分流规则更新：适应最新国内应用网络需求

凌晨三点十七分，我的手机屏幕在黑暗中炸开一道白光。

是Telegram上那个置顶的“节点维护群”发来的消息，一条语音，三秒，点开是老王沙哑的声音：“快看规则，分流炸了。”我揉着眼睛爬起来，电脑屏幕的蓝光映着窗外深圳的雨夜。我知道，这个点还在折腾分流规则的，不是搞技术的，就是搞钱的——而我，两者都沾一点。准确地说，是靠在币圈做点量化交易和链上交互，勉强算个“数字游民”。而今晚，国内某大厂刚刚推送了新版本App，据说把一堆原本直连的API全改成了动态域名，还加了TLS指纹校验。这意味着，我手里的那套“国内直连+国外代理”的分流规则，大概率已经失效了。

我打开Clash Verge，看了一眼日志。果然，满屏的红色报错——connection refused，timeout，还有几条诡异的403 Forbidden。更麻烦的是，我钱包里的USDT正准备从某头部交易所提现到链上，而那个交易所的App，刚刚也在后台疯狂尝试连接一个被屏蔽的统计节点。如果不处理，轻则提现卡顿，重则触发风控，账户冻结。这不是技术问题，这是钱的问题。

h2：旧规则为什么死了：从“域名分流”到“行为分流”

先说说我原来那套规则是怎么写的。很简单，也很有代表性：

yaml rules: - DOMAIN-SUFFIX,binance.com,PROXY - DOMAIN-SUFFIX,okx.com,PROXY - DOMAIN-SUFFIX,huobi.com,PROXY - DOMAIN-SUFFIX,baidu.com,DIRECT - DOMAIN-SUFFIX,taobao.com,DIRECT - MATCH,PROXY

这套规则在过去两年里几乎是无敌的。理由很简单：国内App（微信、支付宝、抖音）的流量走直连，速度快；币圈交易所、钱包、链上RPC节点走代理，稳定且能绕过防火墙的SNI阻断。但问题在于，这个逻辑基于一个假设——国内App的请求域名是固定且可识别的。

但今晚的更新打破了这个假设。那家大厂的新版本App，把所有核心API的域名从api.xxx.com这种静态域名，改成了gateway-xxxx.edgecompute.app这种动态生成的边缘计算节点。更狠的是，它会在运行时随机挑选几个域名做A/B测试，甚至把部分数据伪装成wss://的WebSocket连接，混在正常流量里。我的规则还在傻傻地匹配DOMAIN-SUFFIX,xxx.com，结果就是：该直连的走了代理，被墙；该代理的走了直连，被丢包。

我盯着日志里那一行MATCH,PROXY，突然意识到，旧规则不是“过时”了，而是“失明”了。它看不到流量背后的真实意图，只能看到表面的域名。而在今天，国内App的开发者们，已经学会了用“动态域名+加密握手+流量伪装”来对抗防火墙的精准识别。他们不是要绕过墙，而是要让墙分不清谁是国内谁是国外——这直接导致了我这种“一刀切”分流规则的崩溃。

h3：币圈场景下的“规则失灵”有多痛

你可能觉得，不就是App更新吗？重新抓个包，改几个域名不就行了？但如果你是像我一样，每天要在十几个链上协议间切换的人，你会发现事情远没那么简单。

举个例子。我今晚要做的操作是：从某交易所提现一笔ETH到MetaMask，然后去Uniswap V3上添加流动性。这个流程涉及至少四个不同的网络请求：

1. 交易所的提现API（国内服务器，但需要TLS指纹匹配）
2. 以太坊主网的RPC节点（比如Infura或Alchemy，都在国外）
3. Uniswap的合约交互（通过MetaMask内置的RPC）
4. Gas费估算服务（可能是第三方，也可能是MetaMask自带）

按照我旧的分流规则，第1条应该走直连（因为是国内域名），第2、3、4条走代理。但今晚，交易所的提现API被改成了动态域名，我的规则直接把它丢给了代理——结果，代理服务器在海外，访问国内动态域名时延迟暴增到800ms，而且因为TLS指纹不匹配，直接被交易所的风控系统判定为“异常登录”。我收到了短信验证码，但没敢点确认，因为我怕再点一下，账户就锁了。

更麻烦的是，我为了保险起见，把MetaMask的RPC节点换成了国内某个矿池提供的公共节点（速度更快），但那个节点恰好也被墙了。我的规则里没有针对这个节点的直连规则，于是它走了代理，而代理服务器在美国，访问国内节点时被反向墙了——连接超时。结果就是，我的钱包显示“网络错误”，但链上的交易其实已经广播出去了，只是我收不到回执。那一瞬间，我差点以为我的ETH打了水漂。

h2：新规则的核心思路：用“进程”和“IP段”代替“域名”

折腾到凌晨四点，我抽了半包烟，终于想明白了一件事：在2025年，不能再用“域名”来定义“国内”和“国外”了。 因为国内App已经学会了“域名漂移”，但有一个东西是漂移不了的——IP地址段。中国电信、联通、移动的骨干网IP段是固定的，CDN节点虽然多，但ASN（自治系统号）不会变。更重要的是，进程是固定的。微信就是WeChat.exe，支付宝就是AliPayClient.exe，交易所App就是OKX.exe。我可以直接告诉代理工具：这个进程的所有流量，全部直连；那个进程的所有流量，全部代理。

