Claude 防护总结 一、本机防护 账号与设备层 确认全环境仅一个 Claude 账号，无旧号/多号残留；设备标识唯一且与账号同源 OAuth 凭据存放在 macOS 钥匙串，本地无明文凭据文件 无风险性残留（无旧设备注册文件、无遥测目录、无 Claude 桌面客户端） 遥测与数据层 关闭全部四项遥测上报（非必要流量、遥测、错误上报、Do not track），并已在程序二进制中确认相关开关真实生效；原配置已备份 9 个代码项目配置 .claudeignore ，阻断构建产物等大体积文件被索引进上下文 已清理可再生构建产物（30G→53M），收敛暴露面 全环境无第三方中转/套壳变量（无自定义 API 端点、无注入的 API Key） 浏览器层（Claude 专用隔离浏览器） 浏览器指纹一次生成永久固定，会话持久保留 时区、语言、地理位置与 VPS 所在地对齐 WebRTC 强制走代理，防真实 IP 泄漏 代理指向本机 Clash， 断链即断网 ，物理上杜绝直连 二、Clash 设置 TUN 全局接管 ：strict-route + 自动路由，默认路由指向虚拟网卡，系统内任何流量（含终端）无法绕过代理直连 系统代理关闭 ：纯 TUN 单通道接管，不留系统代理/TUN 双通道绕过面 DNS 防泄漏 ：fake-ip 模式 + 劫持所有 53 端口 DNS 查询，明文 DNS 不外泄 分流策略极简且偏保守 ：无 Claude 专属分组，未命中国内 IP 的一律走代理（MATCH→Proxy），语义是“宁全走代理、绝不直连” 无自定义加密 DNS（DoH） ：不引入额外旁路 节点全部自建 ：仅收录两个自有节点（VLESS+Reality 与 Hysteria2），无第三方机场节点，出口 IP 完全可控且恒定单一，节点切换不产生 IP 跳变 本地控制接口收敛 ：外部控制 API 仅经本机 Unix socket 访问，不对局域网开放 隔离浏览器接入同一链路 ：经本机代理端口进入 Clash 分流体系，Clash 断链即断网，防直连语义全量继承 实测验证 ：出口 IP 与 VPS 一致，无中国 IP 直连记录 三、VPS 防护 防火墙 ：默认拒绝所有入站，仅放行 SSH 与两个代理协议端口，无多余监听服务 双协议节点 ：VLESS+Reality（域名伪装）+ Hysteria2，均自带协议层认证 SSH ：实际生效配置为仅密钥登录（密码登录已在 SSH 层关闭，尽管主配置文件存在干扰项）；root 密码通道不可用 fail2ban ：持续拦截 SSH 爆破，累计封禁数百个攻击 IP IPv6 全禁 ：消除 v6 侧绕过面 订阅接口 ：HTTP Basic Auth 鉴权，无凭据返回 401，已实测验证 2 个帖子 - 1 位参与者 阅读完整话题

  • 情报分类：服务器与云资源
  • 分类依据：内容涉及服务器、云资源或网络线路
  • 信息来源：服务器 / LINUX DO - 最新话题
  • 发布时间：2026/10/19 13:54:29