Surge Mac 使用教程 代理配置、规则体系与网络调试深度指南

现代化网络开发与深度流量审计中枢#

在 macOS 环境下，许多开发者常常面临多重割裂的网络诉求：日常需要访问跨国云端研发资源与容器镜像仓；调试移动端 App 时需要实时查看 HTTP 或 HTTPS 交互的请求体、响应头与时延分布；而在复杂的内网或家庭办公环境中，又期望让 Mac 充当临时的软路由网关。Surge 将这一系列纷繁复杂的能力，有机熔铸在一个高度自洽的图形化与命令行协同体系内。

它的交互界面没有任何华而不实的冗余动画，所有面板都围绕“连接状态感知、性能指标量化、规则命中追溯、数据包精细审查”这四个核心维度展开。每一个网络连接的发起进程、源 IP、目的主机、命中规则集、解析时延以及上下行速率，均以亚毫秒级的精度实时呈现在仪表盘上。

规则驱动与轻量高性能内核网络栈#

不同于部分采用跨平台 Webview 打包的应用，Surge Mac 采用纯正的 Swift 与 Objective-C 原生打造，其后台核心服务（Surge Core）充分利用了苹果 Darwin 内核的 Grand Central Dispatch（GCD）高并发调度机制与高性能套接字处理框架。这种深度原生优化的架构，赋予了 Surge 令人惊叹的内存占用控制能力与近乎零损耗的线速数据转发性能。即便在千兆全双工网络持续大流量下载的极端工况下，Surge 依然能够保持稳定的 CPU 占用率，避免引起 macOS 调度器降频或风扇狂转。

系统代理与增强模式的区别#

在默认状态下，Surge 充当标准的本地 HTTP 与 SOCKS5 代理服务器，默认监听本地 127.0.0.1<6152>（HTTP）与 127.0.0.1<6153>（SOCKS5）端口。开启 System Proxy 开关后，Surge 会调用 macOS 的系统配置 API，将当前活跃网络服务（Wi-Fi 或以太网）的 HTTP 与 SOCKS 代理地址修改为上述本地端口。这种模式逻辑清晰且轻便，但局限性在于仅对主动读取系统代理设置的应用程序（如 Safari、Chrome 等常规浏览器）生效。许多原生终端命令行工具、未遵循系统代理规范的桌面客户端以及跨平台开发运行时（如 Node.js、Go 程序、Docker），都会直接绕过系统代理发起直连。

为了彻底消除这一盲区，Surge 引入了基于现代 macOS Network Extension 框架的增强模式（Enhanced Mode）。在增强模式下，Surge 会在系统内核中创建名为 vif（Virtual Network Interface）的虚拟网卡，并在底层接管整机的网络路由表。整机发出的所有 TCP 与 UDP 数据包，无论其来源于浏览器、终端、后台守护进程还是第三方游戏，都会在内核层面被强制重定向至 Surge Core 进行全量审计与规则分流。

全链路数据流动与分流漏斗模型#

无论流量通过系统代理端口还是虚拟网卡进入 Surge，其后续的内部处理链路都严格遵循标准化的高性能分流漏斗模型。如下架构图清晰展示了这一完整闭环：

许可证管理与设备解绑#

购买 Surge Mac 许可证后，你将获得一个形如 SURGE-XXXX-XXXX-XXXX 的专属密钥。每个标准版或专业版许可证均有严格的设备绑定数量上限（通常为 3 台或 5 台 Mac）。在主界面点击菜单栏图标选择 License 进入授权中心，粘贴密钥并输入你的注册邮箱即可完成激活。

Surge 提供了极为友好的自助解绑机制。如果未来需要更换新 Mac 或重装系统，无需联系客服人工介入，只需在旧机器上选择 Deactivate License，或直接登录 Surge 官方网页端设备管理后台，即可一键将旧设备踢下线，释放激活名额给新设备使用。

