真不是 GFW 的乌龙吗，DNS 污染功能污染到不该污染的网站了，用来污染的 IP 也没被路由黑洞

这种搜索服务不是海外全是吗？ Brave Web Search, Exa, Tavily, Parallel 。

海外大多数都是 5 美元/千次的定价，然后每月免费 1000 次。

“缓存永久保留”和“永久缓存”也不是一回事，这个是要你反复进行对话才能刷新缓存过期时间的，结合 12 个小时的长效缓存，需要你每天在同一个会话上工作才能达到缓存不过期的效果。或者使用某些 Agent 软件提供的“缓存保温”功能（相当于每隔一段时间就在当前会话上自动发 1 个字的消息）。

纯粹就是翻译问题，应该叫“持久化缓存”，就是会存到硬盘上的缓存。

以前除了 DeepSeek 官方以外很少有供应商提供这种缓存，都是内存缓存，有效期以分钟计（一般只有 5~10 分钟），你稍微休息一会儿再发提示词，甚至工具调用时间长一点，缓存就会过期，过期之后下一轮就要全价计费。

有了“持久化缓存”之后，缓存有效期就可以有数小时，你中间休息 15 分钟什么的都不会导致多计费，很划算。

@Julaoshi 你这是装外宾吗，开外卡伪造海外居住地址都是币圈、网上兼职圈等已经玩烂了的，很多国外机构就是草台班子，哪里会验永居身份，KYC 用的水电账单这种居住证明随便找人代开。虽然很容易被关户，但是开个卡稍微用一用还是很简单的。还不到间谍这个级别。

浏览器可以设置内置 http/socks 代理（ Chrome 借助 SmartProxy 或者 ZeroOmega 之类的扩展，Firefox 直接设置），可以作为常驻设置，不依赖代理软件自身的系统代理/tun 模式。

我平常都是浏览器常驻 SmartProxy 的智能模式（黑名单模式，默认直连，订阅 GFWList ，另外额外加了几个手动规则），只要开启代理软件（不需要开系统代理/tun 等任何系统级代理模式，不影响任何其它未配置的软件）浏览器就可以走代理，忘开代理访问被墙网站直接报错，其它网站直连不影响。

同时代理软件本身分流功能也保持运作（白名单模式，默认代理，绕过大陆和局域网），作为兜底保障，有特殊需求的时候浏览器 SmartProxy 一键切到全局模式，纯靠代理软件白名单分流，覆盖海外网站更广。

总而言之：
- 浏览器插件模式（插件黑名单+代理白名单，精准分流被墙网站；插件全局+代理白名单，广泛覆盖海外网站）按需切换着使用
- 其它刚需代理的软件（ Git 、开发工具、AI Agent 工具）独自设置 HTTP 代理选项（通过内置设置界面/config/环境变量等方式）不依赖系统级设置
- 代理软件后台仅待机常驻，非必要情况下不开系统级的代理设置（包括系统代理/tun ），主要依靠各路软件独立应用 HTTP 代理设置。

唯一需要注意的就是：这种方法不能代理浏览器的 WebRTC ，需要另装一个防 WebRTC 泄漏 IP （禁用 WebRTC P2P ）的插件。

以上这种是我使用过后个人感受的 PC 端最好的代理方案，十多年前 ss 时代一直用到现在，有两个好处我认为是可以彻底解决你用代理的两个痛点：
1. 代理软件可以后台挂机，不影响其它无需代理的软件。
2. 如果忘开代理软件，刚需代理的软件会直接报错无法连接，不会误走直连。

@xiaoxiaodong 不能拿这种大型 toC 互联网产品的方案来解释一切，很多其它类型的项目根本不走互联网的云原生、微服务的逻辑，走的是将原有的巨型单体应用粗粒度模块化拆分+集群化部署的伸缩方式：
- 集群中的每个业务节点运行完整的单体应用，只是会根据当前服务器角色只运行对应的业务逻辑
- 数据库也是集中式的，不会根据业务模块拆分不同的库，只做 sharding （通常意义上的分库分表）

他们会需要这种高配单机。

@qwer666df 不是所有项目都是全量上云的，很多传统项目，都是自有机房承载核心业务逻辑（什么算核心业务逻辑，主要是涉及重要业务数据处理和持久化的，尤其是持久化部分会特别重视，有些场景下甚至会用独立物理机专门承载数据库服务器，不放进 k8s 等常规业务节点的运维体系里），云上只放特定功能的边缘节点。

