DNS解析、系统代理与应用连接：一张网络请求路径的阅读指南

许多初次接触网络工具的用户，在遇到“网页打不开”时往往只会反复切换节点列表，却不清楚请求究竟卡在了哪一环。事实上，从您在浏览器点下链接到页面呈现，每一次网络请求都要依次穿过四道关卡：应用发起请求 → 系统代理接管 → DNS 与分流规则判定 → 远端 HTTPS 握手传输。

下面我们按照请求发生的先后顺序，逐层拆解这张网络路径图。

第一站：应用层发起请求与本地缓存读取

当您在浏览器输入网址时，程序会先检查“本地记忆”与代理出口：

1.1 浏览器缓存与系统 Hosts 文件

浏览器首先核对近期缓存是否有效；若无缓存，操作系统会检查本地 hosts 文件。如果用户此前使用过修改 hosts 的工具且未清理干净，请求在这一步就会被导向失效的旧 IP 地址。

1.2 识别系统代理开关状态

主流浏览器会默认读取当前系统的代理设置。当您在 ClashParty 等桌面客户端中打开“系统代理”开关时，系统会将浏览器流量统一引导至本地回环端口（如 127.0.0.1:7890）。

第二站：DNS 解析与分流规则匹配

流量进入客户端本地端口后，紧接着要解决“域名对应哪台服务器”以及“该走直连还是走代理节点”两个问题。

2.1 传统 DNS 解析为什么容易异常？

在未开启客户端的普通网络中，设备直接向本地路由器发起明文 DNS 查询。若目标域名在本地解析超时或返回错误地址，浏览器就会立即弹出 DNS_PROBE_FINISHED_NXDOMAIN 报错。

2.2 客户端内的安全解析与规则分流

现代 Clash 内核客户端通常采用两步分流：

1. 域名规则优先匹配：客户端先比对请求中的域名后缀。若命中直连规则（如国内常见站点），则直接调用国内 DNS 解析并由本地宽带发出，完全不消耗套餐月度流量。
2. 远程代理解析与 Fake-IP：若域名命中代理规则，客户端无需在本地等待漫长的海外 DNS 查询，而是将目标域名封装进加密隧道交由远端节点解析，从而缩短连接耗时并规避本地 DNS 干扰。具体策略组设置可参阅《从零理解ClashParty配置：订阅更新、策略组与规则的整理方法》。

第三站：HTTPS 加密握手与端到端传输

当分流引擎判定请求需由节点转发后，客户端会与远端节点建立加密通道，并由目标网站服务器与浏览器直接完成 TLS/HTTPS 握手。

3.1 为什么系统时间不准会导致握手失败？

在 HTTPS 与现代代理传输协议中，双方会严格校验数字证书有效期与数据包时间戳。若电脑或手机系统时间误差超过 90 秒，连接会被直接判定非法而中断。只要您访问的是合规 https:// 网站，页面正文与账号密码在离开浏览器前即已完成端到端加密。

第四站：常见报错与路径关卡对照

掌握上述路径后，遇到异常即可前往帮助室故障排查模块对号入座：

• ERR_PROXY_CONNECTION_FAILED：卡在第一站，系统代理开关仍开着，但客户端已退出或端口冲突。
• DNS_PROBE_FINISHED_NXDOMAIN：卡在第二站，网卡残留失效的手动 DNS 或旧缓存，刷新系统 DNS 即可恢复。
• ERR_TIMED_OUT：卡在第三站，所选节点维护、订阅未更新或系统时间偏差，更新订阅并切换节点即可解决。