proxy=http://127.0.0.1:7890; export ALL_PROXY=socks5://127.0.0.1:7890; echo '🚀 macOS 终端代理已成功启用'"
alias unsetproxy="unset http_proxy; unset https_proxy; unset ALL_PROXY; echo '🛑 macOS 终端代理已成功注销'"
alias checkip="curl -s https://ipinfo.io/json | grep -E 'ip|city|country|org'"

# 保存退出 (Ctrl+O 回车, Ctrl+X), 随后重新加载配置文件
source ~/.zshrc

验证终端代理状态：

# 1. 激活终端代理环境变量
setproxy

# 2. 检查终端实际出口公网 IP 信息
checkip

五、iOS 苹果端实战：Shadowrocket（小火箭）规则分流与调优

在 iPhone 与 iPad 设备上，Shadowrocket（小火箭） 凭借极高的执行效能、精准的规则分流控制与极低的电池消耗，成为 iOS 平台无可争议的首选网络工具。

1. 订阅一键导入与手动备份导入步骤

获取官方应用：登录非中国大陆地区的 Apple ID（如美区、日区或港区账号），在 App Store 检索并下载正版 Shadowrocket；
Safari 一键唤醒导入（极速推荐）：
- 打开 iPhone 自带的 Safari 浏览器，登录飞鸟云用户中心；
- 在控制台首页点击【一键导入 Shadowrocket】；
- Safari 将弹出系统弹窗提示“在 Shadowrocket 中打开？”，点击【打开】后，客户端会自动完成所有 IEPL 节点与预设规则策略的拉取；
手动兜底导入流程（备用方案）：
- 在用户中心点击复制【通用订阅链接】；
- 启动 Shadowrocket，点击右上角加号 +；
- 将【类型】下拉切换为 Subscribe（订阅）；
- 在【URL】文本框中粘贴订阅地址，【备注】填写 飞鸟云，点击右上角【保存】；
- 随后在首页向下拉动屏幕刷新，即可看到完整的专线节点列表。

2. 全局路由策略深度解析

在 Shadowrocket 首页底部，【全局路由】提供了四种核心工作模式：

配置（Config - 强烈推荐日常保持）：开启基于规则集的智能分流。访问国内生态（微信、支付宝、网易云音乐、淘宝、各大银行及国内政务网站）完全走本地网络直连（Direct），既不消耗套餐流量又保持极低延迟；访问 Google、ChatGPT、GitHub、Netflix 时全自动调度至飞鸟云高速专线；
代理（Proxy）：全系统所有流量不论境内境外强制通过代理转发。容易导致国内 App 出现地区异常警告或加载缓慢，仅建议在特定调试场景下临时使用；
直连（Direct）：所有流量绕过节点直接发起网络请求；
场景（Scene）：可根据当前连接的 Wi-Fi 名称或蜂窝网络自动切换不同路由规则。

3. iOS 深度调优：按需连接（On-Demand）与 TCP 保活机制

为了彻底杜绝 iPhone 锁屏待机后再亮屏出现的“网络短暂停顿”或“长连接丢失”现象：

进入 Shadowrocket【设置】->【TCP 保持活跃（TCP Keep Alive）】并将其勾选开启；
进入【设置】->【按需连接（On Demand）】，若希望设备开机或断网重连后自动保持加速保护，可开启该功能；
在【DNS】高级选项中，将【本地 DNS 映射】开启，并配置阿里 DoH（https://dns.alidns.com/dns-query）与腾讯 DNSPod DoH 作为备用，彻底杜绝公共 Wi-Fi 环境下的本地 DNS 劫持风险。

六、Android 平台实战：自研客户端与 Clash Meta 深度使用

Android 系统的开放架构赋予了用户极大的自主权，但国内定制系统（如小米 HyperOS、华为鸿蒙 HarmonyOS、vivo OriginOS、OPPO ColorOS）严格的后台电池管理机制，要求用户进行针对性的保活与私有 DNS 设置。

1. 方案一：飞鸟云 Android 官方客户端

登录飞鸟云后台下载官方定制 .apk 安装文件并完成安装；
打开 App 输入账号密码登录，底层自动建立基于系统 VpnService 的加密虚拟隧道；
内置智能故障转移与动态测速模块，当检测到当前线路遭遇运营商公网抖动时，可在 100ms 内无感漂移切换至同机房备用专线端点。

