alpha.4 将本地服务、云端轮询和源 Dot 调用分开显示。网络设置仅控制官方隧道的云端控制连接；不会更改系统代理、DNS、TLS、Codex、SSH 或桌面权限。各平台实际验收见支持矩阵。
在受保护的本机向导中打开“连接设置 → 网络连接”。已有配置没有网络字段时按 auto 读取，保存时保留其余设备设置。
| 模式 | 行为 |
|---|---|
自动 auto（默认） |
先读取 DotControl 当前进程中适用于 HTTPS 控制连接的代理变量，再读取当前用户系统中适用于该连接的静态代理；没有代理则直连 |
直连 direct |
不使用进程或系统代理 |
手动 manual |
使用本机页面保存的 HTTP / HTTPS 代理地址，地址中不能包含用户名或密码 |
自动模式的环境变量优先级为 DOTCONTROL_CONTROL_PROXY、CONTROL_PLANE_HTTP_PROXY、HTTPS_PROXY / https_proxy、ALL_PROXY / all_proxy。控制服务使用 HTTPS，因此不会回退到 HTTP_PROXY / http_proxy。这里的 HTTPS 指目标协议；所选代理本身可以使用 http:// 或 https://。发现不支持或无效的值会给出原因，不静默尝试其他路线。进程环境中的认证值仅用于子进程环境，不写入设备配置或诊断。
Windows 读取当前登录用户的 Internet Settings，选择 HTTPS 专用或未限定目标协议的静态代理；Mac 读取系统当前生效的 HTTPS 静态代理。两者都不会把仅用于 HTTP 目标的系统设置用于 HTTPS 控制连接。自动模式识别 NO_PROXY / no_proxy，以及所选系统代理的绕过规则；手动模式也尊重进程的 NO_PROXY / no_proxy。规则匹配云端控制服务时直接连接。DotControl 通过 --control-plane.http-proxy env:DOTCONTROL_CONTROL_PROXY 向官方客户端传递代理引用，命令行不含代理值。本机向导、MCP、隧道健康接口和桌面驱动连接始终直连，不继承云端代理。
本版不执行 PAC / 自动发现脚本，不支持仅 SOCKS 的配置，也不完成交互认证。系统配置提供适用于 HTTPS 目标的可用静态代理时可使用该静态地址；只有 PAC、SOCKS 或需要本机认证时明确报告限制。请在本机代理程序解决，或在向导选择已有的可用静态代理。不要把代理密码填入地址、聊天或日志，不关闭 TLS 检查。
保存设置后，向导显示“新的设置将在隧道下次启动时应用”，接口返回 queued_until_restart。自动模式也会约每分钟检查已有代理变化，发现新路线后标记 network_change_pending，但不终止运行中的客户端。最新设置只在子进程自然退出后的重启或下一次明确的本机重启时应用。设置已保存不表示新路线已连接，待处理状态可能持续到下次启动。
固定官方客户端 0.0.16 没有可证明请求无损结束的排空接口：一次成功轮询可能在工作入队前短暂显示空闲，正常退出信号也可能取消在途请求。因此零计数或短暂空闲都不足以允许代理热切换。DotControl 不因网络设置变化结束客户端，也不以“安全重连”承诺自动切换时间。不为清除待处理状态强制重启、重放未知请求或解除暂停／撤销；需要本机重启时先确认当前工作已结束，并独立核对不确定结果。
| 状态 | 能证明什么 |
|---|---|
| 本地服务就绪 | 本机向导和代理可响应；不证明云端看到设备 |
| 云端隧道在线 | 当前隧道进程本地就绪，且健康详情包含近期成功轮询，没有更新的失败证据 |
| 源 Dot 调用 | 本机曾收到 MCP 设备查询；源端仍须核对本次设备 ID、nonce 和返回结果 |
| 图片返回 / 图片显示 | MCP 返回图片和源 Dot 实际显示原图是两个独立结果 |
云端状态来自当前进程的 /health?details=true，校验进程实例、启动时间、快照和控制服务轮询详情。成功轮询的最大有效年龄为 max(90 秒, 2 × 轮询 deadline)。没有成功记录、记录过期、出现新失败、详情缺失或进程不匹配时，不显示为已连接；重启前的成功记录不能沿用。组合就绪值要求 local_ready 和有效的云端成功轮询同时满足。
/readyz 返回 200、隧道进程存在和官方 doctor 成功都不能代替上述证据。doctor --online 的 official_tunnel_doctor=configuration_validated 只表示配置通过官方检查；tunnel_cloud_connection 单独读取正在运行的 DotControl supervisor 状态。没有运行服务或只有旧版就绪状态时，云端连接仍是不可用或未确认。
源端工具目录仍须单独核对：本版 MCP 保持 13 个工具，网络设置只在本机页面开放。升级后在官方插件设置刷新工具，在实际源端会话检查目录；不要用历史 devices_seen 或本地能力状态代替。
先查看向导中的具体状态和脱敏诊断，再选择本机处理方式。仅按官方提供的明确证据分类超时、HTTP 状态、代理认证、运行密钥或隧道权限、成功记录过期。固定客户端通常只给出 network_error，不能据此区分 DNS 与 TLS，也不会从日志中的域名或凭据文字猜测原因。requires_local_proxy_auth 需要本机处理；运行密钥仅在向导的隐藏输入框更新，不通过聊天传递。
保留设备、插件和隧道身份，通过向导保存连接方式。不要同时启动第二个客户端占用同一隧道，不为应用设置强制终止运行中的进程；修复不表示代理路线已经更换。下次启动应用最新设置后，先等待新的成功轮询，再由源 Dot 调用同一插件验证；终端任务、桌面动作和图片交付继续分别验收。