VPN分流规则配置教程：让国内应用正常访问

凌晨两点十七分，我盯着屏幕上那个不断转圈的菊花图标，手里的冰美式已经喝到只剩冰块。刚在Uniswap上抢到一个新币的额度，正准备切回国内行情软件看一眼大盘，结果——App直接白屏。

这不是第一次了。自从我习惯挂着VPN翻墙看链上数据，国内的那些软件就跟得了帕金森似的，动不动就抽风。银行App转账超时，视频网站卡在加载页，连叫个外卖都给我弹“网络异常，请检查设置”。我知道问题出在哪：VPN把所有的流量都一股脑塞进了海外隧道，国内服务器认不出我，自然就给我甩脸色。

但让我关掉VPN？那更不行。没有梯子，我连CoinGecko都打不开，更别说盯着Dune Analytics上的巨鲸地址实时操作了。这种“顾此失彼”的撕裂感，在加密圈老韭菜身上太常见了——我们活在一个需要“分身”的数字世界里，一个身份留给国内生活，一个身份留给链上战场。

直到上周，我在推特上看到一个老哥分享他的“分流”方案，才恍然大悟：原来问题不是VPN本身，而是我压根没学会怎么“指挥”它。今天，我就用自己踩过的坑，手把手教你配置一套“智能分流”规则。配好之后，你就能一边挂着节点盯盘，一边用原速刷抖音，两边互不干扰，丝般顺滑。

一、为什么你非得“分流”？——别让VPN绑架你的全部流量

先讲个真实场景。上周三晚上，我朋友老陈给我发语音，声音都带着哭腔。他刚在OKX上看到一笔大额转账，想抄底一个山寨币，结果手一抖，点开了国内某券商App想看看大盘联动。结果那个券商App直接识别出他用了海外IP，二话不说封了他的账号，提示“存在安全风险，需联系客服解封”。

老陈的悲剧在于，他把所有流量都交给了VPN。这就像你出国旅游，却非要穿着羽绒服去赤道——不是不行，是纯粹给自己找罪受。VPN的全局模式（Global Mode）会把你的每一个数据包都伪装成海外IP，这对访问Google、OpenAI、币安是好事，但对国内那些有“洁癖”的服务器来说，这就是赤裸裸的挑衅。

分流的核心逻辑，其实就是“看人下菜碟”：让国内域名走国内直连，让海外域名走代理隧道。听起来简单，但实际操作里有个关键陷阱——你不能只靠“域名后缀”来判断。比如，binance.com 和 binance.us 是两回事，而很多国内App的广告SDK却藏在海外CDN节点上。所以，你需要一套动态的、基于IP段和域名规则的双层过滤机制。

我见过最蠢的配置，是有人直接把所有cn域名都加进直连列表，结果发现微信支付里的“腾讯云”接口照样卡死。因为腾讯云的服务器可能部署在新加坡，用的却是tencent-cloud.com的域名。所以，分流规则的第一步，不是急着写规则，而是先学会“观察”。

二、动手前的“侦察”工作——找出谁在拖后腿

在动任何配置之前，先花半小时做一次“流量解剖”。我用的是macOS上的小火箭（Shadowrocket），但原理通用，Windows上的Clash Verge或v2rayN也一样。

第一步：打开你的VPN，切到全局模式，然后随便打开一个国内App。 比如，打开淘宝，刷5分钟首页。然后回到VPN的日志界面（一般有个“日志”或“Console”按钮），你会看到密密麻麻的连接记录。这时候，你要找的不是taobao.com，而是那些你没见过的域名，比如img.alicdn.com、acs.m.taobao.com，甚至还有log.mmstat.com。

第二步：用“Ping”和“Traceroute”做双保险。 在终端里输入ping -c 4 img.alicdn.com，如果延迟低于50ms，说明这个域名在国内有节点，可以直连。如果延迟超过150ms，且丢包严重，那它可能走了海外CDN，这时候你就要考虑是否让它走代理了——等等，这里有个反直觉的点：国内App的海外CDN节点，往往比国内节点更快，因为他们在海外部署了高带宽服务器，专门服务海外华人。所以，分流规则不是“国内域名必须直连”，而是“国内域名优先直连，但如果直连质量差，允许走代理”。

第三步：列一个“白名单”和“黑名单”的草稿。 白名单（强制直连）包括：银行类（招商银行、工商银行）、支付类（支付宝、微信支付）、社交类（微信、QQ）、视频类（B站、爱奇艺）——这些App对IP纯净度极度敏感，一旦发现海外IP，轻则限速，重则封号。黑名单（强制代理）包括：币安、Coinbase、Uniswap、OpenSea、Twitter、Telegram、Discord——这些平台不用代理根本打不开。

但最麻烦的是“灰名单”，比如网易云音乐，它的曲库在国内，但评论区有海外用户，所以它的API同时存在国内和海外节点。这时候，我的建议是：宁可让它走代理，也别让它直连。因为走代理最多就是加载慢一点，但直连如果被识别出“异地登录”，可能触发风控，直接给你踢下线。

