凌晨三点十七分，我的Telegram群聊炸了。

“管理员！为什么我的节点连不上Coinbase了？”“求求了，刚才还能打开Binance，现在直接白屏！”“谁有能看盘的分流规则？我快亏死了！”——屏幕上滚动的消息像瀑布一样冲刷下来，而我盯着自己电脑上那个正在疯狂刷新日志的Clash终端，手心全是汗。

就在十分钟前，比特币价格突然从67,000美元直线拉升到71,200美元，整个加密圈像被电击了一样。我的一个朋友老周，他手里攥着价值二十万U的SOL仓位，正打算在69,800美元的位置挂个止盈单。可他的Clash配置里，那条“MATCH,🚀 直连”规则像一堵透明的墙，硬生生把Coinbase的API请求拦在了境外。等他手忙脚乱地切到全局模式，价格已经冲过了71,000美元——他的止盈单，永远地留在了那个他再也回不去的价格上。

这不是段子。这是每一个用Clash玩虚拟币的人，在深夜最真实的恐惧。

规则列表：你以为的顺序，其实是生死状

很多人打开Clash的配置文件，看到那几十行写着DOMAIN-SUFFIX,binance.com,🚀 节点、IP-CIDR,8.8.8.8/32,🎯 直连的规则，觉得它们就像超市货架上的商品，随便怎么摆都行。大错特错。

Clash的分流规则，本质上是一个从上到下、逐行匹配的“漏斗”。每一条规则都像一道闸门，数据包从最顶端进来，撞上第一条规则——如果匹配，立刻执行，后面的规则连看都不看；如果不匹配，就掉到第二条、第三条……直到最后一条MATCH兜底。

这个机制，决定了你的每一次API请求、每一笔链上交易、每一次行情刷新，走的都是哪条路。而在加密世界里，这条路是通往“财富自由”还是“插针爆仓”，往往只差一条规则的位置。

事件回放：那根差点让我爆仓的“DOMAIN-KEYWORD”

让我给你讲个真实的故事。上周三，ETH/BTC汇率突然剧烈波动，我盯着一款去中心化聚合交易平台的界面，准备抢一笔跨池套利。我的Clash规则文件里，有一条很早以前加的：

DOMAIN-KEYWORD,uniswap,🚀 节点

这条规则的本意是，只要域名里带“uniswap”的，都走海外节点，保证能打开界面。但那天我用的聚合平台叫“OpenOcean”，它的API域名是api.openocean.io——里面既没有“uniswap”，也没有“binance”，更没有“coinbase”。

于是，这个请求像没头苍蝇一样，一路撞穿了DOMAIN-SUFFIX,openocean.io,🎯 直连（因为我觉得它是个国内可访问的镜像站），最后撞在了倒数第三条：

GEOIP,CN,🎯 直连

那一刻，我的请求被判定为“中国大陆IP”，直接走了本地网络。结果就是，我的聚合平台界面卡在“加载中”长达四十秒，而当我终于看到那个套利机会时，价格差已经消失了。我算了一下，那一瞬间的利润空间大约是1.2个ETH——按当时价格算，接近3000美元。

问题出在哪？ 不是那条DOMAIN-KEYWORD错了，而是它的位置太靠后了。它排在DOMAIN-SUFFIX和GEOIP的后面，而Clash的匹配逻辑是“先到先得”。当GEOIP,CN这条规则被放在前面时，所有解析到中国大陆IP的请求（包括很多云服务商的边缘节点）都会直接走直连，根本轮不到后面的关键词规则。

优先级陷阱：为什么你的“规则”经常失灵

很多人会问：“我明明在规则里写了DOMAIN-SUFFIX,binance.com,🚀 节点，而且放在很前面，为什么有时候还是连不上？”

答案藏在Clash的“规则类型优先级”里。虽然Clash官方文档说“规则按顺序匹配”，但它对不同类型的规则有一个隐性的“排序权重”。具体来说，Clash在解析规则列表时，会先按类型分组，再在组内按你的书写顺序排列。这个分组顺序大致是：

1. PROCESS-NAME（进程名匹配，比如你的交易所App）
2. DOMAIN（精确域名）
3. DOMAIN-SUFFIX（域名后缀）
4. DOMAIN-KEYWORD（域名关键词）
5. DOMAIN-REGEX（域名正则）
6. IP-CIDR / IP-CIDR6（IP段）
7. GEOIP（地理IP）
8. SRC-IP-CIDR（源IP段）
9. DST-PORT（目标端口）
10. MATCH（兜底）

