中国用户用 Claude，账号本来就处在高风险状态：Claude 不支持中国大陆，“从不支持的地区创建账号”是官方明确列出的封号理由。所以很多人首先关注的是账号行为，但从实际情况看，大多数封号和风控验证的起因不在你聊了什么，而在你的网络环境：IP 是机房的、DNS 泄露了真实位置、IPv6 绕过代理直连、出口一天换三个地区。
%% caption: 常见的泄露点：红色虚线是三种绕过代理的情况——IPv6 直连、DNS 查询发给本地运营商、WebRTC 通过 UDP 直连，都会把真实位置暴露给风控
flowchart LR
C["你的电脑"] -->|"A 记录（IPv4）
命中代理规则"| P["代理出口
住宅 IP"]
P --> S["Claude / api.anthropic.com"]
C -.->|"AAAA 记录（IPv6）
没命中规则，直连"| S
C -.->|"DNS 查询直连"| DNS["本地运营商 DNS"]
C -.->|"WebRTC
通过 UDP 直连"| S
class P ok
classDef ok fill:#dbeafe,stroke:#2563eb,stroke-width:1.5px,color:#0a0a0a
linkStyle 2,3,4 stroke:#dc2626,stroke-width:2px
这篇文章是一份网络环境配置清单，思路很简单：你的网络特征越贴近受支持地区的真实家宽环境，Claude 就用得越稳。需要说明的是，这些措施只能降低触发风控的概率，不能保证不封号。地区限制本身绕不过去，账号能用多久始终有不确定性。
出口 IP：最重要的一项
Anthropic 通过 IP 的属性、信誉和历史记录判断请求是否可信。IP 类型从好到差排列：
IP 类型说明评价住宅/家宽 IP运营商分配给家庭宽带的动态 IP，看起来就是普通家庭上网推荐高质量原生 IP注册地和使用地一致的 VPS IP（不是广播 IP），IP 段没被滥用过次优数据中心常见段AWS/GCP/Azure 等云厂商 IP，大量被代理和爬虫使用避免共享代理 IP几百人共用一个出口，信誉不可控避免
廉价机场和免费 VPN 的出口基本都属于后两类。选 IP 时顺便查一下 fraud score（根据 IP 历史行为打的风险分），超过 40 分就直接换。就算你自己什么都没做，也会被这个 IP 之前的使用者连累。
IP 稳定性：家宽 IP 可以变，机房 IP 要固定
这一条有点反直觉，但很关键：IP 的变化方式要符合它的类型。
用的是住宅 IP：偶尔换 IP 完全没问题。家庭宽带本来就会定期更换动态地址，这是正常现象，一个从来不变的家宽 IP 反而不正常。
用的是机房 IP：必须固定一个出口长期使用。频繁切换机房 IP 会触发异常行为检测，导致账号被限速甚至 API 频繁报错。
很多人就是在这里被封的：用的是机房 IP，却像家宽一样天天换节点。
DNS 必须走代理：最隐蔽的泄露点
DNS 泄露是很多人被风控却百思不得其解的核心隐患。如果 DNS 查询没走代理，直接发给了本地运营商的 DNS 服务器，就会出现矛盾：连接 IP 显示在海外，DNS 查询却暴露你在中国大陆。这种地区不一致会触发风控，且在本地代理日志里往往毫无异常，极难排查。
解决方法是使用代理内的加密 DNS（DoH）：
"dns": {
"servers": [
"https://1.1.1.1/dns-query",
"https://8.8.8.8/dns-query"
]
}
配完之后一定要做一次 DNS 泄露检测，确认 DNS 查询的出口和代理出口在同一个地区。
禁用 IPv6：一行配置就能避开一类问题
这可能是最容易被忽视的一项。问题在于：你配的代理规则大多只匹配 IPv4，而 Anthropic 的服务同时有 A 记录（IPv4）和 AAAA 记录（IPv6）。结果是 IPv4 请求命中规则走了代理，IPv6 请求没命中规则，直接从本地网络发了出去。你以为流量都走了代理，实际上 IPv6 的部分没走，自己也察觉不到。
家宽 IPv6 还有第二个问题：运营商会定期更换你的 IPv4 动态地址，但 IPv6 前缀基本不变。同一个 /48 段里其他用户的不当行为会持续拉低这个段的信誉，而你一直在用它。
在代理环境下，IPv6 会带来这些问题：
分流失效：AAAA 记录的流量走了直连，绕过代理；
IPv4 和 IPv6 出口不一致：IPv4 走日本代理、IPv6 从本地出去，平台会看到同一个账号的请求来自两个地方，结果是验证变多、API 请求不稳定，甚至被限速；
DNS 解析不一致：AAAA 记录走本地运营商 DNS、A 记录走代理 DNS，两边解析结果不同，地区对不上；
连接时快时慢：“第一次慢、第二次快”往往是系统先尝试 IPv6，超时后才回退到 IPv4 走代理；
规则命中率下降：domainStrategy 为 IPIfNonMatch 时，IPv6 流量很容易绕过代理规则。
最推荐的做法不是全局关闭 IPv6，而是让代理相关的流量强制走 IPv4。可以在代理客户端里把 domainStrategy 设为 ForceIPv4 或 UseIPv4，更简单的办法是在配置文件里加一行：
