V2Ray 自定义路由规则写法:domain、ip、geosite 语法与匹配优先级

路由入口：先确认请求进入内核

系统代理与路由规则处理不同环节。系统代理决定支持代理的应用是否把请求送到本地端口；内核路由决定已经进入内核的请求使用哪个出站。浏览器没有使用系统代理，或者程序自行直连时，再准确的 geosite 规则也不会接管这条连接。TUN 可以扩大流量接管范围，但是否开启 TUN 不会改变规则从上到下匹配的基本顺序。

v2rayN 是桌面客户端，负责生成并启动内核配置；v2rayNG 使用 Xray 内核，v2flyNG 使用 V2Fly 内核。客户端界面里的路由预设不等于协议本身：VMess、VLESS 描述代理连接使用的协议，domain、ip 与 outboundTag 则描述本地分流。更换节点协议，不会自动修复一条写错的域名规则。

domain 写法：后缀匹配不是字符串前缀匹配

规则中的 domain 是一个字符串数组，数组内满足任意一项即可满足该域名条件。字符串上的 domain:、full:、regexp: 是匹配方式标记。其中最容易误读的是 domain:：它匹配指定域名及其子域名，并不是“域名以这一串字符开头”。

需要直连一个服务及其全部子域名时，优先使用 domain:；只为一个接口设例外时，使用 full:。裸字符串适合明确知道匹配范围的关键字规则，不适合把一个短词当作精确域名。正则语法还受内核采用的正则实现限制，复杂表达式应先验证，不能照搬其他工具支持的全部特性。

{
  "type": "field",
  "domain": [
    "full:api.example.test",
    "domain:assets.example.test"
  ],
  "outboundTag": "direct"
}

这条规则会让指定接口或静态资源域名直连，但不会把整个 example.test 都纳入直连。正则放进 JSON 时还要注意反斜杠转义：如果用 \. 表示点，JSON 字符串里应写成 \\.。上表用 [.] 表示点，可以减少这一层转义带来的误写。

ip 与 geoip：地址范围、分类和条件组合

ip 数组可以容纳单个地址、CIDR 网段以及 geoip: 分类。CIDR 的斜杠后数字是网络前缀长度：192.168.0.0/16 表示这一私有地址范围，不是只匹配一个局域网地址；IPv6 同样可以写成 fc00::/7。分类方式依赖内核能够读取的 GeoIP 数据。

这些地址总数包括网段中的全部地址，不等于可分配给主机的数量。geoip:private 常用于内网与特殊本地地址分流，geoip:cn 用于数据文件中标记为中国的 IP 范围；后者不代表中文网站，也不保证与域名分类完全重合。一个域名可能使用多个地区的 CDN 地址，地址分类随解析结果变化。

{
  "type": "field",
  "ip": ["192.168.0.0/16"],
  "port": "443",
  "network": "tcp",
  "outboundTag": "direct"
}

geosite 与 domainStrategy：域名分类和解析时机

geosite:cn 是数据文件内的分类名称，不是在线搜索指令。内核需要能够读取包含该分类的 geosite.dat。不同数据来源可能包含不同标签，更新节点订阅也不等于更新分类文件。启动日志出现“分类不存在”或“数据文件无法读取”时，应先修复资源，再讨论规则顺序。

另一个常见取值是 IPOnDemand：匹配过程中遇到需要 IP 的规则时，就可能触发解析。因此，靠前的 IP 规则可能在后面的域名例外之前命中。它与 IPIfNonMatch 的关键区别是触发时机，不是哪个选项“更强”。

这里说的是 routing 下的 domainStrategy。DNS 模块的查询策略、直连出站的域名策略与它不是同一设置。路由解析只提供匹配依据，不能单独保证 DNS 请求走指定出口；DNS 服务器可达性、解析路径与应用自身解析方式需要另行检查。

匹配优先级：具体例外在前，范围规则在后

核心按 rules 数组从上往下尝试，第一条满足条件的规则决定路由，不会因为后面的域名更长就自动改选。也就是说，“更具体”只是人为安排顺序的理由，不是内核自动计算的优先级。规则里的标签应指向已定义的出站；如果没有任何规则命中，通常使用 outbounds 数组中的第一个出站，而不是自动选择名为 proxy 的标签。