权限配置与系统扩展授权#

增强模式与网络接管依赖于底层的系统核心组件。首次在 macOS 上启用增强模式或安装辅助工具时，系统会弹出多道安全权限确认弹窗：

1. Helper Tool 安装授权：Surge 需要安装一个高权限的后台辅助守护进程（com.nssurge.surge-mac.helper），用于在无须频繁请求用户密码的前提下动态修改系统网络设置与路由表；
2. Network Extension 系统扩展批准：在 macOS 11 及更高版本中，苹果全面推行用户空间网络扩展。当 Surge 注册虚拟网卡时，系统会提示“Surge 想要添加代理配置”或“系统扩展已被阻止”。此时必须前往 macOS 系统设置的隐私与安全性面板中，找到“安全性”一栏点击“允许”，并勾选信任；
3. 完全磁盘访问权限（可选）：如果希望 Surge 能够精确解析每一个网络连接发起进程的可执行文件路径与数字签名，建议在“隐私与安全性 - 完全磁盘访问权限”中为 Surge 赋予完全访问权限。

配置文件标准结构全景#

一个标准的 Surge 配置文件通常由以下几大基础段落构成：

1. [General]：全局运行参数定义，包括监听端口、日志级别、DNS 服务器列表、增强模式开关及跳过代理列表；
2. [Proxy]：独立出站代理节点的详细定义，支持各类主流加密协议；
3. [Proxy Group]：策略组逻辑定义，将节点聚合成自动测速组、容灾备用组或手动切换组；
4. [Rule]：分流规则清单，按行从上至下依次执行匹配；
5. [Host]：本地 DNS 静态映射表，类似于系统的 /etc/hosts，但支持泛域名与通配符；
6. [URL Rewrite]：基于正则表达式的 URL 重定向规则集；
7. [MITM]：中间人解密配置，包含 CA 证书定义与解密域名白名单。

生产级 Surge 基础配置示例#

以下是一个兼顾安全性、高性能与分流清晰度的生产级 Surge 基础配置骨架：

1
[General]
2
# 基础监听端口定义
3
http-listen = 127.0.0.1:6152
4
socks5-listen = 127.0.0.1:6153
5
# 允许局域网设备连接访问代理
6
allow-wifi-access = false
7
wifi-access-http-port = 6152
8
wifi-access-socks5-port = 6153
9

10
# 日志输出级别 (verbose, info, warning, notify)
11
loglevel = notify
12

13
# 增强模式运行配置与 VIF 接管定义
14
enhanced-mode-by-rule = false
15
show-error-page-for-reject = true
16

17
# DNS 解析服务配置 (优先使用低延迟国内公共 DNS 与海外安全 DoH)
18
dns-server = 223.5.5.5, 119.29.29.29, 8.8.8.8, 1.1.1.1
19
encrypted-dns-server = https://dns.alidns.com/dns-query, https://cloudflare-dns.com/dns-query
20

21
# 跳过代理的主机与 IP 列表 (直连绕过)
22
skip-proxy = 127.0.0.1, 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12, 100.64.0.0/10, localhost, *.local, *.crashlytics.com
23

24
[Proxy]
25
# 本地直连与阻断保留关键字
26
DIRECT = direct
27
REJECT = reject
28

29
# 手动声明的独立节点示例 (实际使用中通常通过外部托管订阅引入)
30
HK-Node-01 = ss, 104.28.19.88, 8388, encrypt-method=aes-256-gcm, password=ExampleSecretKey
31
JP-Node-01 = trojan, jp.example.com, 443, password=TrojanAuthPassword, sni=jp.example.com
32

33
[Proxy Group]
34
# 主出口策略组，集成手动选择与分流出口
35
PROXY = select, Auto-Fast, HK-Node-01, JP-Node-01, DIRECT
36
# 自动测速延迟优化组 (每 300 秒探测一次，容差 50ms)
37
Auto-Fast = url-test, HK-Node-01, JP-Node-01, url=http://cp.cloudflare.com/generate_204, interval=300, tolerance=50
38
# 专门针对海外主流流媒体与 AI 服务的专用策略组
39
Streaming = select, PROXY, HK-Node-01, JP-Node-01
40

41
[Rule]
42
# 1. 优先放行系统基础服务与局域网广播
43
RULE-SET,SYSTEM,DIRECT
44
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
45
IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
46

