目前在 Mac 上使用 Claude Code，代理软件是 Clash Verge Rev，使用 TUN 模式。 
想实现两个条件： 

Claude Code 绝不能直连公网，所有请求必须经过代理节点；代理异常时宁可连接失败，也不能回退直连。
TUN 开关必须决定 Claude Code 能否联网：关闭 TUN 后，即使 Clash 仍在运行、本地代理端口仍可用，Claude Code 也必须断网，包括已经建立的连接。

希望尽量只限制 Claude Code，不影响其他应用正常联网，也不修改 Claude Code 程序本体。优先考虑免费、支持中文的工具，但其他可行方案也欢迎推荐。 
目前了解到： 

配置 HTTP_PROXY / HTTPS_PROXY，或者使用 Proxifier，只能指定代理路径，不一定与 TUN 开关联动。
定时检测 TUN 状态再断网的脚本存在检测空窗。
m...