折腾一天家里网络，终于搞完了。
场景一：访问 baidu.com（中国网站）

手机访问 baidu.com
→ DNS 查 Pi → mihomo 返回真实 IP 110.242.68.x
→ TCP 连 110.242.68.x
→ BE3600: ipset chnroute 命中中国 IP → RETURN
→ 直接走 WAN 口出去 → 到达百度
不碰 Pi，不走代理，零额外延迟。

场景二：访问 google.com（被墙网站，正常 DNS）

手机访问 google.com
→ DNS 查 Pi → mihomo Panda 规则: 没命中 DIRECT → 返回 fake-IP 198.18.0.x
→ TCP 连 198.18.0.x
→ BE3600: 198.18.0.0/16 静态路由 → 发给 Pi
→ Pi TUN 拦截 → mihomo 查 fake-IP 表: 这是 google.com → MATCH → Proxy
→ 走代理出去
场景三：Telegram APP 直连 IP（不走 DNS）

Telegram 直接连 149.154.167.92
→ 没有 DNS 环节，直接 TCP/UDP 到 149.154.167.92
→ BE3600: ipset chnroute 不匹配 → MARK 0x1
→ ip rule: fwmark 0x1 → table 100 → 下一跳 Pi
→ Pi TUN 拦截 → GEOIP 不是 CN → MATCH → Proxy