47
# 2. 海外主流研发服务与高频生产力工具走 PROXY
48
DOMAIN-SUFFIX,github.com,PROXY
49
DOMAIN-SUFFIX,githubusercontent.com,PROXY
50
DOMAIN-SUFFIX,openai.com,Streaming
51
DOMAIN-SUFFIX,anthropic.com,Streaming
52

53
# 3. 国内高频服务与骨干网域名走 DIRECT 直连
54
RULE-SET,https://raw.githubusercontent.com/Loyalsoldier/surge-rules/release/ruleset/apple.txt,DIRECT
55
RULE-SET,https://raw.githubusercontent.com/Loyalsoldier/surge-rules/release/ruleset/china.txt,DIRECT
56
GEOIP,CN,DIRECT
57

58
# 4. 兜底规则，未命中的其余流量走向
59
FINAL,PROXY,dns-failed

托管配置的工作机理#

Surge 的托管配置具有严格的生命周期管理。机场服务商通常会提供一条专属的 Surge 订阅链接，该链接实际上返回一个完整的远程 .conf 文件。当你将该 URL 导入 Surge 后，Surge 会将其标记为托管状态。

每当你点击更新配置，或者触发后台设定的自动更新定时器（如每 24 小时自动拉取），Surge 都会向机场服务器发起静默请求，下载最新的节点列表与策略组结构，并在校验语法无误后平滑热重载内核，全程无需中断正在运行的 TCP 连接。

导入机场订阅的规范操作步骤#

1. 打开 Surge Mac 主窗口，点击顶部菜单栏的活跃配置文件名称，在下拉菜单中选择“下载托管配置”或“Install Profile from URL”；
2. 在弹出的输入框中，粘贴机场客户中心提供的专属 Surge 订阅地址；
3. 点击“确定”后，Surge 会自动下载并解析远程配置文件。下载完成后，新配置会以独立的标识显示在配置文件列表中；
4. 勾选并激活该托管配置，Surge 会立即切换至新配置运行。此时展开菜单栏图标，即可清晰看到机场预设的全部国家地区节点与分组策略。

协议支持矩阵#

Surge 官方以极高的代码质量标准原生支持了当今主流的加密代理协议：

• Shadowsocks (SS)：全面支持现代 AEAD 高安全加密算法（如 aes-128-gcm, aes-256-gcm, chacha20-ietf-poly1305），连接轻快且性能损耗极低；
• Trojan：深度融合标准 TLS 1.3 握手协议，伪装成常见的 HTTPS 网站访问流量，抗审查与抗封锁能力卓越；
• Snell：Surge 团队自主设计的轻量级专属代理协议，具备双向流量混淆、零 RTT 快速握手与单端口多路复用优势；
• VMess：支持基于 WebSocket 与 TLS 传输的经典 VMess 节点，适合承载复杂的跨境企业内网互联；
• Hysteria 2 / TUIC：新版本中深度集成的现代高性能 UDP 协议，在面对跨洋长距离高丢包网络链路时，能迸发出无与伦比的加速潜能；
• WireGuard：原生支持现代企业级 VPN 协议，可实现无缝接入海外私有 VPC 局域网。

策略组类型与调度算法对比#

Surge 允许通过策略组（Proxy Group）将节点按照特定逻辑有机组合。掌握以下常见类型的行为差异，能帮助你设计出最贴合个人网络状况的策略拓扑：

规则判定时序与 DNS 解析触发控制#

很多初学者容易忽略的是：部分规则类型的匹配会强制触发本地向上游发起 DNS 查询。这在网络优化中是一个极其敏感的技术节点。

如果在配置前部堆砌了大量未加 no-resolve 参数的 IP-CIDR 规则，Surge 在处理每个未知域名请求时，都被迫先向外部 DNS 服务器发起漫长的网络查询，直到拿到 IP 之后才能继续往下匹配。这不仅会带来数百毫秒的建连延迟，还可能因向国内 DNS 查询了海外敏感域名而导致严重的 DNS 污染问题。因此，强烈建议将基于域名的规则置于配置前部，并在局域网私有网段规则后追加 no-resolve 参数。

规则编写规范与外部规则集引用#

为了避免单个配置文件过于臃肿，推荐使用 RULE-SET 机制引用远端持续维护的高质量规则集：

1
[Rule]
2
# 1. 严格阻断恶意广告与遥测跟踪域名
3
RULE-SET,https://raw.githubusercontent.com/Loyalsoldier/surge-rules/release/ruleset/reject.txt,REJECT
4