1. 业务例外：先放明确需要代理或直连的完整域名、小范围后缀与特定网段。
2. 局域网保护：再处理私有地址，避免本地设备请求被默认送往代理；若有企业内网的特殊出口，先写其更具体的例外。
3. 分类规则：放置 geosite、geoip 等覆盖范围较大的分流条件。
4. 兜底处理：最后明确剩余连接的去向，并检查它是否会改变解析策略的触发条件。

下面是一个 routing 片段：api.example.test 单独代理，同一父域名的其他请求直连，私有地址与中国分类直连，剩余 TCP / UDP 代理。采用 IPOnDemand，是为了让域名分类未覆盖的请求仍能在 IP 规则处获得解析结果。该片段需要合并到已有核心配置，不能当作完整配置文件启动。

{
  "routing": {
    "domainStrategy": "IPOnDemand",
    "rules": [
      {
        "type": "field",
        "domain": ["full:api.example.test"],
        "outboundTag": "proxy"
      },
      {
        "type": "field",
        "domain": ["domain:example.test"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "ip": ["geoip:private"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "domain": ["geosite:cn"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "ip": ["geoip:cn"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "network": "tcp,udp",
        "outboundTag": "proxy"
      }
    ]
  }
}

把第 2 条移到第 1 条前面后，api.example.test 会先命中父域名规则，结果变为直连。把兜底规则移到数组顶部后，后续规则基本失去作用。排查冲突时，应按实际目标从第一条开始推演，而不是只盯着希望命中的那一条。

客户端落地：检查生成配置，再做最小测试

v2rayN 可从「设置」→「路由设置」检查当前路由配置，入口文字随版本可能调整。重点确认编辑的是正在启用的配置，而不是另一个未选中的预设。「设置」→「参数设置」中核对本地监听端口；下面测试假定 SOCKS 监听在 127.0.0.1:10808，实际值不同就替换，不能把示例端口视为所有版本的固定默认值。

1. 备份当前规则。记录当前核心、路由预设、域名策略与出站标签，先只新增一个可以辨认的域名例外。
2. 保存并重新应用。按客户端当前流程重启核心或重连，使配置重新生成；只保存编辑窗口不一定已经切换运行配置。
3. 检查运行日志。先排除 JSON 解析失败、分类缺失、出站标签不存在与监听端口占用。必要时临时提高日志级别，测试后恢复。
4. 对照实际目标。观察连接日志或访问日志中的目标域名、目标 IP 和出站标签；日志格式由核心和日志级别决定。
5. 再扩大范围。单条例外验证通过后，才加入 geosite / geoip 分类与兜底，避免一次改动多项导致无法定位。

curl --socks5-hostname 127.0.0.1:10808 \
  --connect-timeout 10 \
  --max-time 20 \
  -I https://v2rayworld.com/

--socks5-hostname 会将目标域名交给 SOCKS 端处理，有利于验证域名规则；--socks5 通常在本地先解析，可能让内核看到的是 IP。这里的 10 秒连接超时与 20 秒总超时用于限制测试等待，并非延迟或速度实测数据。HTTP 请求成功只能证明这次请求可用，是否命中指定规则还要看出站记录。

v2rayNG 中先检查当前路由模式，再进入「设置」内对应的路由配置入口；不同版本的菜单层级可能不同。安卓 VPN 接管也可能受按应用代理范围影响，测试浏览器必须在接管范围内。v2flyNG 的核心能力与资源文件要按 V2Fly 实际配置确认，不能把 Xray 专有字段原样搬过去。本文涉及的基础 field 规则仍应以当前核心启动结果为最终依据。

常见问题：域名没命中、分类报错与规则被覆盖

最终检查顺序可以固定为：请求是否进入内核、目标是否包含域名、分类资源是否可读、规则是否按预期排序、出站标签是否有效。浏览器可能复用已有连接，修改后应新建请求或重启测试应用。确认命中结果后，再分别测试普通域名、局域网 IP 和未分类目标，避免只验证一个网站就判断整套分流正确。