2. 方案二：Clash Meta for Android（开源高级方案）

下载并安装 Clash Meta for Android（推荐从 GitHub Release 下载正式版本）；
启动软件后点击【配置】-> 点击右上角 + 号 -> 选择【从 URL 导入】；
填入配置名称（如 飞鸟云），粘贴专属订阅 URL，设置【自动更新】为 1440 分钟后点击右上角保存并勾选启用；
返回首页点击中心开关开启代理，系统首次弹出“VPN 连接请求”时点击【确定】。

3. 国产定制系统关键优化：防杀后台与私有 DNS 冲突排除

为保证手机在长时间息屏、运行大型 3D 游戏或在多任务切换时专线长连接不被杀除，必须完成以下三项设置：

电池优化白名单：长按客户端桌面图标 -> 点击【应用信息】-> 进入【省电策略 / 耗电管理】-> 将限制更改为 “无限制 / 允许后台高耗电运行”；
多任务界面应用锁定：呼出手机多任务卡片视图，长按或下拉客户端卡片，点击【加锁图标】，防止系统在执行“一键清理内存”时误杀代理核心；
关闭操作系统私有 DNS 冲突：进入手机【设置】->【更多连接方式 / 连接与共享】->【私有 DNS (Private DNS)】。若该项此前手动配置了第三方 DoT 服务器，请将其切换为 “关闭” 或 “自动”。否则 Android 系统底层的私有 DNS 会强行截断客户端内部的 Fake-IP 域名解析，导致全机出现“有连接信号但打不开任何海外网站”的诡异故障。

七、规则分流体系与 AI/4K 流媒体深度分流工程

一套优秀的网络加速环境，其核心精髓绝不仅仅是“能连通”，而是“智能与无感”。

1. 规则匹配链的完整判定机制

当一个网络访问请求在本地被创建并提交至分流引擎时，引擎内部会严格按照规则先后顺序执行逻辑匹配：

网络请求发起 (例如访问: https://api.openai.com/v1/chat/completions)
  │
  ├─ 1. 本地局域网与私有地址规则检测 (Private IP / Localhost / 192.168.x.x)
  │     └─ 命中? ──> 是 ──> 直连 (DIRECT)
  │
  ├─ 2. AI 生产力专属规则库匹配 (OpenAI / Claude / Anthropic / Midjourney)
  │     └─ 命中? ──> 是 ──> 路由至 [🤖 AI 智能专线组] (指定美国/新加坡原生住宅 IP)
  │
  ├─ 3. 海外超清流媒体规则库匹配 (Netflix / Disney+ / YouTube / Spotify)
  │     └─ 命中? ──> 是 ──> 路由至 [🎬 流媒体专属组] (指定香港/台湾/日本解锁节点)
  │
  ├─ 4. 国内域名与 GEOIP 规则匹配 (GEOSITE:CN / GEOIP:CN 规则库)
  │     └─ 命中? ──> 是 ──> 直连 (DIRECT, 本地宽带直达, 0 专线流量扣除)
  │
  └─ 5. 兜底策略规则 (MATCH / FINAL)
        └─ 其余未匹配到的境外小众站点 ──> 路由至 [🚀 默认节点选择组]

2. 为什么必须坚决杜绝“全局模式”

部分初学者在遇到某个网站打不开时，习惯直接将客户端切换为“全局模式（Global）”，这是一种非常不可取的做法：

流量加速耗尽：在全局模式下，您在爱奇艺、腾讯视频、Bilibili 看剧，或者下载微信大文件、Steam 国内节点游戏更新时，所有千兆流量都会全部走飞鸟云 IEPL 专线，快速白白消耗掉您的月度高速流量配额；
国内服务被反向风控：国内网银 App、政务服务平台、个人征信平台以及部分打车/外卖软件，检测到用户登录 IP 突然变为香港或美国机房时，会判定账号存在被盗风险，频繁触发短信验证码强制重验或人脸识别锁定；
访问延迟反向增加：原本您直连国内服务器仅需 5ms–10ms，全局代理后流量需要先绕道境外机房再折返回国内目标服务器，导致国内网站打开变得奇慢无比。

八、生产级配置文件结构解析（YAML 规范）

对于使用 Clash Verge Rev 或进阶自建配置的高级用户，以下提供一份经过严格生产环境验证的 Mihomo（Clash.Meta）标准 YAML 完整核心配置模板：