5
# 2. 开发者特定环境精准进程路由 (无需域名过滤，按程序分流)
6
PROCESS-NAME,Telegram,PROXY
7
PROCESS-NAME,Slack,PROXY
8
PROCESS-NAME,curl,DIRECT
9

10
# 3. 针对敏感学术与研发站点实施泛域名后缀匹配
11
DOMAIN-SUFFIX,arxiv.org,PROXY
12
DOMAIN-SUFFIX,nature.com,PROXY
13
DOMAIN-SUFFIX,huggingface.co,PROXY
14

15
# 4. 国内大型企业服务与流媒体直连加速
16
RULE-SET,https://raw.githubusercontent.com/Loyalsoldier/surge-rules/release/ruleset/bilibili.txt,DIRECT
17
RULE-SET,https://raw.githubusercontent.com/Loyalsoldier/surge-rules/release/ruleset/china.txt,DIRECT
18

19
# 5. IP 级别兜底探测，必须加 no-resolve 保护本地私网性能
20
IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
21
IP-CIDR,172.16.0.0/12,DIRECT,no-resolve
22
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
23
GEOIP,CN,DIRECT
24

25
# 6. 最终兜底规则
26
FINAL,PROXY,dns-failed

虚拟网卡 VIF 与内核路由劫持#

当你在 Surge 界面或配置中开启增强模式后，Surge 会通过其经过苹果签名的 Network Extension 在 macOS 内核中实例化一个名为 vif 的虚拟网络适配器。随后，Surge 会修改系统的内核路由表，将默认路由的网关跃点权重调整为最高，使系统除物理内网直连广播外的所有出站数据包全部打入该虚拟网卡。

虚拟网卡接收到原始二层以太网帧后，直接剥离报文头部送入 Surge Core 的用户空间协议栈进行重组与深度包检测（DPI）。这一设计赋予了 Surge 接管以下传统盲区应用的能力：

1. 终端一切命令行程序：无论是 ping, traceroute, ssh, git clone, 还是容器编排工具 kubectl, 无需设置任何 export http_proxy 环境变量，全部天然受控；
2. 移动虚拟机与模拟器：Parallels Desktop、VMware Fusion 运行的 Windows 虚拟机，或 Xcode iOS Simulator 内运行的调试 App，均能被无感透明加速；
3. 闭源网络应用与独立游戏：部分硬编码网络请求、拒绝读取 macOS 系统代理设置的专有商业软件，在 VIF 虚拟网卡面前完全无所遁形。

部署拓扑与网络数据双向路由#

Surge as Gateway 采用单臂旁路部署架构。你无需改变现有的家庭主路由器布线，甚至无需将主路由刷写为复杂的第三方固件。

落地配置要点与关键细节#

1. Surge 主机配置静态 IP：在运行 Surge 的 Mac 主机上，进入系统设置将以太网 IP 固定为一个确定的局域网地址（如 192.168.1.88），子网掩码为 255.255.255.0，主路由器网关为 192.168.1.1；
2. 启用局域网访问与网关模式：在 Surge 偏好设置的“通用”面板中，勾选“允许来自本地网络的连接”（Allow Wi-Fi Access），并在“增强模式”高级设置中开启“Surge as Gateway”选项；
3. 客户端设备网关与 DNS 指向：在 Apple TV、PS5 或家庭智能电视上，将网络连接由自动获取改为手动分配：
   • IP 地址：192.168.1.105（任意同一网段未被占用 IP）
   • 子网掩码：255.255.255.0
   • 网关地址（Router）：192.168.1.88（指向运行 Surge 的 Mac mini）
   • DNS 服务器：192.168.1.88（由 Surge 进行统一的高性能防污染解析）
4. macOS 节能与睡眠策略调整：作为网关运行的 Mac 必须保持 24 小时唤醒状态。在系统设置中关闭“显示器关闭时防止自动休眠”，或在终端执行 sudo pmset -a disablesleep 1 确保系统在合盖或熄屏后网络栈持续高频运作。

