路由规则优先级：如何设置VPN走指定流量

凌晨两点，老陈的屏幕还亮着。他盯着交易所K线图，手指在键盘上敲下最后一笔限价单。窗外是深圳湾的夜色，屋里只有机箱风扇的低鸣。这笔交易不大，折合三万多美元，但他不敢大意——上个月隔壁老王的教训还历历在目：一笔普通的USDT转账，因为IP地址跳到了不干净的节点，被交易所风控冻结了整整两周，错过了那波SOL的暴涨。

老陈深吸一口气，点开VPN客户端。他需要让这台电脑上的交易所流量走日本节点，但与此同时，后台那个跑着量化策略的树莓派必须继续用美国IP——那个IP绑定了API白名单。而他自己刷Twitter的浏览器，最好走新加坡，因为那里延迟低。

问题来了：他只有一台软路由，一个VPN订阅，里面几十个节点。怎么让不同的设备、不同的应用，甚至同一个应用的不同域名，走不同的线路？

这不是什么高深的黑客技术，而是每一个在币圈认真活着的人都迟早要面对的现实。今天我们就从老陈的这个深夜场景出发，把“路由规则优先级”这件事彻底讲透。

为什么币圈人必须懂路由规则

先别急着谈技术。我们得先搞清楚：为什么虚拟币玩家对网络路径如此敏感？

第一，交易所的风控系统比你想象中聪明。它不只看你的登录IP，还会看IP的“历史行为”。一个被大量用户共享的机场节点，很可能已经被标记为“高风险”。你用它登录币安，轻则要求二次验证，重则直接触发人工审核。而一个干净的、独享的住宅IP，哪怕速度慢一点，反而更安全。

第二，不同链的节点对延迟极其敏感。你在以太坊上抢跑一笔MEV，或者在Solana上打新，延迟超过200毫秒基本就宣告失败。这时候你需要的是物理距离最近的节点，而不是“能连上就行”。

第三，也是最重要的一点：你的流量里，有些必须加密，有些必须直连。比如你访问国内某交易所的OTC页面，走VPN反而可能被判定为异常登录；但你访问去中心化交易所，不走VPN可能根本打不开。更不用说那些跑量化机器人的服务器，它们的API请求必须走固定IP，否则交易所的白名单机制会让你寸步难行。

所以，路由规则优先级，本质上是一套“流量调度策略”。它决定了：哪个应用、哪个域名、哪个IP段，走哪条隧道，以及当多条规则冲突时，谁说了算。

路由规则的基本逻辑：从“匹配”到“优先级”

规则是如何被匹配的

想象你是一个邮局分拣员。每一封信（数据包）进来，你都要看它的地址（目标IP或域名），然后决定把它扔进哪个箱子（出口线路）。

路由规则就是你的分拣手册。手册上写着：

• 如果地址是 api.binance.com，扔进“日本节点”箱子。
• 如果地址是 192.168.1.0/24，扔进“直连”箱子。
• 如果地址是 *.eth.link，扔进“美国节点”箱子。
• 如果以上都不匹配，扔进“默认”箱子。

但问题在于：手册上的条目是有顺序的。你从第一条开始看，一旦匹配成功，就立刻执行，不再往下看。这就是“优先级”的最直白解释——顺序即优先级。

常见路由工具中的优先级机制

不同的工具，实现方式不同，但核心思想一致。

Clash系列（包括Clash for Windows、ClashX、OpenClash等）的规则列表是从上到下匹配的。你可以把最精确的规则放在最上面，最宽泛的规则放在最下面。比如：

yaml rules: - DOMAIN,api.binance.com,日本节点 - DOMAIN-SUFFIX,binance.com,日本节点 - IP-CIDR,192.168.1.0/24,DIRECT - GEOIP,CN,DIRECT - MATCH,默认节点

这里 DOMAIN 比 DOMAIN-SUFFIX 更精确，所以放在上面。MATCH 是兜底规则，永远在最后。

Surge 和 Quantumult X 也类似，但它们支持更复杂的逻辑，比如 AND、OR、NOT 组合条件。你可以写：“如果目标域名是 *.okx.com 且来源端口是 443，则走香港节点”。这种规则通常优先级更高，因为它们更具体。

OpenWrt上的mwan3 则是另一套逻辑。它基于“策略”和“规则”的优先级数字，数字越小优先级越高。你可以给不同的流量打上标记（mark），然后让标记决定走哪条WAN口。

当规则冲突时，谁说了算

这是最容易踩坑的地方。假设你写了两条规则：

1. DOMAIN-SUFFIX,binance.com,日本节点
2. IP-CIDR,1.2.3.4/32,美国节点

而 api.binance.com 解析出来的IP恰好是 1.2.3.4。那么它到底走日本还是美国？

答案取决于你的工具如何处理“域名规则”和“IP规则”的先后关系。在Clash中，域名规则通常先于IP规则匹配，因为域名信息在DNS解析阶段就已知。但如果你开启了“IP优先”模式，或者使用了 no-resolve 参数，结果可能完全不同。