三、实战配置：以Clash Verge为例，手把手写出你的第一套分流规则

好，现在进入正题。我以目前最流行的Clash Verge（Windows/macOS通用）为例，因为它用的是YAML配置文件，可视化界面清晰，而且支持Rule和Script双引擎。如果你用的是其他工具，逻辑完全一样，只是界面不同。

第一步：找到你的配置文件。 打开Clash Verge，点击“配置”标签，然后找到你正在用的那个配置（一般是config.yaml）。右键点击，选择“编辑文件”。会弹出一个文本编辑器，里面是密密麻麻的规则。别慌，我们只需要改动几个地方。

第二步：定义两个“策略组”。 在proxies和proxy-groups区块下面，你需要添加两个组：一个叫🚀 海外加速，另一个叫🇨🇳 国内直连。前者指向你所有的VPN节点（比如你订阅里的美国、日本、新加坡节点），后者指向DIRECT（直连）。代码大概长这样：

yaml proxy-groups: - name: "🚀 海外加速" type: select proxies: - "你的节点名1" - "你的节点名2" - "DIRECT" - name: "🇨🇳 国内直连" type: select proxies: - "DIRECT"

这里有个小技巧：在“海外加速”组里，把DIRECT也放进去，作为备用。这样，如果某个海外节点挂了，流量会自动回落到直连，不会导致断网。

第三步：写“规则”区块——这是灵魂。 在rules下面，你会看到一堆以DOMAIN-SUFFIX、IP-CIDR开头的行。我们的任务，是在这些行的最前面，插入我们自己的“优先规则”。记住，Clash的规则是从上往下匹配，命中即停止，所以顺序至关重要。

我的建议顺序是：

1. 第一优先级：国内域名直连。 比如： yaml

   • DOMAIN-SUFFIX,taobao.com,🇨🇳 国内直连
   • DOMAIN-SUFFIX,baidu.com,🇨🇳 国内直连
   • DOMAIN-SUFFIX,weixin.qq.com,🇨🇳 国内直连 但别傻乎乎地一个个写，用通配符。比如`DOMAIN-SUFFIX,cn`是匹配所有`.cn`结尾的域名，但这样会把一些海外注册的`.cn`网站也拉进来，所以最好用更精确的。我建议直接导入一份现成的国内域名列表，比如`china-list`，然后写一行：yaml
   • RULE-SET,https://raw.githubusercontent.com/blackmatrix7/iosrulescript/master/rule/Clash/China/China.list,🇨🇳 国内直连 这个列表包含了几乎所有主流国内App的域名和IP段，而且定期更新，比你自己手写强一百倍。

2. 第二优先级：海外关键域名走代理。 同样，用规则集： yaml

   • RULE-SET,https://raw.githubusercontent.com/blackmatrix7/iosrulescript/master/rule/Clash/Proxy/Proxy.list,🚀 海外加速 这个列表里包含了币安、Coinbase、OpenSea、GitHub、Google等所有你需要的海外服务。

3. 第三优先级：IP段兜底。 有时候，域名被DNS污染了，或者App直接用的是IP地址连接，这时候域名规则就失效了。所以，你需要加一条IP-CIDR规则： yaml

   • IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
   • IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
   • IP-CIDR,172.16.0.0/12,DIRECT,no-resolve 这三条是保留给局域网和本机用的，防止你连不上家里的路由器。然后，再加一条关键的：yaml
   • IP-CIDR,0.0.0.0/8,DIRECT,no-resolve
   • IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
   • IP-CIDR,100.64.0.0/10,DIRECT,no-resolve
   • IP-CIDR,127.0.0.0/8,DIRECT,no-resolve
   • IP-CIDR,169.254.0.0/16,DIRECT,no-resolve
   • IP-CIDR,172.16.0.0/12,DIRECT,no-resolve
   • IP-CIDR,192.0.0.0/24,DIRECT,no-resolve
   • IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
   • IP-CIDR,198.18.0.0/15,DIRECT,no-resolve
   • IP-CIDR,224.0.0.0/4,DIRECT,no-resolve 这段是防止Clash把本地流量也代理出去。

4. 第四优先级：最终的“兜底”规则。 在所有规则的最后，加一行： yaml

   • MATCH,🚀 海外加速 意思是，如果前面的规则都没匹配上，那就默认走代理。**但这里有个坑**：如果你按照我上面的顺序，把国内域名都放进了直连列表，那么剩下的流量大概率是海外未知流量，走代理没问题。但如果你漏掉了某个国内域名，比如某个冷门银行的App，它就会走代理，然后被风控。所以，我建议把最后一行改成：yaml
   • MATCH,🇨🇳 国内直连 这样，所有没被规则命中的流量，默认直连。虽然这样会导致一些冷门海外网站打不开，但至少保证了国内App的绝对安全。你可以先这样用一周，把日常用到的海外网站慢慢加进代理列表，再改回MATCH,🚀 海外加速。

四、进阶玩法：用“脚本”实现动态分流，让规则自己“学习”