Dashboard 实时监控大屏#

打开 Surge Dashboard，你将面对一个全维度的网络态势感知中心：

• 实时吞吐量波形图：精确展现过去数分钟内整机或各局域网设备的即时下行与上行带宽占用，便于快速揪出吃满带宽的后台进程；
• 活跃连接列表（Active Connections）：列出当前系统所有未释放的 TCP/UDP 会话。点击任意一条连接，右侧将详细显示其握手耗时、首字节到达时间（TTFB）、命中规则明细以及真实的公网 IP；
• DNS 本地解析池：实时记录本地所有域名解析历史。你可以清晰追踪到某个域名究竟是被上游 DoH 正常解析为真实 IP，还是被 Fake-IP 机制映射到了本地虚拟地址池。

深度抓包审查（Traffic Capture）#

当你需要深入探究某个 API 接口的交互异常时，只需在 Surge 界面底部点亮“Capture”开关：

1. 请求体与响应头还原：Surge 会捕获完整的 HTTP 请求报文，包括 Request Headers、Query String、Form Data 以及 JSON 格式的 Request Body；
2. 时延精细拆解：针对每一个 HTTP 请求，Surge 会将其生命周期切分为：DNS 解析延时、TCP 三次握手耗时、TLS 证书交换时延、服务端处理耗时以及数据内容传输耗时。这对于后端与前端工程师定位网络瓶颈点具有无与伦比的技术价值；
3. 归档与 HAR 导出：所有抓包会话均支持批量导出为标准的 HAR（HTTP Archive）文件，便于将排障现场完整同步给团队其他研发人员分析。

MITM 原理与本地根证书签发机制#

Surge 进行 HTTPS 解密的本质，是在本地动态充当合法的中间人代理。当客户端向目标服务器发起 TLS 握手时，Surge 会拦截这一请求，使用自己内置的本地根证书（Root CA），为该目标域名即时动态生成并签发一张伪造的 SSL 证书返回给客户端，同时由 Surge 自身与真实的目标服务器建立安全 TLS 连接。

证书信任配置三步走#

1. 生成私有 CA 证书：在 Surge 偏好设置中点击“MITM”，点击“Generate New CA”生成一张专属你的高强度 RSA 2048 位根证书；
2. 安装并信任证书：点击“Install CA to System Keychain”，系统会自动调出 macOS“钥匙串访问”（Keychain Access）。在系统钥匙串中找到名为“Surge Root CA”的条目，双击打开其属性，在“信任”下拉列表中将“使用此证书时”全部选为“始终信任”；
3. 严谨配置 Hostname 解密白名单：绝对不要在 MITM 的 Hostname 中配置全局通配符 *。这不仅会严重拖慢正常网页浏览性能，还会导致极度危险的隐私泄露风险。应该精准定义需要调试的域名，例如：

1
[MITM]
2
skip-server-cert-verify = false
3
ca-p12 = /Users/yourusername/Library/Application Support/Surge/Certificates/SurgeCA.p12
4
ca-passphrase = yourgeneratedpassword
5
hostname = api.example.com, *.dev.testinternal.net, debug.yourdomain.cn

脚本类型与执行上下文#

Surge 支持以下四种核心脚本介入时机：

• http-request：在请求送出给外部网络前拦截，可用于动态修改请求头、注入鉴权 Token、修改 URL 参数；
• http-response：在收到服务器响应后解包拦截，可用于篡改接口返回的 JSON 内容、移除前端烦人的弹窗广告字段；
• cron：基于定时任务调度执行独立脚本，例如每天凌晨自动向签到接口发包，并推送系统通知；
• rule：基于复杂逻辑自判定的动态路由脚本，可根据系统时间、网络环境甚至外设状态决定该流量究竟直连还是走指定节点。

实用脚本代码示范#

以下展示一个典型的 http-response 响应体修改脚本配置：

1
[Script]
2
# 拦截测试环境 API 响应，动态注入开发调试字段
3
MockInject = type=http-response,pattern=^https://api\.example\.com/v1/user/profile,script-path=scripts/mock.js,requires-body=true,max-size=1048576

