Shadowrocket 规则写法:DOMAIN、GEOIP、IP-CIDR 与 FINAL 各匹配什么

一条规则的三段结构

Shadowrocket 的规则列表是一份纯文本,保存在配置文件里,一行一条。每行用英文半角逗号切成三段:类型(TYPE)、值(VALUE)、策略(POLICY)。类型决定「拿什么去比」,值决定「比什么」,策略决定「命中之后怎么办」。

策略只有三种:PROXY 表示走当前选中的服务器,DIRECT 表示直连,REJECT 表示丢弃这条连接。以 # 开头的整行是注释,解析时跳过;空行同样忽略。写规则时用到的逗号必须是英文半角,中文逗号会让整行失效。

# 每行格式:类型 / 值 / 策略
DOMAIN-SUFFIX,example.com,PROXY
DOMAIN-KEYWORD,analytics,DIRECT
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
FINAL,DIRECT

三段里最容易出错的是值:域名类规则的值是主机名,IP 类规则的值是 CIDR 网段或两位国家/地区代码,端口类规则的值是数字。格式不对的行不会报错,只会被静默跳过——所以遇到「规则写了没反应」,先回头检查这一行的逗号与值格式,再去怀疑别的环节。

域名类:DOMAIN、DOMAIN-SUFFIX、DOMAIN-KEYWORD

域名类规则匹配的是请求里的主机名。HTTPS 请求的主机名通常来自 TLS 握手里的 SNI,HTTP 请求来自 Host 头,这两种信息在连接刚建立时就已经具备,不需要等待 DNS 解析,因此域名规则判断得最快,也最不受解析结果波动影响。三种常用写法的粒度依次放宽:

粒度越宽,误伤的概率越高。DOMAIN-KEYWORD,analytics,DIRECT 会命中主机名里任何位置出现 analytics 的请求,包括你并不想直连的站点;DOMAIN-SUFFIX,example.com,PROXY 则会连带把 mail.example.com、static.example.com 一起送进代理。写宽泛规则之前,先确认这个后缀下确实没有需要区别对待的子域。

选择写法时按下面的顺序判断:

• 只有单个主机名需要区别对待,用 DOMAIN,精确到字母;
• 一个站点连同它的全部子域要一起处理,用 DOMAIN-SUFFIX;
• 域名结构不固定、前缀随机的 CDN 或统计服务,才考虑 DOMAIN-KEYWORD;
• 同类域名数量太多、会把主列表撑得过长,就把域名单独放进一个文本文件,用 DOMAIN-SET 引用。

DOMAIN,www.example.com,DIRECT
DOMAIN-SUFFIX,example.com,PROXY
DOMAIN-KEYWORD,adservice,REJECT
DOMAIN-SET,example-domains.txt,DIRECT

IP 类:GEOIP 与 IP-CIDR 比的是解析后的地址

IP 类规则不看域名,只看连接目标的 IP 地址。要拿到 IP,系统必须先做一次 DNS 解析,所以 IP 规则比域名规则晚一步生效,而且会丢掉「域名」这个维度:同一个域名解析到不同地址时,命中结果可能跟着变化。

GEOIP 用两位国家/地区代码概括整段地址归属,GEOIP,CN,DIRECT 的含义是「目标是中国的 IP 就直连」。IP-CIDR 写精确网段,内网直连的常见写法是 IP-CIDR,192.168.0.0/16,DIRECT 与 IP-CIDR,10.0.0.0/8,DIRECT;IPv6 目标用 IP-CIDR6。按端口判断由 DST-PORT 与 SRC-PORT 承担,例如 DST-PORT,443,PROXY 表示目标端口是 443 的连接走代理。

GEOIP,CN,DIRECT
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
IP-CIDR6,fc00::/7,DIRECT,no-resolve
DST-PORT,443,PROXY

内网网段这类规则通常要在末尾补一个 no-resolve:它的作用是匹配这条规则时不要为了拿 IP 而触发 DNS 解析。少了这个参数,一个本来可以直接命中的请求会先被迫解析一次,既拖慢判断,也可能因为解析失败而落空。

命中顺序:自上而下,首条命中即停

Shadowrocket 从规则列表的第一行开始逐条比对,某一行命中后立即执行该行的策略,后面的规则不再参与判断。这条机制决定了排序原则:越具体、越需要优先处理的规则写在越上面,越宽泛的规则写在越下面。

FINAL 是一条只有策略、不需要匹配值的兜底规则,用来承接前面全部没有命中的请求:FINAL,DIRECT 让未命中的流量直连,FINAL,PROXY 让未命中的流量走代理。它必须放在列表最后一行——写在 FINAL 之后的规则不会被执行。

# 1. 内网与保留地址先直连
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
# 2. 明确要拦截的域名
DOMAIN-SUFFIX,ads.example.com,REJECT
# 3. 明确要走代理的域名
DOMAIN-SUFFIX,example.com,PROXY
# 4. 国内地址直连
GEOIP,CN,DIRECT
# 5. 兜底
FINAL,PROXY

排序时可以按下面五层从上往下摆:

• 第一层:内网与保留网段,如 IP-CIDR,192.168.0.0/16,DIRECT,no-resolve,放在最前面;
• 第二层:明确要丢弃的域名,REJECT 必须写在同一域名的 PROXY 之前,拦截才有机会生效;
• 第三层:明确要走代理或直连的域名,DOMAIN 在 DOMAIN-SUFFIX 之上;
• 第四层:按地址归属判断的 GEOIP,以及按端口判断的 DST-PORT;
• 第五层:FINAL,兜底并保持最后一行。

让规则生效:Global Routing 与配置文件

规则列表只在 Global Routing 处于 Config 姿态时才参与判断。姿态在 Settings → Global Routing 里切换,三个常用选项的差别是:

另一个前提是「改对了文件」。Config 标签里可能同时存在多份配置,只有当前选中(带勾)的那一份会被使用。编辑入口是 Config → 选中正在使用的配置文件 → Rules,列表按行展示,右上角「+」新增一行,点任意一行可以修改类型、值与策略。完整流程如下:

1. 确认姿态

   Settings → Global Routing 选 Config,否则规则列表不参与判断。

2. 打开 Config

   底部标签切到 Config,确认带勾的正是你在用的那份配置文件。

3. 进入 Rules

   点进配置文件,找到 Rules 一行,里面就是完整的规则列表。

4. 插入新行

   右上角「+」新增规则,按「类型,值,策略」三段填写,逗号用英文半角。

5. 调整顺序

   把具体规则移到宽泛规则之前,FINAL 保持在最后一行。

6. 保存并重连

   保存后回到 Home 断开再连接一次,让新的规则列表生效。

四个高频问题

下面四个问题覆盖了规则类反馈里最常见的场景,排查路径都是从「姿态 → 配置文件 → 规则顺序 → 规则写法」逐层往下。