V2Ray 路由规则实战:geosite 与 geoip 写法及大陆直连分流配置

一、路由分流先看请求是否进入内核

路由规则只处理进入代理内核的连接。浏览器没有使用系统代理，或者某个应用自行直连时，修改 geosite:cn 不会改变这些请求的路径。先在 v2rayN 主窗口选择「系统代理」→「自动配置系统代理」，再确认浏览器没有用独立的代理扩展覆盖系统设置。

端口以当前客户端显示值为准。例如，本地混合监听端口为 10808 时，手工配置的应用应连接 127.0.0.1:10808；不能把节点服务器的远程端口填成本地代理端口。在「设置」→「参数设置」核对监听端口后，先用一个已知可用节点完成访问测试，再改分流。

• v2rayN：负责管理节点、路由配置与内核进程，不是某一种传输协议。
• V2Ray/Xray：执行本文的路由逻辑；具体可用字段仍以当前内核版本为准。
• VMess/VLESS：描述代理连接方式，不直接决定国内域名是否直连。
• 系统代理与 TUN：决定请求如何进入内核；两种入口下都需要检查实际生效的路由。

二、geosite 匹配域名，geoip 匹配目标 IP

geosite:cn 引用域名分类库中的 cn 集合；geoip:cn 引用 IP 数据库中的中国大陆地址集合。二者不是相同规则的两种写法，也不能只凭域名后缀判断分类结果。域名集合依赖所用数据文件，更新数据可能改变个别站点的命中情况。

同一条规则中的 domain 数组内，多个条目通常是“任意一个匹配即可”；但把 domain 与 ip 同时放入一条规则，会要求不同字段的条件共同成立。要表达“大陆域名或大陆 IP 都直连”，应拆成两条规则，而不是塞进同一个规则对象。

三、domainStrategy 决定何时为路由解析域名

routing.domainStrategy 控制路由阶段是否把域名解析为 IP。它不是“所有 DNS 请求走代理”的开关，也不同于出站自身的域名解析策略。本文选择 IPIfNonMatch：先尝试域名等条件，未找到匹配规则时，再解析目标域名并尝试 IP 规则。

另一个常见值 IPOnDemand 会在匹配遇到需要 IP 的条件时触发解析，因此前置 IP 规则可能增加 DNS 查询。它适合明确需要尽早比较地址的配置，但不能直接理解为“更严格的国内分流”。应结合 DNS 可达性与规则排列选择，而不是只看名字。

四、大陆直连、境外代理与广告拦截组合

下面是路由片段，不是可直接运行的完整客户端配置。它假定现有配置已经定义 proxy、direct、block 三个出站标签，并且 outbounds 数组的第一个出站是代理。V2Ray/Xray 在没有路由规则匹配时使用第一个出站，因此“境外代理”在这里由默认出站承担，不靠末尾的全匹配规则实现。

{
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      {
        "type": "field",
        "domain": ["geosite:category-ads-all"],
        "outboundTag": "block"
      },
      {
        "type": "field",
        "ip": ["geoip:private"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "domain": ["geosite:cn"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "ip": ["geoip:cn"],
        "outboundTag": "direct"
      }
    ]
  }
}

1. 广告域名先匹配：命中 category-ads-all 后交给拒绝出站，不再继续查看后续直连规则。
2. 本地 IP 直连：访问 192.168.1.1 等私有地址时，目标本来就是 IP，可以直接命中私有地址规则。
3. 大陆域名直连：已收录在 geosite:cn 的域名直接选中直连出站，不必等 IP 分类。
4. 大陆 IP 补充：域名首轮未命中时，使用内核 DNS 得到地址后再尝试 geoip:cn。
5. 其余走默认代理：域名和 IP 都未命中时，落到已确认的第一个代理出站。

“从上到下首次命中”还需要结合解析阶段理解：对于仅有域名的请求，IPIfNonMatch 不会为了排在前面的私有 IP 规则立即解析。如果域名首轮已经命中其他规则，后续不会再靠解析结果改判。因此，内网域名也应添加明确的域名直连规则，而不是只依赖 geoip:private。

五、在 v2rayN 中建立并启用路由配置

先备份现有路由，再进入「设置」→「路由设置」。不同版本的编辑窗口布局可能不同，应以当前窗口中的「域名策略」「规则列表」和出站选择为准。不要把上面的完整 routing 对象粘贴进只接收规则数组的输入框，也不要直接修改运行时生成、重启后会被覆盖的配置文件。

1. 建立单独的测试配置：在「设置」→「路由设置」中新增或复制一份路由配置，使用能区分用途的备注，例如“大陆直连测试”。保留原配置，便于恢复。
2. 设置域名策略：把「域名策略」设为 IPIfNonMatch。如果编辑器展示英文值，按原样选择，不要把该值写入某一条域名规则。
3. 逐条录入规则：按照广告域名、私有 IP、大陆域名、大陆 IP 的顺序添加。域名集合填入域名条件，IP 集合填入 IP 条件；出站分别选拒绝或直连。
4. 核对默认代理：检查是否有覆盖全部流量的末尾规则。对本文方案，应确认生成配置的首个出站为代理，而不是通过新增全匹配规则来兜底。
5. 保存并切换生效：回到主窗口，在「路由」选择刚才的配置。确认内核已重新加载；若日志出现配置错误，应恢复原配置并逐条检查。

v2rayN 的普通节点配置会生成内核所需的出站。界面里的“代理、直连、阻止”与 JSON 标签之间存在映射，不能只看中文显示名就假定最终标签一定是 proxy、direct、block。使用自定义完整配置时，需要自行保证标签和默认出站顺序；使用图形规则编辑器时，优先选择其已有出站选项。

六、用固定请求和日志验证命中结果

验证分流不能只比较网页打开速度。缓存、连接复用和节点负载都会改变耗时，但不能证明选中了哪个出站。应固定本地入口与测试目标，在 v2rayN 日志窗口观察目标地址及出站标签。若当前日志级别看不到连接记录，可在「设置」→「参数设置」中查找日志级别选项，临时使用 info，验证后恢复原值。

下面使用 Windows 的 curl.exe 显式连接本地 HTTP 代理，排除浏览器扩展和系统代理状态的影响。10808 只是端口示例，必须改成当前实际支持 HTTP 的监听端口；--max-time 15 表示最多等待 15 秒，不代表实际测速结果。

curl.exe --proxy http://127.0.0.1:10808 --max-time 15 -I https://www.baidu.com/
curl.exe --proxy http://127.0.0.1:10808 --max-time 15 -I https://example.com/

• 大陆域名检查：确认测试域名确实包含在当前使用的 cn 集合中，再观察是否选中直连。不能仅因站点使用中文就认定它应命中。
• 默认出站检查：选择一个不在现有域名规则中、解析地址也不属于大陆或私有地址集合的目标，观察是否进入代理出站。
• 局域网检查：访问实际存在的路由器地址，例如 http://192.168.1.1/，核对直连标签。设备不响应 HTTP 时，请求失败本身不能说明路由错误。
• 广告规则检查：从当前广告集合中选取一个明确存在的域名进行测试，观察拒绝出站记录。不要用一条来源不明、可能已经失效的广告地址下结论。

七、常见问题：规则生效但结果不符合预期

最终保留一套可以解释的规则：必要例外在前，广告拦截随后，私有地址与大陆域名直连，IP 分类补充，默认出站代理。DNS 解析得到的地址仍会影响 IP 匹配结果；解析被干扰时，正确的规则也可能做出错误分类。完成路由验证后，再单独检查 DNS，避免同时修改入口、解析和出站而失去对照。