# ==============================================================================
# 飞鸟云 生产级 Mihomo (Clash.Meta) 核心配置规范 (feiniaoyuntizi.my)
# ==============================================================================

# 本地网络监听端口规范
port: 7890
socks-port: 7891
mixed-port: 7890
allow-lan: false
bind-address: "*"
mode: rule
log-level: info
ipv6: false
external-controller: 127.0.0.1:9090

# 虚拟网卡 TUN 模式深度配置
tun:
  enable: true
  stack: mixed # 可选: mixed, system, gvisor
  dns-hijack:
    - "tcp://any:53"
    - "udp://any:53"
  auto-route: true
  auto-detect-interface: true

# 本地防污染 Fake-IP 架构
dns:
  enable: true
  listen: 127.0.0.1:1053
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  fake-ip-filter:
    - "*.lan"
    - "localhost.ptlogin2.qq.com"
    - "+.srv.nintendo.net"
    - "+.stun.*.*"
    - "+.stun.*.*.*"
  nameserver:
    - https://doh.pub/dns-query
    - https://dns.alidns.com/dns-query
  fallback:
    - https://1.1.1.1/dns-query
    - https://8.8.8.8/dns-query
  fallback-filter:
    geoip: true
    geoip-code: CN
    ipcidr:
      - 240.0.0.0/4

# 代理策略组设计 (Proxy Groups)
proxy-groups:
  - name: 🚀 节点选择
    type: select
    proxies:
      - ⚡ 自动最优测速
      - 🇭🇰 香港 IEPL 01 - 2.5G
      - 🇯🇵 日本 IEPL 01 - 2.5G
      - 🇸🇬 新加坡 IEPL 01 - 2.5G
      - 🇺🇸 美国 IEPL 01 - 原生IP

  - name: ⚡ 自动最优测速
    type: url-test
    url: http://www.gstatic.com/generate_204
    interval: 300
    tolerance: 50
    proxies:
      - 🇭🇰 香港 IEPL 01 - 2.5G
      - 🇯🇵 日本 IEPL 01 - 2.5G
      - 🇸🇬 新加坡 IEPL 01 - 2.5G
      - 🇺🇸 美国 IEPL 01 - 原生IP

  - name: 🤖 AI 智能助手 (ChatGPT/Claude)
    type: select
    proxies:
      - 🇺🇸 美国 IEPL 01 - 原生IP
      - 🇸🇬 新加坡 IEPL 01 - 2.5G
      - 🇯🇵 日本 IEPL 01 - 2.5G

  - name: 🎬 海外流媒体 (Netflix/Disney+)
    type: select
    proxies:
      - 🇭🇰 香港 IEPL 01 - 2.5G
      - 🇹🇼 台湾 IEPL 01 - 2.5G
      - 🇸🇬 新加坡 IEPL 01 - 2.5G

  - name: 🛑 广告拦截
    type: select
    proxies:
      - REJECT
      - DIRECT

# 核心分流规则链 (Rules)
rules:
  # AI 服务专属路由
  - DOMAIN-SUFFIX,openai.com,🤖 AI 智能助手 (ChatGPT/Claude)
  - DOMAIN-SUFFIX,chatgpt.com,🤖 AI 智能助手 (ChatGPT/Claude)
  - DOMAIN-SUFFIX,claude.ai,🤖 AI 智能助手 (ChatGPT/Claude)
  - DOMAIN-SUFFIX,anthropic.com,🤖 AI 智能助手 (ChatGPT/Claude)
  # 流媒体专属路由
  - DOMAIN-SUFFIX,netflix.com,🎬 海外流媒体 (Netflix/Disney+)
  - DOMAIN-SUFFIX,netflix.net,🎬 海外流媒体 (Netflix/Disney+)
  - DOMAIN-SUFFIX,disneyplus.com,🎬 海外流媒体 (Netflix/Disney+)
  - DOMAIN-SUFFIX,youtube.com,🚀 节点选择
  - DOMAIN-KEYWORD,google,🚀 节点选择
  # 国内直连与防漏判
  - GEOIP,CN,DIRECT
  - MATCH,🚀 节点选择