实机测试过了，Immich 是支持 Podman 的，我用的是 Podman 配合 docker-compose-v2 二进制包，docker-compose.yml 稍加修改之后就可以用 `sudo podman compose up -d` 正常运行了。

目前发现有几个问题，但都很好解决：
1. Podman 识别不了有些 docker 镜像里的 health check ，而 immich 的 docker-compose.yml 默认开了 health check 会导致启动失败，需要参考它的源代码里的 Dockerfile ，在 yml 里手工重写一遍 healthcheck 的 test 命令
2. 启动依赖可能有点问题，有时候 immich-server 会在数据库启动完成之前启动导致报错，可以修改 yml 把依赖项配置里面手工加上`condition: service_healthy`的条件（需要先按照 1 修好 healthcheck ）
3. Podman 不支持`restart: unless-stopped`开机自启，如果用`restart: always`可以借助 podman-restart.service 开机自启但是会有依赖顺序问题。最好去掉自带的开机自启，自己写一个 systemd service 通过 compose start/stop 来启停服务

另外 Immich 吃配置主要是它的机器学习组件，如果你不开这些功能的话 3~4 GB 内存就够了。

如果故意运营一个看不出是中国人的 GitHub 账号是不是能骗过它

@NaganoMei Exa 有一个免费且不需要 API Key 的 MCP ，如果你用的软件内置不需要配置的 Exa 搜索的话，一般来说用的就是这个。

免费但是有限，一天大约可以请求 100~200 次，然后限流非常严格，只有 2 QPS

就是分流配置的问题。因为富途是深圳的公司，它的前端网页以及交易后端 API 的域名在大陆都是能解析到大陆 IP 的，各种梯子软件的默认规则配置都是会命中绕过规则跳过代理。一定要手动加相关规则才行。如果不会用的话也可以改全局模式。

@shum0412 新平台适配差的问题，可以换用更新激进的发行版来解决，例如 Fedora ，Ubuntu （不考虑是否 LTS 的最新版），Archlinux 等，这些发行版内核新，对新硬件的适配要比只用 Ubuntu LTS 要好。

@oriver 改系统 dns 服务器，解决不了单用国内 DNS 有污染，单用远程 DNS 响应慢且会把国内大厂网站解析到国外 CDN IP 的问题。要完美解决代理 DNS 问题必须靠 DNS 分流，也就必须使用 geosite 规则，不可能仅靠 geoip 规则。

因为 DNS 。

如果只用 geoip ，所有域名全部解析成 IP 再根据 geoip 判断的话：
1. 国内 DNS 解析会被污染，结果不可靠，而且会把你翻墙访问的域名泄漏给运营商
2. 远程 DNS 解析，不仅速度慢，而且会把某些国内大厂的网站解析到国外 CDN 的 IP ，本来不用走代理的网站走了代理

所以说合理的代理软件规则配置只用 IP 规则(geoip)是效果肯定不好的，一定要搭配域名规则(geosite)来用，至少搭配一个 geosite=cn：
1. 国内网站匹配到域名直接绕过，不用等解析完 DNS 再决策
2. 可以实现 DNS 分流，国内域名查询国内 DNS ，海外域名过代理远程查询海外 DNS ，既可以保障 DNS 查询结果准确又可以提高性能

@kero991 你说的是不是 libhoudini ，就是 Intel 做的能让安卓 x86 安装运行仅支持 arm 的安卓应用的那个兼容组件

@nnnnweeeee WebRTC 泄漏装一个开关扩展就好了，平时禁用 WebRTC P2P ，网络会议等有需要的情况再手动打开。

@Donahue 宿主机的 mihomo 有使用 root 运行吗，创建 tun 是需要权限的，要么直接用 root 运行，要么用别的方式让它有 NET_ADMIN 权限。docker 能用是因为 docker 默认就是 root 身份运行的。

有的服务器就是故意全开的，或者防火墙用 REJECT 不用 DROP 。这样扫描的结果就是会有 ICMP Port Unreachable 回包，和正常情况下无程序监听端口的效果一样，伪装性更强。
如果是普通防火墙 DROP 模式过滤端口的话，扫描器扫出来会标记 filtered ，反而是一种特征。