如果你觉得静态规则不够聪明，比如你想让“推特”里的视频走代理，但“推特”的图片走直连（因为图片CDN在国内有节点），那静态规则就无能为力了。这时候，你需要用到Clash的script功能。

在配置文件里，你可以添加一个script区块，用JavaScript写一段逻辑。比如，我写了一个简单的函数：

javascript function main(config, profileName) { // 如果目标域名是 twitter.com，且路径包含 /video/，则走代理 if (config.host === 'twitter.com' && config.path.includes('/video/')) { return '🚀 海外加速'; } // 如果目标域名是 twitter.com，且路径包含 /media/，则直连 if (config.host === 'twitter.com' && config.path.includes('/media/')) { return '🇨🇳 国内直连'; } // 其他情况，交给静态规则 return config.rule; }

这个脚本会在每次发起连接时执行，根据不同的URL路径返回不同的策略组。虽然这样会增加一点延迟（因为每次都要跑一次JS），但对于追求极致体验的人来说，这完全值得。

但我要泼一盆冷水：脚本分流是一把双刃剑。如果你对代码不熟，很容易写出逻辑漏洞，导致某些流量走了错误的通道。比如，你判断/video/路径，但有些视频链接是/play/开头，你就漏了。所以，我的建议是：先跑通静态规则，稳定用一周，再考虑脚本。

五、避坑指南：那些让你“一夜回到解放前”的细节

配置好分流后，你以为万事大吉了？不，下面这五个坑，我全踩过，每一个都能让你崩溃。

坑一：DNS污染。 就算你分流规则写得再完美，如果你的DNS查询被污染了，那一切都白搭。比如，你访问binance.com，但你的ISP（网络服务商）提前返回了一个假的IP地址，那你的代理规则根本来不及生效。解决办法：在Clash配置里，把dns区块的enable设为true，然后设置nameserver为1.1.1.1和8.8.8.8，同时设置fallback为223.5.5.5（阿里DNS）。这样，海外域名用海外DNS解析，国内域名用国内DNS解析，互不干扰。

坑二：节点本身的“真伪”。 有些便宜的VPN节点，虽然显示是“美国”，但实际出口IP却是香港或新加坡，甚至有些是国内的“中转机”。这种节点，就算你分流规则再正确，也会因为节点本身的问题导致国内App识别出异常。所以，买节点前，一定要用ipinfo.io查一下出口IP的物理位置和ASN（自治系统号）。如果ASN显示是AS4134（中国电信），那这个“美国节点”就是假的，赶紧换。

坑三：系统代理设置冲突。 如果你同时开启了Clash和系统自带的VPN（比如Windows的“设置-网络-VPN”），那就会造成“双重代理”，流量会绕一大圈，延迟爆炸。所以，用Clash时，务必关闭系统VPN，并且把Clash设置为“系统代理”模式。

坑四：自动更新规则集。 我上面引用的China.list和Proxy.list是GitHub上的开源项目，它们会定期更新。如果你不设置自动更新，那过几个月，新的国内App域名就不会被识别，导致分流失效。在Clash Verge里，你可以在“配置”页面，点击“更新”按钮，或者设置一个cron任务，每周自动拉取一次。

坑五：WebRTC泄漏。 这个是最隐蔽的。你的浏览器里，有些网站会通过WebRTC协议直接获取你的真实IP，绕过VPN和分流规则。比如，你开着代理访问一个监测网站，它能在你不知情的情况下，通过WebRTC拿到你的国内IP。解决办法：在Chrome或Edge里，安装一个叫WebRTC Control的插件，设为“禁用非代理UDP”，或者在Clash的config.yaml里，加一行- MATCH,REJECT，但这样会误伤所有UDP流量，不推荐。更稳妥的办法是，在浏览器里禁用WebRTC。

六、实战效果：凌晨三点，我终于同时刷开了币安和美团

写到这里，我刚刚完成了自己的配置。现在，我打开币安App，瞬间加载出K线图，延迟只有180ms。然后我切到美团，点了一份烧烤外卖，下单支付，全程没有卡顿，也没有弹“安全警告”。

我又打开微信，给老陈发了条消息：“按照我上篇文章的配置，你现在可以同时挂梯子刷推，然后开着国内银行App转账了。”五分钟后，他回了个语音，声音里带着难以置信：“卧槽，真的不卡了！我刚在币安卖了一笔币，然后立刻打开招行App转了个账，居然秒到！”

我笑了笑，又点开B站，看一个关于以太坊坎昆升级的科普视频。弹幕里有人问“为什么你能看4K不卡”，我没回答，因为我知道，这背后不是运气，而是一套经过精细调校的分流规则。

最后提醒一句：分流的本质，是让你在数字世界里拥有“双重国籍”。但记住，无论你在哪个“国籍”下活动，都要遵守当地的法律法规。尤其是在加密交易方面，请确保你的操作符合所在地的监管要求。毕竟，技术是死的，人是活的。规则配得再好，也不如活得清醒。