九、故障排查全流程与实战排错案例库

当您在使用过程中遇到连接失败、节点不可用或网页打不开时，请严格按照以下标准化故障排查决策树进行精准定位：

flowchart TD
    Start["出现网络异常 (网页打不开 / 节点超时)"] --> Check1{"第一步: 检查本机系统时间是否同步?"}
    Check1 -- 误差超过60秒 --> FixTime["开启操作系统自动同步时间 (修正时间戳偏差)"] --> Verified["测试连通性恢复"]
    Check1 -- 时间完全精准 --> Check2{"第二步: 本地代理端口是否在正常监听?"}
    Check2 -- 端口未监听 (核心崩溃或端口冲突) --> FixPort["重启客户端 / 更换混合端口为 7897"] --> Check2
    Check2 -- 端口监听正常 --> Check3{"第三步: 用户中心订阅能否正常拉取刷新?"}
    Check3 -- 订阅拉取报错 --> FixSub["排查套餐是否到期 / 切换手机热点排除本地DNS阻断"]
    Check3 -- 订阅拉取正常 --> Check4{"第四步: 代理模式是否被误设为全局 Global?"}
    Check4 -- 处于全局模式 --> FixMode["切换回规则模式 Rule 并清空本地 DNS 缓存"] --> Verified
    Check4 -- 处于规则模式仍异常 --> Check5{"第五步: 是否存在本地私有 DNS 或安全软件拦截?"}
    Check5 -- 存在第三方安全卫士/私有DNS --> FixSec["关闭私有DNS / 放行 Clash 与 WinTUN 驱动"] --> Verified
    Check5 -- 无拦截但仍无法连接 --> Contact["登录飞鸟云官网提交 7×24 在线技术工单"]

案例 1：客户端节点全部显示超时（Timeout），延迟测速一片标红

问题现象

用户在 Windows 11 电脑上使用 Clash Verge Rev 客户端，成功导入了飞鸟云订阅，但在主界面点击测速时，全部节点无一例外显示 Timeout 或 0-RTT Handshake Error，浏览器完全无法打开任何海外网页。

环境信息

操作系统：Windows 11 专业版 23H2 (Build 22631)
客户端版本：Clash Verge Rev 1.7.5（Mihomo 内核）
协议类型：VLESS + Reality / TCP

初步判断

节点全部超时通常有三大核心诱因：

本地运营商宽带出口对专线入口 IP 发生了突发性路由阻断；
本地杀毒软件防火墙全面拦截了客户端核心二进制进程的入站与出站；
本地设备系统时钟与国际标准 UTC 时间存在严重偏差，触发了现代加密协议底层的防重放攻击拦截机制。

排查路径与关键证据

第一步连通性排查：在 PowerShell 执行 Test-NetConnection -ComputerName 1.1.1.1 -Port 53，发现本地物理网络完全通畅，排除本地断网；
第二步检查内核运行日志：在 Clash Verge Rev 左侧点击【日志（Logs）】，日志窗口密集刷出以下关键报错： 2026-02-15 14:23:05 [WARN] [VLESS] proxy handshake failed: invalid timestamp offset > 115s from client；
关键证据锁定：系统时钟偏差过大。核对电脑右下角时间与手机北京时间，发现电脑由于此前在 BIOS 中调整过硬件设置，时钟比标准时间慢了近 2 分钟。

执行步骤

打开 Windows【设置】->【时间和语言】->【日期和时间】；
确保勾选【自动设置时间】以及【自动设置时区】；
点击下方的【立即同步（Sync now）】按钮，等待系统显示“上次成功的时间同步时间”；
返回 Clash Verge Rev，在代理列表重新点击右下角的【延迟测速】。

结果验证与技术复盘

完成时间校准后，所有节点测速瞬间全部恢复为绿色的 22ms–45ms，网页秒开。 技术复盘：以 VLESS、Shadowsocks-2022、VMess 为代表的现代密码学通信协议，在其握手协议头中均内嵌了基于绝对时间戳的数字签名，用以彻底防御中间人劫持并重复发送数据包的“重放攻击（Replay Attack）”。协议规范强制要求客户端与服务端的时钟误差不得超过 60 秒（部分宽松实现为 90 秒）。一旦设备时钟超出该阈值，服务端安全策略会判定该请求为非法伪造包并直接丢弃，表现为全部节点超时。

