Clash TUN模式规则编写入门

凌晨两点十七分，我盯着屏幕上那个红色的“连接失败”提示，第七次把手机举到窗边。窗外是曼谷雨季特有的闷热空气，霓虹灯在雨幕里晕成一片模糊的光斑。手机信号栏依然只有两格，而我的加密钱包里，那笔刚到的USDT正等着被换成ETH，再跨链到BSC上的某个新池子——但交易所的APP死活加载不出行情。

“操，又墙了。”我骂了一句，把手机摔在宾馆的枕头边上。

隔壁床的老周翻了个身，迷迷糊糊地说：“你试试Clash的TUN模式……规则写好了能全局接管，比系统代理稳多了。”

我愣了两秒。老周是个在东南亚跑了五年“链上业务”的老油条，他说的东西我半信半疑——毕竟三天前我还在用最原始的PAC模式，每次切节点都要手动刷新，遇到油管能看但电报发不出图片的诡异情况，只能一遍遍重启客户端。

但那天夜里，当我终于按着他的指引，在Clash的配置里打开了TUN模式的开关，手机状态栏瞬间跳出一个虚拟网卡图标。所有流量——包括那些不走系统代理的APP、游戏、甚至交易所的推送服务——全部被透明接管。那一刻我忽然意识到，这玩意儿才是玩转加密世界真正的“底层基建”。

---

一、为什么TUN模式是币圈玩家的“刚需”？

先别急着学规则，你得先明白一个残酷的事实：绝大多数交易所、DeFi协议、甚至链上数据网站，它们的服务器都在海外，而且很多IP段常年被标记为“高风险”。你用普通代理访问，大概率会遇到两种情况：

• 浏览器能打开，但APP连不上——因为很多移动端应用根本不走系统代理，它们直接用底层socket连接，只有TUN这种“虚拟网卡”级别的接管才能捕获这些流量。
• 网页能加载，但Web3钱包的RPC请求超时——比如你用MetaMask连Infura的节点，如果代理规则没覆盖到那个IP段，交易就永远卡在“pending”。

我有个朋友在深圳做量化套利，他曾经因为规则没写全，导致一个跑在Docker里的套利机器人漏了流量——机器人直连了某个被墙的API，结果延迟飙到2000ms，错过了最佳成交价，一晚上亏了4000U。后来他花了两天时间把TUN规则彻底重写，才彻底解决了这个问题。

TUN模式的本质：它在你的设备上创建一个虚拟网卡，把所有网络流量（无论来自哪个进程）都“骗”进这个网卡，然后由Clash根据你写的规则，决定每一条数据流是走代理、还是直连、还是拦截。这意味着：

1. 全应用覆盖——包括游戏、命令行工具、系统更新、甚至某些恶意软件的回连请求。
2. 协议无关——TCP、UDP、ICMP都能处理，对Web3钱包的WebSocket长连接特别友好。
3. 规则优先级清晰——你可以精确控制哪些IP段走哪个节点，哪些流量必须直连（比如本地局域网）。

但问题来了：默认的规则模板是为“科学上网”设计的，它只关心Google、YouTube、Netflix这些主流网站，对币圈特有的域名和IP段完全没概念。所以你必须学会自己写规则。

---

二、从零开始：你的第一个TUN规则文件

打开你的Clash配置文件（YAML格式），找到 rules: 那一行。下面就是你的战场。我先给你看一个最基础的币圈专用规则骨架：

yaml rules: # --- 局域网直连（必须放在最前面）--- - IP-CIDR,192.168.0.0/16,DIRECT - IP-CIDR,10.0.0.0/8,DIRECT - IP-CIDR,172.16.0.0/12,DIRECT

# --- 币圈交易所 & 数据服务（走代理）--- - DOMAIN-SUFFIX,binance.com,PROXY - DOMAIN-SUFFIX,binance.us,PROXY - DOMAIN-SUFFIX,coinbase.com,PROXY - DOMAIN-SUFFIX,okx.com,PROXY - DOMAIN-SUFFIX,bybit.com,PROXY - DOMAIN-SUFFIX,huobi.com,PROXY - DOMAIN-SUFFIX,gate.io,PROXY - DOMAIN-SUFFIX,kraken.com,PROXY