# 严格关闭 IPv6
ipv6 = false
加上之后，客户端会拒绝所有 IPv6 连接，全部流量走 IPv4，重启客户端后生效。如果想更彻底，也可以在系统层面关闭：Linux 用 sysctl -w net.ipv6.conf.all.disable_ipv6=1，macOS 在网络设置里把 IPv6 配置改为”关闭”，Windows 在网络适配器属性里取消勾选 TCP/IPv6，或者直接在路由器里关闭 IPv6 地址分配。
Claude 单独分流：完整域名规则
Claude Code 运行时访问的不只是 claude.ai 和 api.anthropic.com，还会拉取 CDN 资源、进行 OAuth 认证，并向上报错误监控与性能指标，加起来有十几个域名。任何一个没走代理，都可能造成 DNS 泄露或地区不一致：比如监控上报用的 IP 和 Claude 请求的 IP 对不上，这本身就会被当作异常。
核心域名（必须走代理）：anthropic.com、claude.ai、claude.com、clau.de（短链接跳转）、claudemcpclient.com、claudemcpcontent.com（MCP 通信）、claudeusercontent.com（用户内容和附件）。
CDN 和认证：cdn.anthropic.com、anthropic.com.cdn.cloudflare.net（Cloudflare 节点）、servd-anthropic-website.b-cdn.net（BunnyCDN）、anthropic.auth0.com（OAuth 登录）、anthropic-com.ghost.io（博客/CMS）。
监控和数据上报：sentry.io（错误监控）、statsigapi.net（功能开关和 A/B 测试），另外还有三条容易配错的：
browser-intake-us5-datadoghq.com：Datadog RUM 前端性能数据的上报地址。注意它是一个完全独立的平级域名（与 datadoghq.com 并列，而非其子域名），中间是连字符 - 而不是点，DOMAIN-SUFFIX,datadoghq.com 这种后缀规则匹配不到它，必须单独写一条精确匹配；
keyword: datadog：兜底规则。Datadog 在不同区域有不同的上报地址（us5/us3/eu1/ap1），用关键词匹配，即使还没补上新的精确域名也能覆盖到；
keyword: sift：匹配反欺诈检测服务 Sift。
第三方组件：intercom.io、intercomcdn.com（在线客服）、cdn.usefathom.com（访问统计）。如果你只用 API、从不打开网页版和 Console，可以把这三条设成 REJECT 节省流量；但只要会用 claude.ai 网页版或支付页面，建议让它们也走代理，保持出口一致，避免因 IP 冲突触发风控。
IP 段和 ASN 兜底：当域名规则失效时（DoH 加密了 DNS 解析、ECH 加密了 SNI、客户端用了新域名），基于 IP 的规则是最后一道防线：
IP-CIDR,160.79.104.0/21,no-resolve
IP-CIDR6,2607:6bc0::/32,no-resolve
IP-ASN,399358,no-resolve
160.79.104.0/21 是 Anthropic 自有的 IPv4 段，AS399358 是它的自治系统号。no-resolve 表示匹配这条规则时不主动触发 DNS 域名解析，从而减少额外的查询开销与首包延迟；IP 规则要放在域名规则之后，优先用更精确的域名匹配。ASN 匹配需要客户端内置 GeoIP/ASN 数据库，不支持的话只用两条 IP-CIDR 也能覆盖主要流量。
NTP 不是时区泄露的途径（常见误解）：有资料说 Claude Code 会通过 UDP 访问 NTP 时间服务器来判断你的时区，但 NTP 协议只传递 UTC 时间，不包含时区信息。Claude Code 的官方网络需求列表里也没有任何 NTP 域名。规则清单里的 geosite:category-ntp 可以保留，它的作用只是让 NTP 请求也经过代理，与时区判断无关。如果担心时区暴露问题，更应该检查本地系统的时区设置是否与代理出口所在地保持一致。
完整配置（可直接复制）
# 核心域名
DOMAIN-SUFFIX,anthropic.com
DOMAIN-SUFFIX,claude.ai
DOMAIN-SUFFIX,claude.com
DOMAIN-SUFFIX,clau.de
DOMAIN-SUFFIX,claudemcpclient.com
DOMAIN-SUFFIX,claudemcpcontent.com
DOMAIN-SUFFIX,claudeusercontent.com
# CDN 和静态资源
DOMAIN,servd-anthropic-website.b-cdn.net
DOMAIN,anthropic.com.cdn.cloudflare.net