在本地对应的 mock.js 文件中编写如下标准 JavaScript 代码：

1
// Surge 官方标准的 HTTP-Response 拦截注入脚本
2
let body = $response.body;
3
try {
4
    let obj = JSON.parse(body);
5
    // 动态篡改用户等级为最高内测开发者
6
    obj.data.vip_level = 99;
7
    obj.data.is_tester = true;
8
    // 重新序列化并回传给客户端应用
9
    $done({ body: JSON.stringify(obj) });
10
} catch (e) {
11
    // 异常时维持原始响应原样返回
12
    $done({});
13
}

CLI 实战 1 终端网络状态诊断与链路确认#

在开启 Surge 增强模式后，可通过以下命令测试网络连通性并探查出口公网 IP 的真实归属：

1
# 1. 验证 Google 搜索主页连接与 HTTP 响应状态码
2
curl -I -s --connect-timeout 5 https://www.google.com | head -n 5
3

4
# 2. 查看当前终端请求在外部互联网所呈现的出口公网 IP 与地理位置
5
curl -s http://ip-api.com/json/ | jq '{query: .query, country: .country, city: .city, isp: .isp}'
6

7
# 3. 检查系统全局网络代理设置是否已被 Surge 正确接管
8
scutil --proxy
9

10
# 4. 探查当前正在监听本地代理端口的 Surge 核心进程
11
lsof -i :6152

CLI 实战 2 Surge HTTP API 自动化操控与脚本对接#

Surge 内部提供了强大的 RESTful HTTP API 接口。你可以在本地终端或 CI/CD 自动化流水线中，通过 curl 远程操控 Surge 的一切行为：

1
# 1. 向 Surge 本地 API 发送请求，热重载活跃配置文件
2
curl -X POST http://127.0.0.1:6171/v1/profiles/reload \
3
  -H "X-Key: your_api_secret_key" \
4
  -d '{}'
5

6
# 2. 获取当前所有策略组名称及其实际选中的出站节点
7
curl -s http://127.0.0.1:6171/v1/policy_groups \
8
  -H "X-Key: your_api_secret_key" | jq '.'
9

10
# 3. 强制清空 Surge 内存中的全部 DNS 缓存解析池
11
curl -X POST http://127.0.0.1:6171/v1/dns/flush \
12
  -H "X-Key: your_api_secret_key"

调用 /v1/policy_groups 返回的 JSON 响应体结构示例如下，清晰反映出策略组调度详情：

1
{
2
  "PROXY": {
3
    "type": "select",
4
    "policy": "Auto-Fast",
5
    "is_evaluating": false
6
  },
7
  "Auto-Fast": {
8
    "type": "url-test",
9
    "policy": "HK-Node-01",
10
    "is_evaluating": false,
11
    "last_test_score": 38
12
  },
13
  "Streaming": {
14
    "type": "select",
15
    "policy": "JP-Node-01",
16
    "is_evaluating": false
17
  }
18
}

案例一 开启增强模式后局域网打印机或 NAS 挂载离线#

• 故障现象：在 Surge 开启“Enhanced Mode”后，Mac 访问外网一切正常，但原本连接顺畅的局域网网络打印机无法打印，群晖 NAS 挂载的 SMB 共享磁盘在 Finder 中频繁断连，提示“找不到服务器”。
• 原因剖析：由于增强模式默认会将内核层全部流量重定向进虚拟网卡 vif。虽然 Surge 配置中存在针对内网私有网段的直连规则，但在某些特定路由拓扑下，二层以太网组播与 mDNS 广播报文（如 Bonjour 发现协议）在进入虚拟网卡后未能正确回写至物理接口，导致局域网设备互相丢失。
• 解决方案：在 Surge 配置文件的 [General] 段落中，严格核实并补充 skip-proxy 与 tun-excluded-routes 字段：

1
[General]
2
# 确保所有私有局域网网段全部声明跳过代理
3
skip-proxy = 127.0.0.1, 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12, localhost, *.local
4
# 强制内核路由排查物理网卡直连网段，不打入 VIF
5
tun-excluded-routes = 192.168.1.0/24, 10.0.0.0/8

