JetStream security：Clash Verge Rev 订阅安全检查

更新于 2026-10-18 · jetstream.best

简答：如果你搜索的是 NATS JetStream，安全重点应放在认证、授权、账户隔离、TLS 和存储加密；如果你要检查名为 JetStream 的网络服务订阅，请在 Clash Verge Rev 中先核对订阅来源、HTTPS、配置内容、局域网监听、DNS 与虚拟网卡设置。本文是第三方使用指南，不是相关服务的官方安全声明。

定义：“JetStream security”通常指 NATS JetStream 消息系统的安全配置，但也可能被用来搜索某个网络服务的安全性；本文只处理后者在 Clash Verge Rev 中导入订阅前的客户端侧检查。

先判断你要查的是 NATS JetStream 还是网络订阅

“jetstream security”不能直接等同于 VPN 或订阅服务安全。NATS 官方文档中的 JetStream 是 NATS 的消息流与持久化组件，相关安全控制包括客户端认证、授权规则、账户隔离和 TLS。如果你的任务是部署或维护 NATS JetStream，应以 NATS JetStream 概念文档和官方安全文档为准，不要把本文的 Clash Verge Rev 检查步骤用于服务器配置。

NATS 官方还明确区分传输加密和静态加密：TLS 保护传输中的消息，JetStream 磁盘上的流数据与元数据则需要单独配置静态加密；相关配置属于 NATS 服务端范围，可参考 NATS Encryption & TLS 文档。

如果你是在查找名为 JetStream 的网络服务，本站是第三方使用指南站，不是该服务的官方站点。本文不确认其官方入口、价格、节点状态、测速结果、隐私政策或安全承诺；无法从公开资料核实的内容，统一按“未核实”处理。

导入前先检查订阅来源和敏感信息

确认订阅来源：只使用你能确认取得渠道的订阅地址，例如你自己的账户页面、明确的管理员通知或已知服务方提供的地址。不要直接使用搜索结果中的陌生短链、二维码或他人转发的完整配置。
检查链接协议：复制订阅地址后，确认它使用 https://，并检查域名拼写是否与取得渠道一致。HTTPS 只能保护请求传输过程，不能单独证明订阅提供方可信，也不能证明配置内容没有权限风险。
不要公开订阅链接：订阅地址可能包含访问令牌。不要将完整链接发到公开仓库、截图、工单或聊天群；分享日志时应删除订阅地址、用户名、密码、UUID、节点地址和 API 密钥。
保存原始记录：把首次取得订阅的时间、来源渠道和原始链接保存到本地密码管理器或加密笔记。后续出现配置变化时，才能区分正常更新、链接轮换和误导入其他文件。

Clash Verge Rev 的隐私说明指出，远程配置通常会保存在本地配置目录中，其中可能包含订阅 URL、代理地址、端口、密码和 UUID；远程配置更新时，客户端会向你提供的 URL 发起请求，订阅提供方可以看到该请求的来源 IP。详情可查看 Clash Verge Rev 隐私说明。