# 认证 / 内容
DOMAIN,anthropic.auth0.com
DOMAIN,anthropic-com.ghost.io
# 监控和遥测
DOMAIN-SUFFIX,sentry.io
DOMAIN-SUFFIX,statsigapi.net
DOMAIN,browser-intake-us5-datadoghq.com
DOMAIN-KEYWORD,datadog
DOMAIN-KEYWORD,sift
# 客服 / 第三方组件
DOMAIN-SUFFIX,intercom.io
DOMAIN-SUFFIX,intercomcdn.com
DOMAIN,cdn.usefathom.com
# IP 段 / ASN 兜底
IP-CIDR,160.79.104.0/21,no-resolve
IP-CIDR6,2607:6bc0::/32,no-resolve
IP-ASN,399358,no-resolve
还可以再加上按分类和关键词匹配的兜底规则，漏配时也能覆盖到更多请求：geosite:anthropic、keyword:datadog、keyword:sentry、keyword:sift、geosite:category-ntp。
规则顺序很重要：这组规则必须放在分流配置的最前面，优先级要高于 geosite:geolocation-!cn 这类通用规则，否则 Claude 的请求可能被分到不同的出口，甚至走了直连。配好后用分流测试确认 claude.ai 和 anthropic.com 走的是同一个出口，最后再做一次 DNS 泄露和 WebRTC 泄露检测。
%% caption: 分流规则的匹配顺序：先匹配 Claude 域名规则，域名漏配时由 IP 段和 ASN 规则兜底，不让 Claude 的请求落到通用规则里
flowchart TD
Q["Claude Code 发出请求"] --> A{"命中 Claude 域名规则？
（域名后缀 / 精确匹配 / 关键词）"}
A -->|"是"| P["走指定的代理出口"]
A -->|"否（域名漏配 / SNI 被加密）"| B{"命中 IP 段或 ASN 规则？"}
B -->|"是"| P
B -->|"否"| X["落到通用规则
可能直连或换了出口"]
class X bad
classDef bad fill:#fee2e2,stroke:#dc2626,stroke-width:1.5px,color:#0a0a0a
进阶配置：让流量更像正常用户
上面几项是必须做的，下面这些能进一步提高稳定性：
TLS 指纹模拟浏览器。 代理工具默认的 TLS 握手指纹和真实浏览器不一样，Anthropic 可以据此识别出这不是正常的浏览器流量。在配置里加上 "fingerprint": "chrome"，让握手特征和 Chrome 一致。
只用 TCP，不走 UDP。 Claude Code 的请求本质上是基于 TCP 的 HTTPS。放行 UDP（QUIC）容易丢包、不稳定，还可能绕过代理规则，或者通过 WebRTC 泄露真实 IP。在配置里设置 "network": "tcp"。
保持连接复用。 Claude Code 工作时会频繁发送 API 请求，如果每次都重新建立 TCP 和 TLS 连接，高频的短连接很容易呈现出机械化的脚本特征，引发风控警觉。开启 keep-alive，不要频繁断开重连代理。
控制并发。 多个 Claude Code 任务共用一个出口 IP 时，短时间内并发过高会被限速。单个 IP 的并发控制在 5 个以内，需要更高并发就用多个出口分担。
网络路径要短。 出口到 Anthropic 服务器的路径直接影响延迟和稳定性：亚洲到亚洲最好，亚洲到北美西海岸可以接受，要避免亚洲经欧洲再到北美这种绕路。
如果还是触发了验证或封号
网络环境配得再好，也不能保证完全不触发，地区限制毕竟绕不过去。真的遇到身份验证弹窗或账号被禁用时，处理方法和网络配置是两回事，随手点验证反而可能让系统从”怀疑”变成”确认异常”。具体怎么处理可以看这篇：Claude 身份验证怎么办？先分清是风控验证还是证件核验。申诉前先确认 IP 没有问题，否则提交申诉只会让账号看起来更可疑。
总结：最关键的 5 条
用干净的住宅/ISP IP，fraud score 低于 40；
DNS 走代理（DoH），配完做泄露检测；
禁用 IPv6，加一行 ipv6 = false 即可；
出口不要乱换：家宽 IP 可以变，机房 IP 要固定；
Claude 单独分流，优先级高于所有通用规则。
简单说，Claude Code 稳不稳定，取决于 IP、DNS、网络路径，以及这些信息之间是否一致。这几项都处理好，触发风控的概率就能降到最低。
参考：为什么不建议用 IPv6 访问 Claude Code - Net.Coffee · Claude Code 稳定使用指南：11 项关键配置 - Net.Coffee · Claude Code 域名分流规则大全 - Net.Coffee · Identity verification on Claude - Claude Help Center