案例二 终端命令 curl 走代理成功但 git clone 依然超时#

• 故障现象：在未开启增强模式的纯系统代理状态下，终端中执行 curl https://www.google.com 能够秒级返回页面，但执行 git clone https://github.com/torvalds/linux.git 时却长时间卡死，最终报错 Failed to connect to github.com port 443: Operation timed out。
• 原因剖析：Git 客户端拥有极其独立的网络配置体系，它在默认情况下会完全无视 macOS 操作系统的系统代理环境变量（包括 http_proxy 与系统偏好设置中的代理勾选），直接执拗地向目标服务器发起公网原生直连。
• 解决方案：方案有二：其一，直接开启 Surge 强大的“Enhanced Mode 增强模式”，由底层虚拟网卡强行接管 Git 流量；其二，在终端中直接为 Git 全局注入 Surge 监听的本地 HTTP/SOCKS 端口配置：

1
# 为 Git 全局配置强制走 Surge 本地 SOCKS5 代理端口
2
git config --global http.proxy "socks5://127.0.0.1:6153"
3
git config --global https.proxy "socks5://127.0.0.1:6153"
4

5
# 若后续需要解除此配置，可执行以下清理命令
6
git config --global --unset http.proxy
7
git config --global --unset https.proxy

案例三 开启 MITM 之后部分金融与海外流媒体应用提示证书错误或黑屏#

• 故障现象：在开启 Surge 的 MITM 解密功能后，浏览器抓包调试非常顺畅，但手机或 Mac 上的某些国际银行 App、PayPal 或 Netflix 客户端打开时报错“网络连接不安全”或长时间停留在加载黑屏状态。
• 原因剖析：这些高安全级别的应用普遍采用了 SSL Pinning（证书固定）机制。应用内部预先硬编码了官方服务器合法的公钥指纹，当 Surge 返回本地动态伪造的证书时，尽管系统钥匙串已经给予了最高信任，但 App 内部的代码校验依然能识别出证书指纹不一致，出于主动防御考虑强行切断网络通信。
• 解决方案：针对此类启用了证书固定的敏感服务，必须将其彻底移出 MITM 的解密作用域。在 Surge 配置的 [MITM] 块中，严禁配置包含此类域名的通配符，或在 [General] 的 always-real-ip 中做好放行，确保其以原生 TLS 信道直通出站。

案例四 托管配置更新后私有定制规则被意外覆盖#

• 故障现象：用户在机场导入的托管配置中手动添加了多条私有工作网段规则与自选节点策略组，但每次点击“更新托管配置”后，整个配置文件被服务器的新版本重写，导致所有自己编写的规则一夜蒸发。
• 原因剖析：托管配置（Managed Config）的运行机制就是完全以远程服务端的最新版本为准进行整包覆写。任何在托管文件主体内部的直接手改，在更新后都会被无情覆盖。
• 解决方案：充分利用 Surge 的“模块（Modules）”功能。将个人私有的分流规则、策略组微调或 MITM 配置剥离为一个独立的 .sgmodule 文件。在主界面中直接安装并启用该本地模块，Surge Core 会在运行时将模块动态注入并合并至托管配置上方，无论远程配置如何频繁更新，私有规则坚如磐石。

Q1 为什么 Surge Mac 价格相对较高 是否值得普通用户购买#

Surge 定位于生产力级别的专业网络与开发基础设施，而非单纯的娱乐代理工具。它所提供的抓包调试精度、稳定不中断的后台常驻体验、完整的 Apple Ecosystem 深度原生打磨以及极度负责的长期安全维护，能够为全栈工程师、App 开发者和对网络有严苛诉求的用户节省大量的排障时间成本。如果你仅需要最基础的网页浏览，免费的开源客户端同样能满足基本诉求；但若追求极致掌控感与专业调试能力，Surge 绝对物有所值。

Q2 增强模式与系统代理模式可以同时开启吗#

完全可以，且这是官方最为推荐的标准运行姿态。开启系统代理能够确保所有遵循系统网络规范的桌面应用以最低开销走本地轻量端口；而增强模式则常驻在底层内核路由中，作为天罗地网兜底捕获所有终端命令、后台 Daemon、Docker 容器以及忽略系统代理的闭源软件流量，两者相得益彰，实现真正意义上的整机无死角加速。