案例 2：浏览器正常翻墙，但 VSCode 终端、Git 与 Docker 镜像拉取一直报网络超时

问题现象

macOS 开发者用户在 Chrome 浏览器中查阅海外技术文档与 GitHub 网页非常流畅，但在系统终端中执行 git push origin main、brew update 或 docker pull 时，频繁报错 Connection reset by peer 或 Failed to connect to github.com port 443: Operation timed out。

环境信息

操作系统：macOS Sonoma 14.5 (Apple M3 Max)
客户端：Clash Verge Rev 1.7.4 (ARM64)
运行模式：默认系统代理模式（未开启 TUN 模式）

初步判断

macOS 的“系统代理”仅对调用了苹果官方 SCNetworkConfiguration 网络框架的高层图形界面软件（如 Safari、Chrome）生效。而底层的 Unix 命令行工具（如 Git、cURL、Docker Daemon、Python pip、Rust cargo）默认直接向默认网关发起直连请求，完全绕过系统代理。

排查路径与关键证据

在终端运行 curl -I https://github.com，命令直接超时挂起；
查看当前终端环境变量 echo $http_proxy，输出为空字符串，确凿证明终端会话未被代理接管。

执行步骤

采用双重组合方案彻底解决：

方案一（全局底层解决）：在 Clash Verge Rev 中点击【设置】->【服务模式】-> 点击【安装】以系统管理员权限部署 Helper 后台守护程序；随后开启【TUN 模式】，利用系统级 utun 虚拟网卡实现全系统网络栈强制接管；
方案二（终端环境自动绑定）：在用户的 ~/.zshrc 中注入环境变量导出函数： alias setproxy="export http_proxy=http://127.0.0.1:7890; export https_proxy=http://127.0.0.1:7890; export ALL_PROXY=socks5://127.0.0.1:7890"。

结果验证与技术复盘

执行 source ~/.zshrc 并运行 setproxy，再次执行 git clone，克隆速度瞬间达到 40MB/s 峰值，Docker 镜像秒级拉取完毕。 技术复盘：TUN 模式工作在操作系统网络协议栈的第三层（网络层 IP 层），它在内核层拦截所有流经操作系统的原始 IP 数据包并将其重组后递交给代理引擎，从而使所有不遵循高层代理规范的开发工具与底层协议无感享受到规则分流加速。

案例 3：访问 ChatGPT 提示“Access Denied (Error 1020)”或不断陷入 Cloudflare 人机验证死循环

问题现象

用户在手机上连接节点后访问 chatgpt.com，页面无法显示登录输入框，直接提示“Access Denied”报错，或 Cloudflare 盾牌人机验证不断刷新陷入无限循环。

环境信息

操作系统：iOS 17.5 / iPhone 15 Pro Max
客户端：Shadowrocket
选定节点：某普通机房测试节点

初步判断

当前所选节点出口 IP 的类型为机房数据中心 IP（Hosting / Data Center IP），已被 OpenAI 的反爬虫风控数据库（如 IPQS、Cloudflare Turnstile）标记为高风险；
浏览器内部存在旧的地理位置 Cookie 缓存冲突；
本地 DNS 发生了 WebRTC 真实 IP 泄漏。

排查路径与关键证据

在手机 Safari 打开 IP 风险评估网站 https://ipinfo.io，查看当前连接节点的组织信息，发现其 ASN 类型为公共云服务器机房，欺诈分（Fraud Score）偏高；
切换至飞鸟云专为 AI 工具优化的 【美国 IEPL 01 - 原生住宅IP】 节点。

执行步骤

在 Shadowrocket 首页选中 美国 IEPL 01 原生住宅IP 节点；
进入 iPhone【设置】->【Safari 浏览器】-> 点击【清除历史记录与网站数据】；
重新打开 Safari 浏览器，以隐身/无痕模式访问 https://chatgpt.com。

结果验证与技术复盘

清除受污染的 Cookie 缓存并切换至美国原生住宅专线后，页面无需任何人机验证直接秒级呈现 ChatGPT 对话界面。 技术复盘：OpenAI、Anthropic Claude 等头部 AI 厂商接入了严苛的地理位置与 IP 属性过滤引擎。普通公网机房 IP 会被直接识别为高并发自动化脚本进行阻断。飞鸟云在境外专线落地端配置了高纯净度的住宅级原生 IP 资源池，配合 IEPL 专线的物理隔离传输，从根本上保证了 AI 工具访问的持久可用性。

