问题描述：

先声明，这都是我个人的观察和推测，不一定完全对，大家可以自己对照检查一下。
我参考了这个帖子里关于 Claude 规则组的配置：

Anthropic Claude 注册及支付的阶段性实验结论 资源荟萃

Anthropic Claude 注册及支付的实验结论 date: 2026-03 [占坑] 总结一些经过破坏性测试和控制变量的实验中得到的结论，梦到哪写到哪，不定时更新。 Preview 分注册阶段、支付阶段、使用阶段逐步讨论。 注册阶段 注册阶段邮箱验证： Outlook 邮箱注册，在手机接码后的引导界面触发 秒封。 Proton…

按理说，我照着配置应该没问题，但实际情况是，Clash 的代理组并没有完全按照 Claude 的分组走，有时候会跳到别的分组。

举个例子：
image1543×649 105 KB
从图上可以看到，你的 Claude 实际走的代理，并不是分配好的那个节点。如果你用的是多节点，很可能已经跑偏到其他节点了。
结合claude建议我分析了一下，发现问题主要出在 TUN 模式。但是，像 Claude Code 或其他客户端，基本上都得用 TUN 模式。
所以我和claude进行探索，总结了三点：

• Clash 配置使用 Fake-IP 的需要添加域名
  • +.claude.ai
  • +.claude.com
  • +.anthropic.com
• TUN 模式优化
  用 stack: gvisor 或 stack: system gvisor，对域名嗅探更友好，规则匹配更准确。
• 强制 TCP，避免 UDP 干扰 （主要问题其实出现在这）
  在 rules 中添加如下规则，拒绝所有 UDP 443 流量：
  • AND,((NETWORK,UDP),(DST-PORT,443)),REJECT
    Clash 对 UDP 的域名嗅探不太行，拿不到域名就直接走 别的分组，这就会导致 IP 跑偏或者漏走国内 IP

网友解答：

---

--【壹】--：

归根到底是udp原因，客户端的有 udp，转成ip，但是实际走的不按ip，就两条了，禁用udp就正常了

---

--【贰】--：

Claude:
behavior: classical
interval: 86400
path: ./ruleset/Claude.yaml
type: http
url: https://raw.githubusercontent.com/blackmatrix7/ios_rule_script/master/rule/Clash/Claude/Claude.yaml
OpenAI:
behavior: classical
interval: 86400
path: ./ruleset/OpenAI.yaml
type: http
url: https://raw.githubusercontent.com/blackmatrix7/ios_rule_script/master/rule/Clash/OpenAI/OpenAI.yaml
AISuite:
behavior: classical
interval: 86400
path: ./ruleset/AISuite.yaml
type: http
url: https://raw.githubusercontent.com/dler-io/Rules/refs/heads/main/Clash/Provider/AI%20Suite.yaml

=========================

分流规则

=========================

rules: # 注意，分流规则是按自上而下、首次命中即停的原则进行匹配，因此重要的规则应该放前面

• AND,((NETWORK,UDP),(DST-PORT,443)),REJECT # 拒绝所有 UDP 443，强制走 TCP
• RULE-SET,Claude,Claude
• RULE-SET,OpenAI,OpenAI
• RULE-SET,AISuite,AISuite

---

--【叁】--：

image816×378 24.1 KB
看看claude的回答

---

--【肆】--：

你把 proxies 脱敏掉，看一下你是怎么配置的

---

--【伍】--：

这句话我没理解是什么意思，什么叫 客户端的有 udp，转成ip，但是实际走的不按ip

---

--【陆】--：

是有的，你可以打开claude试一下，我单独创建的一个订阅进行的测试只有claude

---

--【柒】--：

规则判断是上下优先的，最前面的优先，所以不是规则兜住的，我现在使用禁用udp之后就好了，不会跳别的

---

--【捌】--：

rules

---

--【玖】--：

一样的，只要最后走 clash的tun 就会进行流量分发，是udp就会上面这样

---

--【拾】--：

好像不是这么回事）

这一块我只是随便举了个例子，这个帖子下面有相关评论，我给出了答复

Anthropic Claude 注册及支付的阶段性实验结论 资源荟萃

claude.com 在 GeoSite(geolocation-!cn) 中被指定，在 clash.meta 项目中默认会拉取到这些更新 rules: - GEOSITE,geolocation-!cn,PROXY curl -s https://cdn.jsdelivr.net/gh/Loyalsoldier/v2ray-rules-dat@release/proxy-list.txt…

claude.com 会被很多通用规则兜住

---

--【拾壹】--：

哪有这么复杂，跟 fake-ip, udp 没有什么关系

---

--【拾贰】--：

跟规则顺序也没因果关系- -因为你不可能用到一条规则是 让 claude.com 强制走 DIRECT 的，这个域名在你的测试里走了 DIRECT，只有一种可能，就是你所有 rules 都没有对 claude.com 的优先规则，且 MATCH 使用了 DIRECT

---

--【拾叁】--：

额，我感觉并非如此，主要是你的配置有些小问题，sniffer 应该始终是关闭状态。我之前完整看过 clash meta 的源码。

---

--【拾肆】--：

PixPin_2026-03-31_13-06-49121×138 18.1 KB

---

--【拾伍】--： 0xkk:

proxies

• name: 美国住宅
  type: socks5
  server: 000.000.000.000
  port: 7065
  username: 00
  password: 00
  udp: false # 关掉UDP，全走TCP更稳
  tfo: false # 全局代理下TFO有时反而出问题
• name: 日本中转->美国住宅
  type: socks5
  server: 000.000.000.000
  port: 7065
  username: 00
  password: 00
  udp: false # 关掉UDP，全走TCP更稳
  tfo: false # 全局代理下TFO有时反而出问题
  dialer-proxy: 日本1ss
• name: 日本1ss
  type: socks5
  server: 000.000.000.000
  port: 46631
  username: 00
  password: 00
  udp: false # 关掉UDP，全走TCP更稳
  tfo: false # 全局代理下TFO有时反而出问题

---

--【拾陆】--：

是的 所以推荐操作 claude 单开指纹浏览器，然后配 http 或者 socks 代理，或者是 Clash 直接调全局
分流规则不会实时更新的，如果 claude 增加了几个域名用来检测，很可能分流跑兜底就漏了

---

--【拾柒】--：

不过有一点很奇怪，就是你的 claude.ai 竟然有不同的出站记录？

---

--【拾捌】--：

我有一个疑惑，直接终端走一个 clash 设定好的端口这样会不会好一点？
因为 clash 可以设定走一个端口固定走哪个节点，那直接终端走链式代理，然后开 cc 这样会稳一点吗？

---

--【拾玖】--：

DIRECT 只是我没有设置别的节点组跳过去的，如果有别的规则组，他会自己跳别的按顺序往下，如果下面没有匹配，就会再回到最上面开始，也就是我现在截图这样 走了 DIRECT