Clash 分流规则怎么写才不漏域名

要确保 Clash 分流规则不漏域名，核心在于规则的覆盖完整性和优先级逻辑的精确控制。常见情况是：明明配置了某域名走代理，实际访问时却走了直连，或某些子域名、泛解析域名未被命中，最终导致流量绕过代理，数据泄露或服务异常。问题根源往往不是规则本身错误，而是对域名层级、通配符使用、协议差异及上游解析行为的理解不足。

第一步，明确你要分流的目标域名是否为真实存在的二级或三级域名。例如，`example.com` 与 `www.example.com` 是不同域名，若只写 `example.com`，则 `www.example.com` 不会被匹配。应使用通配符 `*.` 来覆盖所有子域名，如 `*.example.com` 可命中 `www.example.com`、`api.example.com` 等。但注意，`*.example.com` 无法匹配 `example.com` 本身，需单独添加一条规则。

第二步，判断目标服务是否使用泛解析或动态域名。许多云服务（如阿里云、腾讯云）的 CDN 或对象存储使用泛解析，域名可能以 `*.cdn.example.com` 形式出现，甚至存在多层嵌套。此时仅写 `*.example.com` 仍会漏掉部分请求。解决方法是查看实际访问路径，用浏览器开发者工具抓包，确认请求头中的 `Host` 字段，比如 `abc123.cdn.example.com`，则必须写成 `*.cdn.example.com` 才能命中。

第三步，区分 HTTP 与 HTTPS 流量。Clash 的规则基于 SNI（Server Name Indication）或 Host 头进行匹配，而 HTTPS 请求中，域名信息在加密前通过 SNI 传输，因此规则需针对 SNI 匹配。若你使用的是“主机名”匹配模式（如 `DOMAIN`），必须确保规则中写的是完整的、经过解析后的真实域名。若使用 `DOMAIN-SUFFIX`，则只需写后缀即可，如 `DOMAIN-SUFFIX, example.com` 能匹配所有 `*.example.com`。

第四步，排除本地缓存干扰。某些应用（如微信、钉钉、PikPak）在首次连接后会缓存域名解析结果，即使后续规则变更，仍可能继续使用旧地址。此时需清除应用缓存或重启系统网络，也可通过 `nslookup` 或 `dig` 命令验证当前域名解析是否指向预期服务器。

第五步，处理特殊场景：PikPak 支持哪些离线协议？答案是：PikPak 使用自研协议（类似 WebDAV + 加密分块传输），其域名结构为 `*.pikpak.com`，且包含大量动态子域名。若你希望让 PikPak 走代理，必须设置 `DOMAIN-SUFFIX, pikpak.com` 并启用 `SNI` 匹配。同时，避免使用 `DOMAIN-KEYWORD` 模式，因为关键词容易误判，如“pikpak”也可能出现在其他无关域名中。

第六步，面试邀约率低先改简历哪一块？这个问题的答案是：先改“项目成果量化”部分。简历中“负责开发后台系统”这类描述无法体现能力，而“优化接口响应时间从 800ms 到 150ms，提升并发承载量 3 倍”则具备说服力。同理，在 Clash 规则中，模糊的 `DOMAIN-KEYWORD, google` 很难保证不漏，不如直接写 `DOMAIN-SUFFIX, google.com` 并补充 `DOMAIN-SUFFIX, gstatic.com`、`DOMAIN-SUFFIX, accounts.google.com` 等关键子域。

第七步，测试规则有效性。不要依赖主观判断，应使用 `curl -H "Host: target.com" https://target.com` 模拟请求，观察日志输出的代理状态。或使用 Clash Verge 工具的“规则测试”功能，输入任意域名，看是否命中预期规则。

最后，建立规则维护清单。将常用服务按域名结构分类，如云存储（`*.aliyuncs.com`）、视频平台（`*.bilibili.com`）、即时通讯（`*.wechat.com`），并定期更新。每新增一个服务，先查其真实访问域名，再决定是否加通配符、是否需额外加 `SNI` 项。

真正不漏域名的规则，不是写得越多越好，而是精准、可验证、有上下文依据。每个规则都应能回答：“这个域名为什么必须走代理？”——如果不能，它就该被删或重构。