在 Clash Verge Rev 中按顺序核验订阅

确认客户端来源：从 Clash Verge Rev 项目的公开发布渠道取得安装包，版本号以其发布页为准。本文截至 2026-10-18 不固定指定某个版本号，避免把版本变化误写成安全要求。
进入订阅管理：打开 Clash Verge Rev，在侧栏进入“订阅”或配置文件管理页面。官方快速开始文档将这一流程称为导入订阅；如果你的界面仍显示英文，通常对应 Profiles 或订阅配置页面。粘贴订阅地址后先保存，不要立即开启“虚拟网卡模式”。
确认配置名称和更新时间：在订阅卡片或配置列表中核对名称、来源和更新时间。若名称与取得渠道不一致，或刚导入就出现多个陌生配置，不要继续启用，先删除该条目并重新确认来源。
查看配置文件内容：打开配置详情或配置编辑入口，检查 proxies、proxy-groups、rules、DNS、远程规则集和脚本等字段。重点留意陌生的外部资源地址、与使用目的无关的规则、异常脚本以及不必要的远程配置引用。配置能够成功解析，不代表来源或内容一定安全。
检查局域网访问：进入“设置”中的 Clash 设置，查看“允许局域网连接”或对应的 Allow LAN 开关。没有局域网共享需求时，不要主动开启。Mihomo 文档说明，监听地址、系统路由和防火墙共同决定入站是否可能被网络访问；监听 0.0.0.0 会绑定所有网络接口，因此不应把未加密的 HTTP、SOCKS 或 Mixed 入站直接暴露到互联网，可参考 Mihomo 入站配置文档。
先测试系统代理：先只打开“系统代理”，选择你能识别的代理组或节点，测试浏览器是否按预期工作。Clash Verge Rev 官方快速开始文档说明，“系统代理”会修改操作系统代理设置，而 TUN 模式用于接管不支持系统代理的程序；因此第一次核验不应同时开启两个模式，可参考 Clash Verge Rev 快速开始文档。
再单独测试虚拟网卡：需要接管命令行、部分桌面程序或不支持系统代理的应用时，进入“设置 → 系统设置”，单独开启“虚拟网卡模式”。项目中文界面文件将对应选项标为“系统代理”和“虚拟网卡模式”；项目说明还提示，虚拟网卡模式需要服务模式或管理员模式，并且启用后不需要同时打开系统代理，可参考 Clash Verge Rev 中文界面设置。
查看连接和日志：打开连接列表和日志，核对请求命中的规则、实际使用的代理组、DNS 请求和失败原因。日志可以帮助你观察客户端行为，但不能替代对订阅来源、服务商隐私政策或服务器安全的核实。

DNS、fake-ip 和 TUN 模式如何避免误判

在 Mihomo 配置中，dns.enhanced-mode 可设置为 fake-ip 或 redir-host；dns.fake-ip-range 用于设置 fake-IP 地址段，TUN 的默认 IPv4 地址也会参考该值。因此，开启 fake-IP 或 TUN 后看到 198.18.x.x，不能仅凭这一结果判断为公网地址泄露。具体参数可查看 Mihomo DNS 配置文档。

排查时按下面顺序记录设置，不要一次改动多个变量：

确认 dns.enable 是否为 true；如果为 false，Mihomo 会使用系统 DNS。
确认 enhanced-mode 当前是 fake-ip 还是 redir-host。
检查 fake-ip-range 和 fake-ip-filter，尤其是局域网域名是否按实际需求处理。
进入 Clash Verge Rev 的“设置 → Clash 设置”，查看“DNS 覆写”是否启用。若启用，需把它与当前配置文件的 DNS 参数一起核对，不能只看订阅原文。
如果使用 TUN，检查 dns-hijack、auto-route 和 strict-route。Mihomo 文档说明，dns-hijack 会把匹配的连接导入内部 DNS 模块；Windows 和 macOS 无法自动劫持发往局域网的 DNS 请求，Android 开启“私人 DNS”时也无法自动劫持。

对于 TUN 的 DNS 关系，应具体理解为：dns-hijack 负责把匹配的 DNS 连接导入内部 DNS 模块，enhanced-mode: fake-ip 决定 DNS 返回 fake-IP 的处理方式，二者是不同配置项。不要把一次 nslookup 输出当成完整的 DNS 泄漏结论。需要进一步核对时，可查看 Mihomo TUN 配置文档。

出现异常时的处理顺序

先停用配置：如果订阅跳转到陌生域名、导入后增加大量未知远程资源、日志持续请求不认识的地址，先关闭该配置，不要继续测试更多节点。
删除本地副本：从订阅列表中移除异常配置，并清理手动保存的 YAML 文件、截图和剪贴板内容。
处理已暴露的令牌：如果完整订阅链接已经公开，联系你取得订阅的服务方，确认是否支持链接轮换。不同服务的轮换机制未核实，不要假设删除消息后令牌已经失效。
恢复网络开关：关闭“系统代理”和“虚拟网卡模式”，确认浏览器、命令行和其他应用恢复到原本的网络路径。
保留脱敏证据：保存错误发生时间、日志片段和配置变化记录；对外分享前遮盖订阅令牌、账号、密码、UUID、内网地址和完整节点信息。