于是，我重新写了规则。核心变成了两层：

h3：第一层：基于进程的强制分流

yaml rules: - PROCESS-NAME,WeChat.exe,DIRECT - PROCESS-NAME,AliPayClient.exe,DIRECT - PROCESS-NAME,Douyin.exe,DIRECT - PROCESS-NAME,OKX.exe,PROXY - PROCESS-NAME,Binance.exe,PROXY - PROCESS-NAME,MetaMask.exe,PROXY # 兜底：未知进程，按IP段判断

这一层的逻辑是：凡是你能明确识别出是“国内社交/支付/短视频”的进程，直接放行；凡是跟币圈、链上、海外服务相关的进程，强制走代理。 这样，即使App内部把域名改得再花哨，只要进程名字不变，规则就不会失效。

但问题来了：如果某个App既包含国内功能，又包含国外功能呢？比如Telegram，它既有国内用户，又有海外节点。或者更常见的——浏览器。我用Chrome同时访问GitHub和B站，怎么办？

h3：第二层：基于IP段的智能兜底

这时候就需要第二层规则了。我把中国的ASN列表（比如AS4134中国电信、AS4837中国联通、AS9808中国移动）全部导入规则，然后写一个逻辑：

yaml - IP-CIDR,1.0.1.0/24,DIRECT # 示例，实际有几千条 - IP-CIDR,223.255.252.0/24,DIRECT - GEOIP,CN,DIRECT # 剩下的，如果目标IP是中国大陆，直连；否则代理 - MATCH,PROXY

但这里有个坑：GEOIP数据库可能过时。国内有些CDN节点用了海外的IP段（比如Cloudflare的香港节点），或者某些海外服务反向代理了国内IP。所以，我加了一条终极保险：当某个连接既匹配不到进程，又匹配不到IP段时，默认走代理。 因为对于币圈操作来说，宁可慢，不能错。走代理最多就是延迟高点，但走直连一旦被墙，就是交易失败、资产卡住。

h2：实战演练：用新规则熬过今晚的提现

我重新加载了配置，深吸一口气，开始测试。

第一步：打开交易所App，点击“提现”。 日志显示，OKX.exe进程的所有连接都走了代理。其中有一个请求是https://withdraw.okx.com/api/v3/withdraw，目标IP是104.18.2.1（Cloudflare的IP段）。因为规则里PROCESS-NAME,OKX.exe,PROXY优先级最高，所以它直接走了我的美国节点。延迟虽然高，但TLS指纹是完整的，交易所风控没报警。验证码来了，我点确认，提现请求发出。完美。

第二步：打开MetaMask，切换网络。 我选择了一个国内矿池的RPC节点，地址是https://rpc.example.cn。这个域名在旧规则里会被匹配到DOMAIN-SUFFIX,example.cn,DIRECT，但新规则里没有这条，所以它走到了GEOIP,CN,DIRECT。日志显示，目标IP是114.114.114.114（国内DNS），直接直连，延迟20ms。钱包连上了，余额显示正常。

第三步：在Uniswap上添加流动性。 这一步最复杂。MetaMask发起一个eth_call请求到Uniswap的合约地址（在以太坊主网上），同时还要请求Gas价格。因为MetaMask进程被强制代理，所以这个请求走了美国节点。但问题是，合约地址本身是公开的，不涉及隐私，但签名后的交易广播必须走代理，否则会被防火墙拦截。日志显示，eth_sendRawTransaction请求走了代理，广播成功。几秒后，交易回执返回，流动性添加成功。我的LP Token到账了。

那一刻，我瘫在椅子上，看着屏幕上那个绿色的“Success”标记。窗外雨停了，天边露出鱼肚白。我意识到，今晚这场“分流规则更新”，本质上是一场军备竞赛。国内App的开发者为了用户体验，不断用技术手段绕过防火墙的干扰；而我们这些需要访问海外服务的用户，则必须用更精细的工具来区分“该直连的”和“该代理的”。这个博弈永远不会停止，但至少今晚，我赢了。

h2：给同行的几个“血泪”建议

如果你也在用Clash或Surge，并且也靠币圈吃饭，我建议你立刻检查三件事：

第一，放弃“域名分流”，改用“进程分流”。 在Clash Verge的规则里，PROCESS-NAME的优先级远高于DOMAIN-SUFFIX。把微信、支付宝、抖音这些进程直接设成DIRECT，把交易所、钱包、链上工具的进程设成PROXY。这样最稳。

第二，更新你的GEOIP数据库。 我用的GeoLite2-CN库是三个月前下载的，今晚就发现有几个国内CDN节点被误判成了美国IP。建议每个月更新一次，或者直接用geoip.dat的自动更新脚本。

第三，给“未知流量”设一个默认动作。 我见过很多人写MATCH,DIRECT，觉得“国内流量多，直连省流量”。但如果你做币圈交易，这个默认动作就是灾难。因为一旦某个新App的域名没被识别，它就会走直连，然后被墙，然后你的交易就卡死了。默认走代理，哪怕慢一点，至少不会断。

最后，也是最重要的一点：别在凌晨三点改规则。 因为那时候你的判断力最差，而市场的波动最大。今晚如果不是我运气好，可能就栽在那条“动态域名”上了。但话说回来，这种跟防火墙、跟App更新赛跑的感觉，不正是我们选择这个行业的原因吗？每一次规则更新，都是一次对技术边界的试探。而在这个试探里，我们学会了不只是写规则，而是理解流量背后的逻辑——无论是代码，还是资本。