# --- 链上基础设施（RPC节点、区块浏览器）--- - DOMAIN-SUFFIX,infura.io,PROXY - DOMAIN-SUFFIX,alchemy.com,PROXY - DOMAIN-SUFFIX,etherscan.io,PROXY - DOMAIN-SUFFIX,blockchair.com,PROXY - DOMAIN-SUFFIX,chainlist.org,PROXY

# --- 社交媒体 & 行情工具 --- - DOMAIN-SUFFIX,twitter.com,PROXY - DOMAIN-SUFFIX,discord.com,PROXY - DOMAIN-SUFFIX,telegram.org,PROXY - DOMAIN-SUFFIX,coingecko.com,PROXY - DOMAIN-SUFFIX,coinmarketcap.com,PROXY

# --- 其他默认规则（兜底）--- - MATCH,PROXY

注意看几个关键点：

• IP-CIDR 规则必须放在最前面，因为局域网地址（192.168.x.x 等）如果走了代理，你的路由器管理界面都打不开。
• DOMAIN-SUFFIX 匹配域名后缀，比如 binance.com 会同时命中 api.binance.com、www.binance.com 等所有子域名。
• MATCH,PROXY 是兜底——所有没被上面规则命中的流量，默认走代理。这样最安全，但也会导致一些国内APP变慢。

但这里有个坑：很多币圈服务用的不是标准域名，而是IP地址，或者动态变化的CDN节点。比如某些去中心化交易所的聚合器，它们的API域名每两周换一次。这时候你光靠域名规则是不够的。

---

三、进阶：用IP段和端口号精准控制

3.1 处理“裸IP”流量

我遇到过最头疼的情况：某个量化交易平台的WebSocket服务，它直接暴露了一个IP地址 45.77.12.3:443，没有域名。这时候你需要用 IP-CIDR 规则：

yaml - IP-CIDR,45.77.12.0/24,PROXY

注意，/24 表示匹配整个C段地址（45.77.12.0到45.77.12.255）。如果你知道对方用的是云服务商（比如Vultr、DigitalOcean），你可以直接把这个服务商的所有IP段都加进去。但别滥用——加太多会拖慢匹配速度。

3.2 端口规则：精准打击UDP流量

玩Web3游戏或者用某些去中心化VPN（比如WireGuard协议）时，UDP流量特别重要。Clash的TUN模式支持 DST-PORT 规则：

yaml # 让所有UDP 443端口流量走代理（很多加密通信协议用这个端口） - DST-PORT,443,PROXY # 但让本地DNS查询直连（防止DNS泄漏） - DST-PORT,53,DIRECT

这里有个小技巧：把 DST-PORT,53,DIRECT 放在很靠前的位置。因为DNS查询如果走了代理，你解析出来的IP可能是节点所在地的IP，而不是你本地的IP，这会导致某些根据地理IP限制的服务判定你“位置异常”。

---

四、实战场景：一次跨链套利的完整规则调试

让我给你讲个真实故事。上周五晚上，我盯上了一个Arbitrum上的新币，打算从以太坊主网跨链过去抢流动性。但问题在于：

1. 我的MetaMask连的是Infura的RPC节点（需要代理）
2. 但Arbitrum的跨链桥合约调用的是另一个域名 bridge.arbitrum.io（也需要代理）
3. 而我的本地节点（Geth）跑在 localhost:8545（必须直连）
4. 同时，我需要用 curl 访问一个IPFS网关来获取代币的ABI文件（IPFS网关域名经常变）

我的第一版规则是这样的：

yaml - IP-CIDR,127.0.0.0/8,DIRECT - DOMAIN-SUFFIX,infura.io,PROXY - DOMAIN-SUFFIX,arbitrum.io,PROXY - DOMAIN-SUFFIX,ipfs.io,PROXY - MATCH,PROXY

看起来没问题对吧？但实际跑起来，跨链桥一直报错“transaction underpriced”。排查了半天，发现是因为我的MetaMask在构造交易时，需要向 api.thegraph.com 查询子图数据（用来获取代币价格），而这个域名没被我的规则覆盖，走了兜底的 PROXY——但我的代理节点在东京，查询The Graph的延迟高达800ms，导致交易签名超时。

解决方案：在规则里加一行 DOMAIN-SUFFIX,thegraph.com,PROXY，并且把 MATCH 改成 MATCH,DIRECT（这样没匹配到的国内流量直连，避免延迟）。但这样又有个风险——如果某个币圈服务用了国内CDN，直连反而会失败。

