开源代理客户端通用架构：内核、配置与规则引擎怎么分工

「客户端」在日常说法里是一个整体，实际上它由几层不同职责的组件叠成。搞清楚这个分层，排查问题时就知道该看哪里——大多数无效排查都是在错误的层上折腾。

1. 三层分工

外面还有一层图形界面，它只是把上面三层的状态呈现出来。换一个界面不同的客户端，如果内核相同，行为基本一致。

2. 内核：真正干活的部分

内核决定支持哪些协议、转发性能如何。目前常见的几个内核实现（Mihomo、Xray-core、sing-box）在协议支持上有差异，但都不改变你线路本身的带宽上限。

一个常被误解的点：换内核不会让慢的线路变快。内核影响的是本机的处理开销和协议兼容性，链路质量由服务器和中间网络决定。

3. 配置解析：订阅格式的兼容性

订阅链接返回的内容有多种格式，不同客户端支持范围不同。这是「同一条订阅在 A 客户端能用、B 客户端报错」的常见原因。

判断方法：用浏览器直接打开订阅链接。能返回一大段文本说明链接本身有效，问题在解析侧；返回 404 或空白则是链接失效，换客户端没用。

部分服务端会根据请求的 User-Agent 返回不同格式，所以同一个链接在不同客户端里拿到的内容可能不一样——这是设计如此，不是故障。

4. 规则引擎：决定流量走向

规则自上而下匹配，先命中的生效。这一点决定了规则顺序很重要：把通用规则放在前面，会让后面的具体规则永远匹配不到。

三种常见模式：

• 规则模式——按规则集判断，境外走代理、国内直连。日常应该停在这里。
• 全局模式——全部走代理。国内网站会绕远，流量消耗成倍增加。排查问题时临时用。
• 直连模式——全部不走代理。

5. 系统接管方式：两种，覆盖面不同

系统代理在应用层生效，程序可以选择不遵守。命令行工具、游戏客户端、带自有网络栈的应用常常绕过它。

TUN 模式创建虚拟网卡，在网络层接管，覆盖面广得多，但需要更高的系统权限，异常退出时可能留下路由残留。

「开了代理但某个程序还是直连」——绝大多数是这个原因。

6. 安全方面必须做的两件事

1. 只从官方发布渠道获取安装包。 代理客户端握有你全部流量的转发权限，第三方打包版本被植入后果比普通软件严重得多。
2. 核对发布方提供的校验值。 如果发布页提供了哈希或签名，花一分钟核对是值得的。

7. 排查时该看哪一层

连不上任何节点        → 先看配置解析（订阅有效吗）再看内核（握手失败？）
个别节点连不上        → 节点侧问题，换一个即可
连上了但网页打不开     → 规则引擎 + 系统接管方式
国内网站变慢          → 规则引擎（是不是开了全局）
流量消耗异常          → 规则引擎 + 节点倍率

按这个表定位，比逐项改设置快得多。