这意味着什么？ 就算你把DOMAIN-KEYWORD,uniswap写在文件的第一行，只要后面有一条IP-CIDR,1.1.1.1/32,🚀 节点，而那个请求解析出来的IP恰好落在1.1.1.1这个段里，Clash会优先执行IP-CIDR规则，而不是你的关键词规则。

这就是为什么很多玩币的人，明明写了DOMAIN-SUFFIX,coinbase.com,🚀 节点，却依然卡在登录界面。因为Coinbase的API服务器使用了Cloudflare的CDN，而Cloudflare的某个边缘IP段（比如104.16.0.0/13）被你的规则文件里某条IP-CIDR,104.16.0.0/13,🎯 直连给拦截了。而这条IP规则，虽然写在文件末尾，但因为类型优先级高于DOMAIN-SUFFIX，所以它“越权”了。

虚拟币场景下的“规则生死线”

不谈理论，我们直接进入实战。假设你现在要配置一个完美的Clash分流，用于以下场景：同时使用Binance、OKX、Bybit、以及一个去中心化钱包（比如MetaMask），还要兼顾Telegram和Discord的行情讨论群。

你大概率会这么写（这是网上流传最广的模板）：

PROCESS-NAME,Telegram,🚀 节点 DOMAIN-SUFFIX,binance.com,🚀 节点 DOMAIN-SUFFIX,okx.com,🚀 节点 DOMAIN-SUFFIX,bybit.com,🚀 节点 DOMAIN-SUFFIX,telegram.org,🚀 节点 DOMAIN-SUFFIX,discord.com,🚀 节点 IP-CIDR,192.168.1.0/24,🎯 直连 GEOIP,CN,🎯 直连 MATCH,🚀 节点

看起来天衣无缝？错得离谱。

致命伤一：GEOIP,CN 放在 DOMAIN-SUFFIX 后面，等于形同虚设

虽然GEOIP的类型优先级低于DOMAIN-SUFFIX，但你的规则里GEOIP,CN是兜底。这意味着，所有没被前面规则匹配到的请求，只要解析出的IP是中国大陆的，就会走直连。但问题来了——Bybit的API服务器在新加坡，但它的某些静态资源（比如图片、JS文件）可能放在Cloudflare的香港节点上，而香港节点的IP段，GEOIP识别为CN吗？

不一定。Cloudflare的香港IP段（比如103.21.244.0/22）在GEOIP数据库里可能被标记为“HK”（中国香港），而不是“CN”。所以这条GEOIP,CN根本拦不住它。但更麻烦的是，如果你把GEOIP,CN放在MATCH之前，而你的节点是香港节点，那么所有访问香港IP的请求都会走🚀 节点——这没问题。 可如果你把GEOIP,CN放在了MATCH之后（有些模板会这么干），那所有没匹配到的请求，不管是不是中国IP，全都走节点。这会导致你的国内银行App、支付软件全部走代理，卡成PPT。

致命伤二：IP-CIDR 的“误杀”效应

我见过一个惨痛的案例。有个朋友为了访问某个特定的链上数据接口，在规则里加了一条：

IP-CIDR,104.16.0.0/13,🚀 节点

这条规则的本意是，让所有落在Cloudflare这个大段里的IP都走代理。但问题是，你访问Binance时，Binance的API域名解析出来的IP可能就在104.16.x.x这个段里。如果这条IP-CIDR规则排在了DOMAIN-SUFFIX,binance.com的前面（注意，因为IP-CIDR的类型优先级高于DOMAIN-SUFFIX，所以即使你写在后面，它也可能先执行），那么你的Binance请求会走代理——这没问题。但如果你的节点恰好是那个被墙的IP，或者节点本身延迟很高，你就会发现Binance时好时坏。

更致命的是，有些去中心化钱包（比如MetaMask）的RPC节点，它们的IP正好落在某些被“误杀”的段里。比如你有一条IP-CIDR,8.8.8.8/32,🎯 直连（为了访问Google DNS），而某个RPC节点的IP恰好是8.8.8.8（虽然概率极低，但理论上存在），那你的链上交易广播就会直连，导致交易在本地网络里“裸奔”，被中间人篡改。

真正的“规则优先级”实战：如何写一份不会爆仓的配置

现在，我们回到那个凌晨三点十七分的群聊。我深吸一口气，敲下了这么一段配置，发给了群友：

yaml rules:

• PROCESS-NAME,Binance,🚀 节点
• PROCESS-NAME,OKX,🚀 节点
• PROCESS-NAME,Bybit,🚀 节点
• PROCESS-NAME,Telegram,🚀 节点