更复杂的是，有些工具支持“规则集”（Rule Set），比如把“币安相关域名”打包成一个文件，然后给这个文件一个优先级。当规则集内部有冲突时，又取决于规则集内部的排序。

所以，一个成熟的配置，必须做到：精确规则在前，宽泛规则在后；域名规则在前，IP规则在后；自定义规则在前，内置规则集在后。

实战：让VPN只带走该走的流量

回到老陈的场景。他需要实现以下目标：

• 交易所网页和API：走日本节点（干净、低延迟）
• 量化机器人（树莓派）：走美国节点（固定IP，已加白名单）
• 日常浏览（Twitter、Google）：走新加坡节点（速度快）
• 国内银行、微信、OTC法币区：直连
• 其他未知流量：走默认节点（香港）

第一步：明确出口策略

在Clash中，你可以定义多个 proxy-group：

yaml proxy-groups: - name: 日本节点 type: select proxies: [日本-01, 日本-02, 日本-03] - name: 美国节点 type: select proxies: [美国-01, 美国-02] - name: 新加坡节点 type: select proxies: [新加坡-01, 新加坡-02] - name: 默认节点 type: select proxies: [香港-01, 香港-02, DIRECT]

然后写规则：

yaml rules: # 交易所相关——最精确的域名放最上面 - DOMAIN,api.binance.com,日本节点 - DOMAIN,www.binance.com,日本节点 - DOMAIN-SUFFIX,binance.com,日本节点 - DOMAIN-SUFFIX,okx.com,日本节点 - DOMAIN-SUFFIX,coinbase.com,美国节点 - DOMAIN-SUFFIX,kraken.com,美国节点

# 量化机器人——通过源IP或源端口区分 - SRC-IP-CIDR,192.168.1.100/32,美国节点

# 日常浏览 - DOMAIN-SUFFIX,twitter.com,新加坡节点 - DOMAIN-SUFFIX,google.com,新加坡节点 - DOMAIN-SUFFIX,github.com,新加坡节点

# 国内直连 - GEOIP,CN,DIRECT - DOMAIN-SUFFIX,wechat.com,DIRECT - DOMAIN-SUFFIX,alipay.com,DIRECT

# 兜底 - MATCH,默认节点

注意 SRC-IP-CIDR 这条规则。它根据“来源IP”来匹配，而不是目标IP。这意味着树莓派（192.168.1.100）发出的所有流量，无论目标是什么，都会走美国节点。这条规则必须放在 GEOIP,CN,DIRECT 之前，否则树莓派访问国内地址时会被直连规则截胡。

第二步：处理DNS泄漏和IP解析

一个常见的陷阱是：你写了 DOMAIN-SUFFIX,binance.com,日本节点，但你的DNS查询却走了本地ISP。结果交易所看到的IP是日本的，但DNS请求暴露了你的真实位置。更糟的是，如果DNS返回了一个CDN节点IP，而这个IP恰好匹配了后面的 GEOIP,CN,DIRECT，那么你的币安流量就会直连——直接暴露。

解决方案是开启“DNS增强模式”或“Fake-IP模式”。在Clash中，你可以设置：

yaml dns: enable: true enhanced-mode: fake-ip fake-ip-range: 198.18.0.1/16 nameserver: - 1.1.1.1 - 8.8.8.8 fallback: - tls://8.8.4.4:853

Fake-IP模式下，所有域名都会被解析成一个虚拟IP（198.18.x.x），然后根据域名规则匹配。这样就不会出现“域名规则被IP规则覆盖”的问题。但代价是，某些依赖真实IP的应用可能出问题，比如BT下载或某些游戏。对于币圈用户来说，这个代价通常可以接受。

第三步：优先级排序的黄金法则

经过大量实践，我总结出以下排序原则：

1. 源IP规则 > 目标域名规则 > 目标IP规则 > GEOIP规则 > MATCH
2. 精确域名 > 域名后缀 > 关键词
3. 自定义规则 > 规则集 > 内置规则
4. 拒绝规则 > 代理规则 > 直连规则（如果你需要屏蔽某些广告或恶意域名，拒绝规则应该放在最前面）

为什么“源IP规则”优先级最高？因为它是基于“谁在发请求”来判断的，比“发给谁”更确定。老陈的树莓派只有一个，但它的目标地址可能有几百个。用源IP来区分，最干净利落。

第四步：测试与验证

配置写完了，怎么知道对不对？

最简单的方法：打开 https://ip.sb 或 https://whatismyipaddress.com，看看显示的IP是不是你期望的节点。但注意，这只能测试浏览器流量。