十、常见问题深度解答 (FAQ)

Q1：套餐说明中提到的“8元/月”具体是如何计算的？

“8元/月”是飞鸟云【轻量版】年付套餐（99元/年，折算月均拥有 59GB 高速流量）折算后的平均每月使用成本，并非普通的按月单月付款价格。对于以日常查阅学术资料、收发国际邮件、社交通讯以及轻度网页浏览为主的用户，轻量版年付方案具有极高的性价比与稳定性。若您有大容量文件传输、超清 4K/8K 视频追剧或高频 AI 生产力需求，推荐选购按月计费的极速版（23元/月，148GB/月）或流光版（34元/月，238GB/月）。

Q2：飞鸟云是否有同时在线设备数量限制？

飞鸟云全系套餐均不限制同时在线设备数量。您可以在自己的 Windows 办公电脑、Mac 笔记本、iPhone、Android 手机、iPad 以及家庭智能路由器等多个终端上同时配置并登录使用。但请特别注意，套餐的每月流量额度为名下所有设备共享，严禁将个人订阅链接公开发布至互联网或分享给非直系亲友，以免触发多地域 IP 异常并发风控保护。

Q3：节点列表中标注的“×1.0 倍率”是什么意思？是否存在暗中扣量？

“倍率”指使用该节点传输数据时扣除套餐流量的实际核算系数。行业内部分服务商常采用 1.5x、2.0x 甚至 3.0x 的高倍率节点，导致用户实际传输 1GB 数据却被扣除 3GB 额度。飞鸟云始终坚持诚信透明的运营准则，全系 IEPL 专线节点统一执行真实的 1.0x 计费标准（即实际消耗 1GB 流量精准扣除 1GB 额度），无任何隐形扣量、峰值加权与虚标套路。

Q4：为什么强烈建议日常使用“规则模式（Rule）”而非“全局模式（Global）”？

在“全局模式”下，您访问国内所有网站（如百度、淘宝、微信、网银 App）的所有流量都会强制绕道海外专线节点，不仅会白白消耗您宝贵的专线套餐流量，还会导致国内网站访问变慢、网银登录触发异地登录风控等问题。而“规则模式”内置了数万条智能分流规则：国内流量自动走本地网络极速直连（0 流量损耗），仅海外被阻断网站与 AI/流媒体才走飞鸟云 IEPL 专线，既保证了全天候极速体验，又实现了流量的最大化利用。

Q5：自研客户端与 Clash / Shadowrocket 通用客户端有何区别？应该如何选择？

官方自研客户端：核心优势在于“极简体验与开箱即用”。无需手动复制订阅链接，登录账号即可自动同步最新节点，且内置了针对网络波动的自愈与节点动态切换机制，最适合追求省心、开箱即用的新手与日常办公用户；
通用客户端（Clash Verge Rev / Shadowrocket 等）：核心优势在于“极致可控与深度扩展”。支持精细化规则分流、TUN 虚拟网卡全接管、自定义 DNS 调度以及自动化策略组，最适合开发者、程序员以及有复杂网络协同需求的进阶用户。

Q6：节点显示连通但偶尔打开网页一直转圈，应该优先排查什么？

请按照以下顺序执行 3 步黄金自查：

检查系统时间：确认电脑或手机时间与互联网标准北京时间误差在 60 秒以内；
清理本地 DNS 缓存：Windows 用户在 CMD 执行 ipconfig /flushdns，macOS 用户执行 sudo dscacheutil -flushcache；
切换延迟更低的标准节点：在客户端代理列表中避开当前处于网络波动的节点，优先切换至 香港 IEPL 01 或 日本 IEPL 01 核心骨干节点。

Q7：使用过程中如果遇到无法自行解决的故障，如何联系官方技术支持？

飞鸟云技术团队提供 7×24 小时高标准 SLA 运维保障与多渠道客服支持：

在线工单系统：登录飞鸟云用户中心，在控制台点击【服务支持】->【提交新工单】，技术工程师通常会在 15 分钟内给予专业技术答复；
官方 Telegram 频道：加入用户中心展示的官方 Telegram 公告群组与交流频道，获取实时的专线扩容维护公告与节点动态。