第二优先级：精确域名，防止CDN误杀

• DOMAIN,api.binance.com,🚀 节点
• DOMAIN,api.okx.com,🚀 节点
• DOMAIN,api.bybit.com,🚀 节点
• DOMAIN,api.coinbase.com,🚀 节点

第三优先级：域名后缀，覆盖所有子域名

• DOMAIN-SUFFIX,binance.com,🚀 节点
• DOMAIN-SUFFIX,okx.com,🚀 节点
• DOMAIN-SUFFIX,bybit.com,🚀 节点
• DOMAIN-SUFFIX,coinbase.com,🚀 节点
• DOMAIN-SUFFIX,uniswap.org,🚀 节点
• DOMAIN-SUFFIX,pancakeswap.finance,🚀 节点

第四优先级：关键词规则，用于那些域名不固定的DApp

• DOMAIN-KEYWORD,infura.io,🚀 节点 # MetaMask的RPC提供商
• DOMAIN-KEYWORD,alchemy.com,🚀 节点 # 另一个RPC提供商
• DOMAIN-KEYWORD,walletconnect,🚀 节点 # 钱包连接协议

第五优先级：IP段规则，仅用于特定已知的Cloudflare边缘节点

注意：这里不要用大段，用具体的小段

• IP-CIDR,104.16.0.0/16,🚀 节点
• IP-CIDR,172.64.0.0/16,🚀 节点

第六优先级：GEOIP，仅用于国内直连

• GEOIP,CN,🎯 直连

兜底：所有未匹配的，走代理（保证链上交易不会裸奔）

• MATCH,🚀 节点

为什么这个配置能救命？

1. PROCESS-NAME放在最顶层：因为Clash的进程匹配优先级最高，而且不受其他规则干扰。你的Binance App，无论解析到什么IP，都强制走节点。这避免了因为CDN IP误判而导致的连接失败。
2. 精确域名 > 后缀 > 关键词：我特意把api.binance.com这种精确域名放在binance.com后缀前面。这样，当请求指向api.binance.com时，会精确匹配，不会因为后续的IP规则而被“截胡”。
3. IP-CIDR用小段：我没有用104.16.0.0/13这种大段，而是用/16。因为Cloudflare的IP段非常杂，大段容易误伤。用/16能覆盖大部分边缘节点，同时减少误杀。
4. GEOIP,CN放在最后：这样，所有能匹配到国内IP的请求（比如访问工商银行网银）会直连，而所有无法识别IP的（比如某些链上RPC节点）都会走代理。关键点：MATCH走代理。这意味着，如果你访问一个未知的链上合约地址，它的IP不在任何规则里，Clash会默认走代理，而不是直连。这保证了你的交易广播不会因为“意外直连”而暴露在恶意网络中。

事件结局：那个凌晨，我救了老周

我把这份配置发到群里后，老周第一个回复：“卧槽，我加了PROCESS-NAME,Bybit，现在秒开！”

然后他又补了一句：“但是，为什么我的MetaMask还是连不上？”

我问他：“你的MetaMask是什么版本？桌面版还是浏览器插件？”

他说：“Chrome插件。”

我立刻明白了。PROCESS-NAME只能匹配进程名，而浏览器插件是运行在Chrome进程里的。所以PROCESS-NAME,MetaMask根本不会生效。我让他改用DOMAIN-KEYWORD,infura.io，因为MetaMask默认的RPC节点就是Infura的。

他试了试，五秒后发来一条消息：“好了！能加载出余额了！”

然后他又问：“那我要是想用WalletConnect连接手机钱包呢？”

我回他：“那你就得加一条DOMAIN-KEYWORD,walletconnect，而且必须放在GEOIP,CN的前面。因为WalletConnect的桥接服务器在海外，如果被GEOIP,CN识别为国内IP（有时候会误标），就会直连，导致握手失败。”

他照做了，然后群里安静了三十秒。接着，他发来一张截图——他的SOL止盈单，在70,200美元的位置成功成交了。他算了一下，比之前那个“69,800美元”多赚了4000多美元。

“兄弟，”他说，“这4000美元，是你帮我从规则优先级里捡回来的。”

我笑了笑，关掉电脑。窗外天已经蒙蒙亮，比特币的K线图上，那根阳线还在向上延伸。而我知道，在Clash的世界里，每一行规则都是一道闸门，每一次匹配都是一次抉择。对于玩虚拟币的人来说，这份配置不仅是网络工具，更是一张在暗流涌动的市场里，保护自己资金安全的生死状。

而那份生死状的第一条，永远是：先保命，再赚钱。