连接失败本身不能直接证明服务不安全，也可能由订阅过期、配置格式错误、DNS 解析失败、系统代理未生效、虚拟网卡权限不足或其他网络软件冲突造成。应先用“只开系统代理”和“只开虚拟网卡模式”两组测试分离变量。

判断边界与结论

如果你的真实问题是 NATS JetStream 安全配置，应重点阅读 NATS 官方资料中的认证、授权、账户隔离、TLS 和静态加密说明；如果你的真实问题是某个网络服务订阅，则本文的结论只能覆盖客户端侧核验：来源是否可确认、链接是否使用 HTTPS、配置是否出现异常远程资源、局域网监听是否必要，以及 DNS 和 TUN 参数是否符合预期。

Clash Verge Rev 能够导入配置并建立连接，不等于订阅提供方可信，也不等于节点长期可用，更不能证明服务商的隐私处理、服务器安全或经营状态。相关信息未核实前，应保留“未核实”结论，不要把客户端成功连接当作安全认证。

Clash Verge Rev 导入 JetStream 订阅前的检查表

检查项目	具体操作	不能据此推断的结论
搜索意图	先区分 NATS JetStream 安全配置与网络服务订阅检查	不能把两个名称相同的对象当成同一服务
订阅来源	确认取得渠道、域名拼写和 HTTPS	不能证明服务商一定可信
配置内容	检查代理、规则、DNS、远程资源、脚本和局域网监听	不能证明节点长期可用或没有隐私风险
运行模式	先只开系统代理，再单独测试虚拟网卡模式	不能把成功连接等同于安全认证
DNS 与 TUN	核对 enhanced-mode、fake-ip-range、fake-ip-filter、dns-hijack 和 strict-route	不能仅凭 198.18.x.x 或一次 nslookup 判定泄漏
异常处理	停用配置、删除副本、保护令牌、恢复网络设置	不能替代服务方的安全说明或凭据轮换

常见问题

“jetstream security”主要是在问 VPN 安全吗？

不一定。更常见的技术语境是 NATS JetStream 的认证、授权、TLS 和存储加密。如果你实际要检查某个网络服务订阅，本文只处理 Clash Verge Rev 导入前的客户端侧核验，不能代表该服务的官方安全结论。

订阅导入后可以正常连接，是否说明它安全？

不能。正常连接只说明客户端能够解析当前配置并建立连接，不能证明订阅来源可信、配置没有异常远程资源，也不能证明服务商的隐私处理和服务器安全。

看到 198.18.x.x 的 DNS 结果是不是泄漏？

不一定。Mihomo 文档说明，fake-IP 地址段由 `fake-ip-range` 设置，TUN 默认 IPv4 地址也会参考该值。开启 fake-IP 或 TUN 时，198.18.x.x 可能是虚拟解析结果，应结合 DNS 模式、`dns-hijack`、连接日志和实际流量路径判断。

第一次导入订阅要不要直接开启虚拟网卡模式？

不建议同时打开多个变量。先在“设置 → 系统设置”中只开启“系统代理”，确认配置和日志正常后，再关闭系统代理并单独测试“虚拟网卡模式”，这样更容易区分订阅、DNS、权限和路由问题。

订阅链接泄露后应该怎么办？

立即停用该配置，删除公开位置的链接和本地明文副本，并联系你取得订阅的服务方确认是否支持链接轮换。不同服务的失效和轮换机制未核实，不要假设删除消息后令牌已经失效。

NATS JetStream 的静态加密和 Clash Verge Rev 订阅检查是一回事吗？

不是。NATS JetStream 静态加密属于服务端磁盘数据保护；Clash Verge Rev 订阅检查属于客户端来源、配置权限、DNS 和流量接管设置核验，两者的对象和操作位置不同。