对于量化机器人，你需要在树莓派上执行：

bash curl --interface eth0 https://api.binance.com/api/v3/time

然后查看交易所的API日志，确认请求来源IP是美国节点。

对于更复杂的场景，你可以用 tcpdump 抓包：

bash tcpdump -i any -n host api.binance.com

看看数据包到底走了哪个网卡。

进阶：当VPN本身也需要分流

老陈后来遇到一个新问题：他的VPN订阅里，有些节点是“流媒体专用”，有些是“低倍率”，有些是“高倍率”。他想让交易所走低倍率节点（省钱），让YouTube走流媒体节点（解锁），让日常浏览走高倍率节点（稳定）。

这就需要在 proxy-group 层面再做一层优先级。Clash支持“嵌套策略组”：

yaml proxy-groups: - name: 低倍率 type: select proxies: [日本-低倍率-01, 日本-低倍率-02] - name: 流媒体 type: select proxies: [美国-流媒体-01, 美国-流媒体-02] - name: 高倍率 type: select proxies: [香港-高倍率-01, 香港-高倍率-02] - name: 最终出口 type: select proxies: [低倍率, 流媒体, 高倍率, DIRECT]

然后在规则里，把不同流量指向不同的策略组。这样，当你想切换某个策略组的节点时，不需要改规则，只需要在面板上点一下。

那些年我们踩过的坑

坑一：规则顺序写反了。 把 GEOIP,CN,DIRECT 放在了 DOMAIN-SUFFIX,binance.com,日本节点 前面。结果币安被解析到国内CDN，直接直连，IP暴露。

坑二：忘了处理IPv6。 很多交易所支持IPv6，而你的规则只写了IPv4。结果流量走了IPv6直连，VPN形同虚设。解决方案：在Clash中设置 ipv6: false，或者单独写IPv6规则。

坑三：DNS缓存污染。 你改了规则，但DNS缓存还是旧的。结果币安流量走了错误的节点。解决方案：重启Clash，或者执行 ipconfig /flushdns（Windows）或 sudo dscacheutil -flushcache（macOS）。

坑四：规则集更新导致优先级变化。 你用的某个规则集，作者更新后把某条规则挪了位置。结果你的币安流量突然走了直连。解决方案：尽量用自定义规则覆盖规则集，或者锁定规则集版本。

一个完整的配置模板

以下是一个针对币圈用户的Clash配置核心片段，你可以直接复制到自己的配置中，稍作修改即可使用：

yaml proxy-groups: - name: 交易所 type: select proxies: [日本-01, 日本-02, 美国-01, DIRECT] - name: 量化 type: select proxies: [美国-01, 美国-02] - name: 日常 type: select proxies: [新加坡-01, 香港-01] - name: 默认 type: select proxies: [香港-01, 香港-02, DIRECT]

rules: # 源IP优先——量化机器人 - SRC-IP-CIDR,192.168.1.100/32,量化

# 交易所域名——精确在前 - DOMAIN,api.binance.com,交易所 - DOMAIN,api.okx.com,交易所 - DOMAIN-SUFFIX,binance.com,交易所 - DOMAIN-SUFFIX,okx.com,交易所 - DOMAIN-SUFFIX,coinbase.com,交易所 - DOMAIN-SUFFIX,kraken.com,交易所 - DOMAIN-SUFFIX,bybit.com,交易所 - DOMAIN-SUFFIX,bitget.com,交易所

# 链上工具 - DOMAIN-SUFFIX,etherscan.io,交易所 - DOMAIN-SUFFIX,bscscan.com,交易所 - DOMAIN-SUFFIX,solscan.io,交易所 - DOMAIN-SUFFIX,debank.com,交易所

# 日常浏览 - DOMAIN-SUFFIX,twitter.com,日常 - DOMAIN-SUFFIX,google.com,日常 - DOMAIN-SUFFIX,github.com,日常 - DOMAIN-SUFFIX,reddit.com,日常

# 国内直连 - GEOIP,CN,DIRECT - DOMAIN-SUFFIX,wechat.com,DIRECT - DOMAIN-SUFFIX,alipay.com,DIRECT - DOMAIN-SUFFIX,okx.com.cn,DIRECT

# 兜底 - MATCH,默认

注意：okx.com.cn 是欧易的国内站，必须直连。如果你把它和 okx.com 混在一起，可能会触发风控。

最后一点思考

老陈后来把整套配置写成了一个脚本，每次切换节点时自动更新规则。他还加了一个“紧急直连”按钮——当交易所风控突然要求视频验证时，一键把所有流量切回直连，避免因为VPN IP问题导致账户被冻结。

在币圈，网络配置从来不是“技术宅的玩具”，而是资产安全的第一道防线。你的一笔转账、一次挂单、一个API请求，背后都是真金白银。路由规则优先级，本质上是你对自己数字资产的“交通管制权”。

深夜的深圳湾依然安静，老陈的屏幕依然亮着。但这一次，他知道每一笔流量去了哪里，也知道为什么去那里。这大概就是在这个行业里，最踏实的一种安全感。