一、先把名詞放回「企業工具鏈」而不是單一捷徑

Microsoft Foundry在實務上常扮演模型目錄、治理、金鑰與部署邊界的整合層，底層仍會回到Azure 訂閱、區域可用性與組織政策。GPT‑5.2‑Codex這類商業命名若出現在延伸說明或服務刀鋒，通常代表特定世代與配額被綁在某一Azure OpenAI資源上，而不是單純把瀏覽器指到一般聊天入口就能替代。也因此，只要你的網路策略還停留在「看到 microsoft.com就直連」或「看到 AI 關鍵字就全走機場」，就很容易在登入成功但推論失敗、或第一次編譯建議成功、第二次全掛這類路徑分裂症狀上打轉。

本文假設你已能匯入訂閱並啟動核心；若基礎仍不穩，可先跑《Clash 訂閱連結怎麼用？》，再把心思放回分流規則與日誌。

二、和「OpenAI 代管 Codex」相比，Azure 線多了哪些主機族？

站內OpenAI Codex 稿著重帳號鑑權、主控台靜態與 api.openai.com 家族；一旦改走Azure OpenAI，你會額外看見區域化主機（常見型態如 *.openai.azure.com 或部署時指派的自訂端點）、Azure Resource Manager相關呼叫、以及與金鑰輪替、用量匯出、原則檢查有關的管理面 API。這些請求若與實際推論 WebSocket／HTTP 串流不在同一出口，症狀會非常像「節點太慢」，但實際是TLS 會話與權杖語境無法延續。

另一個易混點是GitHub Copilot與微軟模型後端的並存：企業可能同時開 Copilot Business、又在 Foundry 另布 GPT‑5.2‑Codex。《GitHub Copilot 與模型分流》與本文主機集合不同；把 Copilot 規則整包貼到 Foundry 場景，典型下場是「Copilot 建議順了，Foundry 仍逾時」。

三、常見症狀：不是慢，是「同一流程被拆兩條路」

實務上讀者會描述：VS Code延伸能安裝、面板卻在登入 Microsoft 帳戶轉圈；或 Visual Studio 內嵌瀏覽器已顯示授權完成，外掛仍報權杖取得失敗；又或第一次 chat 回應正常，切換專案後串流讀取逾時。這些都符合多主機平行鏈路中至少一條仍落在DIRECT、或命中了與其他請求不同的地理／ASN。

若錯誤訊息偏 TLS、憑證或「連線被重設」，請先排除公司HTTPS 檢查與節點本身問題，可交叉閱讀《Clash 常見報錯解決方案》；確認不是單純黑名單式攔截後，再回到網域命中序。

四、分層拆解：身分、Azure 服務面、CDN 與遙測

建議把一次完整「登入 → 選訂閱 → 選部署 → 送出提示」拆成四層記錄。第一層是Microsoft 身分與同意畫面，常落在 login.microsoftonline.com、login.live.com 等家族（實際以日誌為準）。第二層是Graph、ARM 或 Foundry 刀鋒背後的 REST，用來列資源、讀配額、套用條件式存取。第三層才是Azure OpenAI 推理端點與相關子路徑；這裡對長連線與HTTP/2 多工較敏感。第四層常被人忽略：延伸或殼層為了說明文件、圖示、範例模板去拉的Azure CDN／靜態邊，以及可能的遙測／更新檢查主機；它們若被提前 MATCH 到另一策略，UI 仍可能「看起來正常」但行為怪異。

因此規則撰寫上應避免「關鍵字一把抓」；改以連線面板出現的完整 FQDN為準，逐步把同一互動流程中的主機收口到同一策略群組。

五、Visual Studio 與 VS Code：誰的流量沒吃系統代理？

VS Code主程序多數情境會尊重作業系統代理，但延伸宿主、語言伺服器、.NET 工具與某些背景更新仍可能以獨立程序出現；在連線清單中請習慣用程序名稱過濾，而不是只看瀏覽器。Visual Studio方面，安裝程式與部分下載管線歷來有未讀系統代理的案例，與Learn／VS 大檔下載稿描述一致；若你只在瀏覽器裡登入、本體下載器卻直連，就會出現授權狀態對不起來的假象。

此時可行路徑包括：為特定 PROCESS-NAME 下發規則；或啟用TUN讓未掛代理的程序仍進核心；細節仍以你手邊Clash Verge或相容客戶端的介面為準。若同機還有公司 VPN，請先確認路由優先序，避免封包在兩張虛擬介面間漂移。

六、Azure CDN 與微軟邊：為什麼「背表」不如「採樣」

公開文件不會永遠列出所有靜態邊主機；實測常見 *.azureedge.net、*.azurefd.net 與其他商業 CDN 後綴交錯出現。把它們一次性寫成「全球直連」或「全部代理」都有副作用：過寬直連可能讓某些資產永遠命中公司網的瓶頸；過寬代理則可能讓延遲敏感的握手失敗。較穩的做法是：針對本次延伸版本與區域部署收集短日誌，將連續出現的底層主機映射到同一出口族，再寫入使用者規則片段，並在微軟賽季或延伸大版本升級後重新採樣。

若你也需要對齊 Chromium 的 QUIC 或 安全 DNS造成假直連，可先讀《Chrome、QUIC 與 Secure DNS》，再把觀測套回 IDE 內嵌 WebView。