所以最终我用了策略组来解决这个矛盾：

yaml proxy-groups: - name: "Crypto" type: select proxies: - "节点A" - "节点B" - name: "Direct" type: select proxies: - DIRECT

rules: - IP-CIDR,127.0.0.0/8,DIRECT - DOMAIN-SUFFIX,thegraph.com,"Crypto" - DOMAIN-SUFFIX,infura.io,"Crypto" - DOMAIN-SUFFIX,arbitrum.io,"Crypto" - DOMAIN-SUFFIX,ipfs.io,"Crypto" - MATCH,DIRECT

这样，所有币圈相关流量走“Crypto”策略组（我可以随时手动切换节点），而其他流量（比如访问百度、淘宝）直接直连，不浪费代理流量。

---

五、常见坑与避雷指南

5.1 规则顺序的“隐形优先级”

很多新手不知道：Clash的规则是从上到下逐条匹配的，第一条匹配到的规则生效，后面的不再检查。所以：

• 把 IP-CIDR 的局域网规则放在最前面
• 把 DOMAIN-SUFFIX 的精准规则放在中间
• 把 MATCH 兜底放在最后

如果你把 MATCH,PROXY 放在最前面，那么所有流量都会走代理，后面的规则全部失效。

5.2 关于“DNS泄漏”的玄学

TUN模式下，如果DNS请求走了代理，你解析出来的IP可能是“假IP”（比如Cloudflare的IP），这会导致某些交易所的风控系统判定你“IP异常”，直接封号。解决办法：

yaml dns: enable: true nameserver: - 1.1.1.1 - 8.8.8.8 fallback: - 114.114.114.114

并且在规则里强制 DST-PORT,53,DIRECT，让DNS查询直连本地。但注意：如果你直连的DNS被污染（比如国内），你就解析不到币圈域名的真实IP。这时候需要开启Clash的 fake-ip 模式——它会返回一个虚拟IP，然后Clash在内部映射到真实地址，这样既避免了DNS泄漏，又能正确路由。

5.3 移动端TUN模式的特殊性

手机上的TUN模式比电脑更严格，因为很多APP（特别是国产APP）会检测虚拟网卡。比如某银行APP，检测到TUN模式直接闪退。解决方案：

• 在规则里加 DOMAIN-SUFFIX,alipay.com,DIRECT 等国内APP的域名走直连
• 或者用 PROCESS-NAME 规则（仅限Android），指定某些进程不走代理：

yaml - PROCESS-NAME,com.tencent.mm,DIRECT # 微信直连 - PROCESS-NAME,com.alibaba.taobao,DIRECT # 淘宝直连

---

六、用“事件驱动”思维维护你的规则

规则不是写一次就完事的。币圈服务变化太快，今天还好好的域名，明天可能就换成了另一个CDN。我现在的习惯是：

1. 每次遇到连接异常，先打开Clash的日志面板，看那条流量被命中了哪条规则。
2. 如果命中了 MATCH,DIRECT 但连接失败，说明这个域名需要走代理，我立刻加一行 DOMAIN-SUFFIX,xxx.com,PROXY。
3. 定期用 clash -t -f config.yaml 测试配置，确保语法正确。

有一次，我在测试一个去中心化期权平台时，发现它的报价流走的是 wss://stream.deribit.com，而我的规则里只写了 deribit.com 的域名后缀，没写 stream 子域名——但 DOMAIN-SUFFIX 是匹配所有子域的，所以没问题。真正的问题是，这个WebSocket连接用的是UDP 443端口，而我的节点不支持UDP转发。最后我在节点配置里开了 udp: true，才解决了问题。

---

七、写在最后：规则是你的“链上护照”

现在，凌晨三点半，我终于让那笔跨链交易成功上链。手机屏幕上的TUN模式图标稳定地亮着，像一个忠诚的守夜人。我随手打开Clash的规则面板，看到自己这一周写下的密密麻麻的规则条目——从 binance.com 到 uniswap.org，从 arbiscan.io 到 raw.githubusercontent.com，每一行都是一次踩坑后的经验沉淀。

窗外雨停了。老周翻了个身，嘟囔着：“搞定没？搞定赶紧睡，明天还要去盯IDO呢。”

我关掉手机，心里清楚：在这个加密世界里，TUN模式规则就是你的“链上护照”——它决定了你的流量从哪条路走，也决定了你能不能准时抢到那枚新币的筹码。而这份规则文件，就是你和这个无序网络之间，唯一的秩序。