# Clash 分流规则怎么写？DOMAIN-SUFFIX 与 GEOIP 顺序（2026）

> 来源网页：https://socks5ip.com.cn/dailigongju/clash-fenliu-guize-xiefa/
> 发布日期：2026-10-30
> 更新时间：2026-10-30

**Clash 的 rules 不是「按类型分级」，而是「从上往下、命中即止」——写在前面的先匹配，匹配上就不再往下看。所以顺序本身就是优先级，规则类型之间没有任何高低之分。最常见的致命写法是把 `GEOIP,CN,DIRECT` 放在第一条，它会把后面所有域名规则全部吃掉，表现就是「规则写了一大堆，一条都没生效」。**

🔗 快速入口：[24 家平台免费测试与注册入口](https://linkdd.cn/socks5ip) ｜ [IP 检测中心](https://socks5ip.com.cn/ip-check-center/) ｜ [代理格式转换工具](https://socks5ip.com.cn/format-convert/)

📌 一句话结论

规则排序的记忆方法只有一句：**越精确的越往前放，越粗的越往后放**。精确域名（`DOMAIN`）→ 域名后缀（`DOMAIN-SUFFIX`）→ 规则集（`RULE-SET`）→ IP 段（`IP-CIDR`，加 `no-resolve`）→ 地域（`GEOIP`）→ `MATCH` 兜底。`MATCH` 必须在最后一行，`GEOIP` 必须在域名类规则之后。写错顺序不是「效果差一点」，是直接失效。

某站点不走代理 → 前面插 `DOMAIN-SUFFIX`｜某软件整体分流 → TUN + `PROCESS-NAME`（放最前）｜国内站被代理了 → 查 `GEOIP` 是否被挤到最后｜全部走直连 → 看 `MATCH` 后面跟了谁

规则语法依据 mihomo 文档｜最后更新：2026-10-30

### 先建立一个正确的心理模型

把 rules 想成一串 if 判断，从头执行到尾，第一个成立的直接返回、后面的不再执行。这意味着两件事：一是**顺序有意义**，二是**放错位置的规则等于没写**，而且不会有任何报错提示——它只是永远轮不到。

这也是排查分流问题唯一有效的思路：不要问「我的规则写对了吗」，要问「这条规则前面有没有别的规则先命中了」。

### 六种规则类型，什么时候用哪个

| 类型
| 匹配依据
| 精度
| 注意

| `DOMAIN`
| 完整域名完全相同
| 最高
| 子域不匹配，要逐条写

| `DOMAIN-SUFFIX`
| 域名后缀
| 高
| 最常用；写 `.com` 会误伤一大片

| `DOMAIN-KEYWORD`
| 域名包含关键词
| 低
| 容易误伤同名字段，且每条都要做字符串匹配

| `IP-CIDR`
| 目标 IP 段
| 中
| 对域名目标要先解析，务必加 `no-resolve`

| `GEOIP`
| 按 IP 库判国家
| 粗
| 依赖 IP 库准确度，必须放最后

| `PROCESS-NAME`
| 发起连接的进程
| —
| 只有 TUN 模式拿得到进程信息

`RULE-SET` 是对上面这些的批量封装，本质是「把一个远程规则列表展开成很多条」，位置按它内容的粒度来放。用它比手写几百条更省事，但前提是规则集本身维护得好。

### 一条能直接用的排序骨架

把规则按下面这个顺序组织，绝大多数场景不会出错：

| 位置
| 写什么
| 为什么在这个位置

| 1
| `PROCESS-NAME`（要先分流的软件）
| 进程条件最精确，且不受后续域名规则干扰

| 2
| `DOMAIN` / `DOMAIN-SUFFIX`（必须直连或必须走代理的站）
| 精确意图优先于任何粗粒度判断

| 3
| `RULE-SET`（广告拦截、常用分流集）
| 批量规则，放在精确规则之后

| 4
| `IP-CIDR`（内网、特定机房段）
| 内网段必须直连，且要加 `no-resolve`

| 5
| `GEOIP,CN,DIRECT`
| 国内直连，粗粒度兜底之一

| 6
| `MATCH,代理组名`
| 兜底，必须最后一行

注意第 4 位的内网段：`IP-CIDR,192.168.0.0/16,DIRECT,no-resolve`、`10.0.0.0/8`、`172.16.0.0/12` 这几条如果缺失，局域网的共享、打印、内网后台会莫名其妙走代理然后失败。

### 错误一：GEOIP 放第一条，后面全废

这是最常见的一个。目标是域名时，Clash 需要先把域名解析成 IP 才能判 GEOIP；解析出来是国内的 IP，第一条就命中 `DIRECT`，那么后面所有「让这个站走代理」的域名规则全部轮不到。

表现很有迷惑性：规则写了、语法没错、日志里也没有报错，就是「国内站直连、该走代理的也直连」。这不是规则写错，是顺序错。把 `GEOIP` 挪到域名规则之后即可。

反过来，如果目标是 IP 地址（很多客户端的 API 请求直接写 IP），域名规则永远匹配不上，只能靠 `IP-CIDR` 或 `GEOIP`。理解「这次连接的目标是域名还是 IP」，比死记规则类型有用得多。

### 错误二：no-resolve 漏写，带来额外的解析和泄漏

`IP-CIDR` 默认会对域名目标发起一次 DNS 解析，用来拿到 IP 再比对。两个后果：一是每条连接都多一次解析，规则越多越明显；二是这次解析用的可能是本地 DNS，形成 DNS 泄漏——你以为流量走了代理，域名查询却是本地发出去的。