十一、总结与全平台使用核心法则

构建一套稳定、极速、无感知且安全的网络加速环境并不复杂，关键在于遵循科学的配置流程与网络规范：

认准官方入口：务必通过飞鸟云官方网站（feiniaoyuntizi.my）登录控制台与获取官方软件，谨防非官方仿冒站点的安全风险；
坚持规则分流：日常始终保持【规则模式（Rule）】，兼顾国内网络毫秒级直连与海外专线的高速穿透；
重视系统时间同步：确保设备时钟精准，从源头杜绝 90% 以上的协议握手超时故障；
灵活善用 TUN 模式：遇到终端命令行、开发包管理器或特定软件不走代理时，果断开启 TUN 虚拟网卡进行全协议栈无死角接管。

立即前往飞鸟云用户中心开通专线 | 查看最新网络状态公告

一、客户端接入全景认知与技术选型决策

1. 工作模式的技术差异：系统代理（System Proxy）与 虚拟网卡（TUN 模式）

2. 飞鸟云核心协议演进与企业级 IEPL 专线网络拓扑

VLESS 协议相较于传统 VMess / Trojan 协议的工程优势

3. 主流客户端全维度特性矩阵与选型建议

二、飞鸟云专属订阅机制与安全验证原理

1. 订阅链接的底层下发与鉴权全流程

2. 订阅安全的核心守则：为什么严禁公开泄露订阅 URL

三、Windows 平台实战：官方客户端与 Clash Verge Rev 深度配置

方案 A：飞鸟云 Windows 官方客户端快速上手（推荐新手）

方案 B：Clash Verge Rev 深度配置与 TUN 模式调优（推荐进阶）

1. 软件安装与订阅拉取

2. 配置订阅导入与自动轮询更新

3. 启用 TUN 虚拟网卡模式（解决终端与游戏代理的核心步骤）

4. Windows 命令行网络连通性深度诊断实战

四、macOS 平台实战：Clash Verge Rev 权限与内核优化

1. 架构识别与应用安装

2. 授权服务模式（Service Mode）与 TUN 模式配置

3. macOS 终端（Zsh）代理别名配置与一键生效

验证终端代理状态：

五、iOS 苹果端实战：Shadowrocket（小火箭）规则分流与调优

1. 订阅一键导入与手动备份导入步骤

2. 全局路由策略深度解析

3. iOS 深度调优：按需连接（On-Demand）与 TCP 保活机制

六、Android 平台实战：自研客户端与 Clash Meta 深度使用

1. 方案一：飞鸟云 Android 官方客户端

2. 方案二：Clash Meta for Android（开源高级方案）

3. 国产定制系统关键优化：防杀后台与私有 DNS 冲突排除

七、规则分流体系与 AI/4K 流媒体深度分流工程

1. 规则匹配链的完整判定机制

2. 为什么必须坚决杜绝“全局模式”

八、生产级配置文件结构解析（YAML 规范）

九、故障排查全流程与实战排错案例库

案例 1：客户端节点全部显示超时（Timeout），延迟测速一片标红

问题现象

环境信息

初步判断

排查路径与关键证据

执行步骤

结果验证与技术复盘

案例 2：浏览器正常翻墙，但 VSCode 终端、Git 与 Docker 镜像拉取一直报网络超时

问题现象

环境信息

初步判断

排查路径与关键证据

执行步骤

结果验证与技术复盘

案例 3：访问 ChatGPT 提示“Access Denied (Error 1020)”或不断陷入 Cloudflare 人机验证死循环

问题现象

环境信息

初步判断

排查路径与关键证据

执行步骤

结果验证与技术复盘

十、常见问题深度解答 (FAQ)

Q1：套餐说明中提到的“8元/月”具体是如何计算的？

Q2：飞鸟云是否有同时在线设备数量限制？

Q3：节点列表中标注的“×1.0 倍率”是什么意思？是否存在暗中扣量？

Q4：为什么强烈建议日常使用“规则模式（Rule）”而非“全局模式（Global）”？

Q5：自研客户端与 Clash / Shadowrocket 通用客户端有何区别？应该如何选择？

Q6：节点显示连通但偶尔打开网页一直转圈，应该优先排查什么？

Q7：使用过程中如果遇到无法自行解决的故障，如何联系官方技术支持？

十一、总结与全平台使用核心法则

产品服务

支持与文档

关于品牌

合规与条款

1. 工作模式的技术差异：系统代理（System Proxy）与虚拟网卡（TUN 模式）