Q3 配置文件中的 skip-proxy 与 bypass-tun 区别是什么#

两者作用层级不同。skip-proxy 作用于系统代理层面，系统网络设置在读取该列表时，会指示普通应用程序在访问列表中声明的域名或 IP 时，完全不向 Surge 的 6152 端口发包，直接由系统发往本地网卡；而 tun-excluded-routes（旧称 bypass-tun）则作用于增强模式的内核路由表层级，在操作系统内核级别将指定网段排除在虚拟网卡路由之外，确保流量直接流经物理以太网或 Wi-Fi 硬件驱动。

Q4 为什么开启抓包或 MITM 之后部分网页无法打开并提示证书不受信任#

这通常是由于本地根证书未在 macOS 钥匙串中完成全面信任。请打开“钥匙串访问”，在“系统”钥匙串中找到“Surge Root CA”，双击打开，展开“信任”设置，将“使用此证书时”明确修改为“始终信任”。此外，对于启用了 SSL Pinning 证书锁定的特定客户端，必须在 MITM 的 Hostname 设置中排除其域名，避免触发应用的主动防御。

Q5 Surge as Gateway 旁路网关模式会大幅增加 Mac 的耗电与发热吗#

在现代 Apple Silicon 芯片（M1/M2/M3/M4 系列）的加持下，Surge 的转发效率极其惊人。即便承担全屋几十台设备、持续数百兆带宽的网络流量转发，Mac mini 或 MacBook 的 CPU 负载通常也低于 5%，整机功耗增加不足 3 瓦，机身几乎感知不到发热，完全可以作为静音省电的软路由中枢常年稳定工作。

Q6 托管配置与本地模块 Modules 的加载优先级是怎样的#

在 Surge 的运行时合并体系中，本地启用的 Modules（模块）优先级高于托管配置中的基础参数。模块中声明的自定义规则集会被动态插入到托管配置规则的最顶端，模块中定义的通用参数也会安全覆写远程基础设定。这种精妙的设计保证了你可以放心地享受机场订阅的节点自动更新，同时永久保留个人量身定制的私有网络配置。

Q7 终端运行 curl 命令时提示 502 Bad Gateway 怎么排查#

502 Bad Gateway 意味着请求虽然成功递交给了 Surge 本地监听端口，但 Surge 在尝试通过策略组向外部目标建立连接时发生了严重故障。请打开 Dashboard 检查该请求命中的出站节点，大概率是因为当前选中的机场节点服务器发生了离线宕机、端口阻断，或是节点配置密码参数失效。切换至其他延迟正常的可用节点即可瞬间恢复。

Q8 为什么在 Proxy Group 中配置 url-test 容易导致网站频繁提示异地登录#

这是由于部分大型互联网服务（如 Google、GitHub、金融平台）具备严格的安全风控模型，会实时监测客户端连接的公网 IP。如果 url-test 容差参数设置过小（例如低于 20ms），微小的公网抖动就会导致出站节点在香港、日本、新加坡之间频繁摇摆，触发服务端的风控警告。对于带登录态的核心工作流，建议单独设立一个 select 手动选择策略组或 fallback 故障转移策略组以锁定出站 IP。

Q9 如何彻底关闭 Surge 避免卸载后系统全局无法上网#

如果因为某些原因需要完全退出 Surge，请切记不要在活动监视器中直接强杀进程。标准的优雅退出方式是：先在菜单栏图标中取消勾选“Set as System Proxy”并关闭“Enhanced Mode”，待系统代理设置与虚拟网卡完全平稳卸载恢复原生状态后，再点击菜单中的“Quit Surge”。直接强杀可能导致 macOS 网络偏好设置中残留无效的本地代理端口配置，导致后续网页打不开。

Q10 Surge 支持与其他本地网络调试工具如 Proxyman 或 Charles 共存吗#

完全可以平稳共存。Surge 提供了极为灵活的上游代理链（Proxy Chaining）机制与端口桥接能力。你可以将 Charles 或 Proxyman 设置为 Surge 的上游出站代理，也可以利用增强模式的进程分流规则，将特定应用的流量定向导流至其他专业抓包工具的监听端口，构建起全链路无缝协同的现代网络调试开发工作台。