处理方式是给所有不需要精确判定的 `IP-CIDR` 加 `no-resolve`，让它在目标本身是域名时直接跳过这条规则。代价是：某个域名如果要靠 `IP-CIDR` 命中，加了 `no-resolve` 就永远命不中——所以「必须靠 IP 段命中的目标」不能用这个参数。

另一个相关坑是 fake-ip 模式：开启后域名解析得到的是虚拟 IP，`IP-CIDR` 和 `GEOIP` 对域名目标基本失效。这不是 bug，是模式决定的。要按 IP 分流的场景，得用 redir-host 或接受「只有域名规则有效」。

### 错误三：兜底规则指向了直连

`MATCH,DIRECT` 一写，所有没被前面规则命中的流量都直连。如果你只加了代理节点、没改兜底，那么「节点显示正常、IP 没变」是必然结果——不是节点没连上，是没有流量被送来。

确认方法：看 `MATCH` 后面跟的组名，是不是你放代理节点的那个组。不是就改。想只让部分流量走代理，就在前面加针对性的域名规则，兜底保持直连；想让默认全走，就把兜底改成代理组。

### 怎么确认一条连接命中了哪条规则

Clash 系客户端都有「连接」页，每条活动连接会显示它命中的规则和策略。这是最直接的证据，比猜快得多。配合两步：把日志级别调到 debug 看匹配过程；或者在规则测试功能里输入目标域名，看它最终落到哪个策略。

有一个容易忽略的细节：改了 rules 之后，**已经建立的连接不会重新匹配**，仍然走旧规则。看到「改完还是不对」时，先把连接页里的活动连接清掉，或者直接重启客户端，再测一次。

这一步的价值在于把「猜」变成「看」——分成「规则没命中」和「命中但线路不通」两种，前者改顺序，后者才需要换 IP。

### 常见问题

**Q：为什么国内网站还是走了代理？**
查三处：`GEOIP,CN,DIRECT` 是否被放在了域名规则之前（要在之后）；该站的域名是否被某条 `DOMAIN-KEYWORD` 先命中；兜底 `MATCH` 是否指向了代理组且前面没有直连规则。

**Q：`DOMAIN-SUFFIX` 和 `DOMAIN-KEYWORD` 差别在哪？**
前者只匹配域名结尾，写 `example.com` 能覆盖 `www.example.com` 但不会匹配 `example.com.cn`；后者是包含即命中，`example` 会连 `myexample-site.net` 一起吃掉。能用前者就别用后者。

**Q：写了 `IP-CIDR`，某个域名还是走代理？**
两种可能：目标是域名、而这条规则加了 `no-resolve`（跳过不匹配）；或者开了 fake-ip，域名根本拿不到真实 IP。这类目标改用域名规则。

**Q：规则写到几百条会不会变慢？**
字符串匹配很快，几百条量级基本感知不到。真正影响速度的是没加 `no-resolve` 的 `IP-CIDR`——它会让每条连接都多一次 DNS 解析。

**Q：改完规则必须重启吗？**
重载配置即可生效，但已建立的连接不会重新匹配。测之前把活动连接清掉，或重启客户端，否则会看到旧行为。

### 规则配好之后，线路才是变量

分流规则解决的是「哪些流量走代理」，走不走得通、IP 干不干净是另一件事。后者取决于线路本身：协议对不对（Clash 只吃 SOCKS5 / HTTP）、地区能不能指定、是否支持你要的并发。

各家起步价与套餐差异不小，横向对照在[代理IP价格对比](https://socks5ip.com.cn/dailiip-jiage-duibi/)；协议区别看[代理协议导航](https://socks5ip.com.cn/daili-xieyi/)。配好规则后用[IP 检测中心](https://socks5ip.com.cn/ip-check-center/)确认出口归属地，能一次排除掉大半「配了没用」的情况。

**相关阅读**

· [Clash 连不上代理？先分清配置错还是线路错](https://socks5ip.com.cn/dailigongju/clash-lianbushang-daili-paicha/)

· [Clash 怎么用 SOCKS5 代理IP：三种配法与分流优先级](https://socks5ip.com.cn/dailigongju/clash-socks5-daili-peizhi/)

· [24 家代理IP平台起步价横向对照](https://socks5ip.com.cn/dailiip-jiage-duibi/)

· [代理协议导航：SOCKS5 / HTTP / L2TP 区别](https://socks5ip.com.cn/daili-xieyi/)

**全网低价IP**（socks5ip.com.cn）聚合国内 24 家代理 IP 平台的公开价格与协议数据，价格与档位以各平台官网为准。

官网：[socks5ip.com.cn](https://socks5ip.com.cn/)｜价格中心：[/jiagezhongxin/](https://socks5ip.com.cn/jiagezhongxin/)｜使用教程：[/jiaocheng/](https://socks5ip.com.cn/jiaocheng/)

客服微信：**17720135827**（备用 878989347）｜一对一帮选线路，价格不符可免费改价

先算清要几条线，再挑平台 —— 少花冤枉钱，也少踩一次风控。

### 📚 相关阅读

📄 [糖果IP 套餐怎么选：先划掉接不了的三类，再定一条岔路](https://socks5ip.com.cn/guoneiip/tangguoip/tangguoip-jiage/tangguoip-taocan-xuanze/)

📄 [糖果IP 怎么收费：只有月价，档位差在限速几 M](https://socks5ip.com.cn/guoneiip/tangguoip/tangguoip-jiage/tangguoip-jiage-xiansu-dangwei/)

📄 [ST加速器隐藏费用：卡期从付款日算，一年多付一次](https://socks5ip.com.cn/guoneiip/stjiasuqi/stjiasuqijiage/stjiasuqi-xufei-kari/)