自定义路由规则语法详解:domain、ip、geosite 写法与匹配优先级

先理解路由规则处理什么

匹配对象	典型写法	适合场景	关键限制
域名	domain:example.com	网站、接口、下载域名分流	应用必须向核心提供域名，或允许核心进行解析
IP	192.0.2.0/24	固定网段、局域网与解析结果分流	域名请求是否转为 IP 匹配受 domainStrategy 影响
geosite	geosite:category-ads-all	按维护好的域名分类批量匹配	依赖客户端当前使用的地理数据文件及分类标签
geoip	geoip:private	私有地址或国家、地区 IP 段	只匹配目标 IP，不等同于 geosite 域名分类

domain 的五种常用写法

{
  "type": "field",
  "domain": [
    "full:api.example.com",
    "domain:static.example.net",
    "regexp:^img-[0-9]+\\.example\\.org$"
  ],
  "outboundTag": "proxy"
}

上例三个 domain 条目是“或”关系。请求只要命中其中一个，就会继续确认该规则的其他字段；因为示例没有额外字段，所以可直接进入 proxy 出站。正则中的点号必须转义，而 JSON 字符串本身还要再保留反斜杠，因此配置文本中会看到 \\.。

ip、CIDR 与 domainStrategy 的联动

• AsIs：优先按请求携带的域名进行匹配，不为了尝试 IP 规则而主动解析域名。
• IPIfNonMatch：先检查域名规则；域名规则没有结果时，再解析目标域名并尝试 IP 规则。
• IPOnDemand：检查到可能需要目标 IP 的规则时就可以触发解析，适合明确依赖 IP 分流的配置，但会更早引入 DNS 结果。
• 直接 IP 请求：应用本身连接的是 IP 时，不需要把域名转为地址，IP 与 geoip 规则可以直接参与匹配。

{
  "domainStrategy": "IPIfNonMatch",
  "rules": [
    {
      "type": "field",
      "ip": [
        "geoip:private",
        "127.0.0.0/8",
        "192.0.2.0/24"
      ],
      "outboundTag": "direct"
    }
  ]
}

geosite 分类怎么用

[
  {
    "type": "field",
    "domain": [
      "full:required-api.example.com"
    ],
    "outboundTag": "proxy"
  },
  {
    "type": "field",
    "domain": [
      "geosite:category-ads-all"
    ],
    "outboundTag": "block"
  },
  {
    "type": "field",
    "domain": [
      "geosite:cn"
    ],
    "outboundTag": "direct"
  }
]

匹配优先级与规则编辑步骤

1. 确认核心

   打开「设置」→「参数设置」→「Core 类型」，确认当前配置使用 Xray 或 v2fly 对应核心；协议与路由字段必须由所选核心支持。

2. 打开路由

   进入「设置」→「路由设置」，选择当前启用的路由配置。若界面存在多个方案，先确认主界面实际选中的方案名称。

3. 添加例外

   先添加必须代理或必须直连的 full:、domain: 规则，再添加 geosite、geoip 等范围较大的分类规则。

4. 核对出站

   检查规则目标是代理、直连还是拦截。编辑原始配置时，还要确认 outboundTag 与现有出站标签逐字一致。

5. 重载验证

   保存后重启核心，分别测试一个命中例外的域名、一个命中分类的域名和一个局域网地址，并查看核心日志中的实际路由结果。

直连、代理、拦截三向规则示例

下面是一组用于理解结构的完整路由片段。它先让指定 API 走代理，再拦截广告分类，然后让局域网与指定域名直连，最后让未被前述规则处理的连接走代理。使用前需要确认配置中已经存在名为 proxy、direct、block 的三个出站。

{
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      {
        "type": "field",
        "domain": [
          "full:api.example.com",
          "domain:services.example.net"
        ],
        "outboundTag": "proxy"
      },
      {
        "type": "field",
        "domain": [
          "geosite:category-ads-all"
        ],
        "outboundTag": "block"
      },
      {
        "type": "field",
        "domain": [
          "domain:printer.example.lan",
          "geosite:cn"
        ],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "ip": [
          "geoip:private",
          "127.0.0.0/8"
        ],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "network": "tcp,udp",
        "outboundTag": "proxy"
      }
    ]
  }
}

最后一条规则只限定 network，覆盖 TCP 与 UDP，因此承担兜底作用。它必须位于数组末尾；如果放在第一条，几乎所有常见连接都会立刻进入代理，后面的直连和拦截规则不会被检查。若只希望代理 TCP，不要把 UDP 一并写入兜底，否则 DNS 或实时通信流量也可能改变出站。

端口条件同样可以与域名组合。例如 domain 指定 domain:example.com，port 指定 443，则只有访问该域名的 443 端口时才命中。访问同一域名的 80 端口会继续检查后续规则。端口范围可写成核心支持的范围格式，但日常配置应尽量限制在明确业务端口，避免难以解释的宽范围覆盖。

• 测试代理例外：访问明确写入第一条规则的域名，确认日志显示 proxy。
• 测试拦截规则：选择确定属于当前 geosite 分类的域名，确认连接被送入 block。
• 测试局域网直连：访问路由器或局域网服务地址，确认命中 geoip:private 或明确 CIDR。
• 测试最终兜底：选择不属于任何前置分类的目标，确认最后一条规则承担出站。

规则不生效时逐项排查

维护规则时，建议一次只调整一个目标：先解决明确域名的出站，再扩展到 geosite 分类，最后处理 IP 与 geoip 兜底。每次修改都保留一个代理、一个直连和一个拦截测试目标。这样即使订阅、核心或地理数据更新，也能快速定位变化发生在哪一层。