為什麼只代理 claude.ai 和 api.anthropic.com 不夠
Claude Code 在實際運行中，除了核心對話請求，還會訪問 CDN 靜態資源、OAuth 認證服務、錯誤監控上報、AB 測試開關服務，甚至通過 UDP 訪問 NTP 伺服器校準時間。這些請求如果漏走了代理，會出現「核心請求走了海外出口，但監控/時間請求走了本地網路」的地域不一致，這類不一致恰恰是風控系統重點識別的信號。
核心域名之外，這幾類容易被漏掉
CDN 資源類的域名有時用的是非常規命名（比如某些 CDN 服務商的域名中間用連字符而非常規子域名格式），普通的「域名後綴匹配」規則抓不住，需要單獨精確匹配。監控上報類域名（如錯誤追蹤、效能監控服務）看起來和 Claude 無關，但一旦沒走代理，上報的 IP 和你請求 Claude 時的 IP 不一致，也可能被判定為異常。
最容易被忽略的是 NTP 時間同步——Claude Code 會用 UDP 請求時間伺服器來判斷本地時區。如果 NTP 走了本地直連，而你的其他流量走代理出海，兩邊報的「你在哪」就對不上了。很多代理客戶端預設不代理 UDP 流量，這個坑尤其容易踩。
IP 段兜底：域名規則失效時的最後一道防線
如果用了 DNS over HTTPS 加密解析，或者未來出現規則裡沒有的新域名，純域名匹配規則可能會失效。這時候把 Anthropic 已公開的 IP 段和 ASN 直接寫進兜底規則，能大幅降低域名規則漏配時流量意外洩露到本地網路的風險，讓指定出口的覆蓋更完整。
分流規則再全，出口IP本身的品質才是根本
把域名清單配得再完整，如果出口 IP 本身就是被大量共用、信譽已經很差的機房/機場IP，風控照樣會盯上你。分流規則解決的是「有沒有漏出去」的問題，IP 純淨度解決的是「出去的這條路乾不乾淨」的問題，兩者缺一不可。易聯的美國住宅IP從源頭讓出口畫像更乾淨，配合完整的分流規則使用效果更穩。
常見問題
因為 Claude Code 還會訪問 CDN、認證、監控上報、NTP 等十幾個相關域名，任何一個漏走代理，都會造成流量出口地域不一致，反而成為風控信號。
Claude Code 通過 NTP 判斷本地時區，如果這部分請求直連本地網路，會暴露和你代理出口不一致的時區資訊，是比較隱蔽的風控觸發點。
建議加上。當 DNS 加密解析或出現規則外的新域名時，域名匹配可能失效，IP 段兜底能確保流量依然強制走向指定出口。