七、分流規則順序：別讓 GEOIP 提早結束故事

許多訂閱自帶大段 GEOIP 或泛 DOMAIN-SUFFIX。當廣義 microsoft.com 或類似條目落在細粒度使用者規則之前時，Azure OpenAI端點可能永遠進不了你為企業 AI準備的高穩定出口。反之，若過早把未知微軟子域全塞代理，亦可能拖慢與推論無關的本區域服務。

實務折衷是把本次日誌驗證過的片段放在訂閱規則前段（依所用核心對規則合併的實際行為調整），並避免依賴過寬的 DOMAIN-KEYWORD 誤傷。

八、Mihomo 規則骨架（務必換成你日誌中的主機）

下列片段僅示意結構，註解為英文以便複製進 YAML：

# USER RULE: Foundry / Azure OpenAI / GPT-5.2-Codex path (verify hosts in YOUR logs)
DOMAIN-SUFFIX,login.microsoftonline.com,POLICY_AZURE_AI
DOMAIN-SUFFIX,login.live.com,POLICY_AZURE_AI
# Add Graph / ARM hosts observed during portal + VS auth
DOMAIN-SUFFIX,management.azure.com,POLICY_AZURE_AI
# Regional Azure OpenAI endpoint pattern — replace with your deployment FQDN
DOMAIN-SUFFIX,openai.azure.com,POLICY_AZURE_AI
# CDN edges seen for docs / static chunks (append after observation)
# DOMAIN-SUFFIX,azureedge.net,POLICY_AZURE_AI
PROCESS-NAME,Code.exe,POLICY_AZURE_AI

POLICY_AZURE_AI應指向能負載長連線串流、並與身分 API延遲特性相容的策略群組；若與一般用網頁共用極小豆節點，仍會在其他條件都正確時失敗——那是容量而非語法問題。

九、DNS、fake-ip 與「規則看見的主機」一致

在 fake-ip 模式下，若 IDE、殼層或系統某處仍使用另一套 DNS，會出現規則以 A 記錄命中、應用卻向別的位址握手的錯位；對需要多段重新導向的登入流程特別致命。收斂方式與其他 CDN 文相同：讓應用解析先回到你在 Mihomo中配置的本機或核心 DNS，再比對規則日誌與連線日誌是否一致。

Windows 若同時調整介面 DNS與客戶端 DNS，請紀錄變更順序，避免後開程式覆寫前項設定而你未察覺。

十、Clash Verge Rev：把「可看見的連線」當成一級需求

企業開發者在排查這類問題時，最浪費時間的是無法對照規則命中。Clash Verge Rev這類桌面客戶端若已能顯示即時連線與策略，建議將重現逾時的流程與連線過濾關鍵字（例如 deployment 名稱片段、已知子域關鍵字）對齊記錄。若你希望從頭建立可視化環境，可按《Clash Verge Rev 設定教學》走一次標準組態，再回來套上本文規則序思路。

延伸一想：《Cursor 擴充市集分流》處理的是另一批主機；若你同時使用多個 AI IDE，請分註解區塊維護，避免互相覆寫命中。

十一、實測勾選表（濃縮）

  1. 連線面板抄寫完整主機名，區分身分、管理 API、推理端點與 CDN。
  2. 核對 Code.exe、devenv.exe 等是否真的進核心；必要時TUN。
  3. 關閉或對齊安全 DNS／QUIC造成的假直連。
  4. 檢查規則序：Azure／Foundry 片段是否在過寬 DIRECT／GEOIP 之前。
  5. 同流程連續重試三次，比對出口 ASN 是否穩定。
  6. 仍有 TLS 異常時，回到故障排除指南區分節點與環境問題。

十二、常見問題（正文精簡版）

可以把 OpenAI Codex 那篇的規則直接貼過來嗎？

不建議。OpenAI 代管與 Azure OpenAI 在身分與端點上不是同一拓撲；請以本文與你自己的連線日誌為準。

只靠切換統一代理模式為什麼常失敗？

「全代理」並不保證所有副程序跟進核心；也未必解決規則序導致的誤命中。可驗證的作法仍是：先看見主機與命中，再談模式切換。

Foundry 上的治理政策會影響逾時嗎？

會。條件式存取、IP 限制或私有鏈路要求可能表現為HTTP 層拒絕或長時間等待，外觀像網路逾時。此時需與系統管理員核對政策，而不是只調 Clash。

十三、法遵與帳戶風險

使用代理僅改變傳輸路徑；請遵守 Microsoft、Azure與貴組織的使用政策，不得嘗試繞過授權、配額、計費或安全監控。若裝置受管理，於啟用 TUN 或調整路由前請先取得核准。本文描述的是網路觀測與組態收斂思路，非服務層級可用性或延遲保證。

十四、小結

GPT‑5.2‑Codex與Microsoft Foundry把推理與治理拉進Azure OpenAI與企業身分體系後，VS Code與Visual Studio外掛看到的逾時，多半不是單一「AI 主機」可解，而是鑑權、管理面 API、推理端點與 Azure CDN／微軟邊被Clash 分流拆錯。先把排查從「換節點」轉成「對主機、對 DNS、對規則序」，再決定要不要用 TUN 拉齊副程序，長期維護成本通常更低。

相較只能切換少數模式、又難以解釋每一次命中緣由的一鍵 VPN或黑箱加速器，以 Mihomo系為代表的開源相容核心可把策略命中與實際 SNI對得起來：哪條請求卡住、對應哪條規則，不必靠猜。若你希望用視覺化連線面板收尾本次 Foundry／Azure OpenAI／GPT‑5.2‑Codex調校，並讓分流規則在下次延伸升級仍可回放驗證，現在就可立即免費下載 Clash，開啟流暢上網新體驗。