Xray 自訂路由規則語法：domain、ip、geosite 比對前綴與規則優先順序

連線進入核心後，路由規則才會生效

系統代理、TUN 接管與 Xray 路由分屬不同階段。系統代理會讓支援此設定的應用程式將連線送至本機入口；路由規則則處理已進入核心的連線，再選擇直連、代理或封鎖。若瀏覽器略過系統代理，即使路由規則完全正確，也不會產生相應的路由結果。

本文使用 Xray 原生 JSON 欄位。v2rayN 和 v2rayNG 的介面會將設定轉換為核心設定；v2flyNG 使用 V2Fly 核心，不能因此假設所有 Xray 欄位都能直接照搬。編輯前請先確認目前使用的核心，並備份正在使用的路由方案。

• domain 是規則欄位，陣列中可填入 domain:、full:、regexp:、geosite: 等比對運算式。
• ip 是另一種規則欄位，可接受 IP、CIDR 網段及 geoip: 集合；請勿誤將它寫成網域陣列中的 ip: 前綴。
• outboundTag 是出站參照，不是任意備註。它必須對應最終設定中已存在的出站 tag。

domain、full 與 regexp：先界定比對範圍

最常見的分流錯誤，往往是比對範圍設得太廣。只填一般字串時，Xray 會以子字串比對；若要涵蓋「此網域及其子網域」，應明確使用 domain:。規則中請填主機名稱，不要貼上含通訊協定、路徑或查詢參數的完整網址。

正規表示式還有一層 JSON 跳脫處理。路由編輯欄位中的原始運算式可以包含 \.；寫入 JSON 字串時，反斜線必須寫成 \\。下方展示的是可解析的 JSON 規則物件，並非可獨立啟動核心的完整設定。

{
  "type": "field",
  "domain": [
    "full:example.com",
    "domain:example.net",
    "regexp:^img[0-9]+\\.example\\.com$"
  ],
  "outboundTag": "direct"
}

ip、geoip 與 geosite：資料來源各不相同

geosite 比對網域集合，geoip 比對 IP 位址集合。網站使用多個內容傳遞位址時，網域分類與實際連線位址的地理分類可能不同。若要讓特定網站固定走代理，建議優先新增網域例外，不要只依賴 IP 所屬地區。

{
  "type": "field",
  "ip": [
    "192.168.0.0/16",
    "10.0.0.0/8",
    "geoip:private",
    "geoip:cn"
  ],
  "outboundTag": "direct"
}

上例前兩項示範 CIDR 寫法，涵蓋範圍與 geoip:private 部分重疊；實際使用時可刪除重複項目。只填 IPv4 私有網段不會自動涵蓋 IPv6 本機位址，雙堆疊網路應確認所用私有位址集合的涵蓋範圍。

• 確認集合存在：引用 geosite:cn 或 geoip:cn 前，請確認核心能讀取相應資料檔，且檔案中包含該集合。
• 分類更新時間：用戶端設定更新和 geo 資料更新是兩回事。訂閱更新成功，不代表網域分類也已更新。
• 擴充集合語法：只有資料檔提供相應屬性時，geosite:某集合@某屬性 才有作用；不是為任何集合加上後綴都能使用。
• 故障徵兆：資料檔遺失或集合不存在，可能導致設定載入失敗。請先查看啟動記錄，不要一概當成節點無法連線。

規則優先順序：由上而下，比對成功即停止

每次路由比對時，Xray 會依照 rules 陣列順序檢查，並採用第一條符合所有條件的規則。後面的網域即使更精確，也不會因此自動優先。請將精確例外放在較廣泛的分類之前，並將兜底規則留在最後。

同一欄位的陣列通常表示「或」：網域陣列中只要有一個運算式符合即可。同一條規則中的不同篩選欄位通常表示「且」：同時設定 domain、port 和 network，就必須同時符合所有條件。將網域條件和 IP 條件放在同一條規則中，不代表「符合任一項就直連」。

{
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      {
        "type": "field",
        "domain": ["geosite:category-ads-all"],
        "outboundTag": "block"
      },
      {
        "type": "field",
        "domain": ["full:example.com"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "domain": ["geosite:cn"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "ip": ["geoip:private", "geoip:cn"],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "network": "tcp,udp",
        "outboundTag": "proxy"
      }
    ]
  }
}

這是用來說明規則順序的 routing 設定片段，假設已有 direct、proxy、block 三個出站，且資料檔提供範例集合。標籤名稱並非核心保留的動作名稱：常見的直連出站使用 freedom，封鎖出站使用 blackhole，代理出站則參照實際節點通訊協定。

domainStrategy：網域何時參與 IP 比對

IP 規則能否套用於網域目標，取決於路由的 domainStrategy。此欄位控制路由階段是否為了比對而解析網域，不等同於整個用戶端的 DNS 設定，也不等同於直連出站最終如何解析目標位址。

因此，上一節的五條規則雖然設定了 IPIfNonMatch，但網域目標若比對到最後一條 TCP/UDP 兜底規則，第一輪就已成功，不會再為前面的 geoip:cn 觸發解析。原本就是 IP 的目標仍可比對到第四條。這是「已設定 geoip，網域卻仍走代理」的常見原因。

• 需要進行 IP 補充比對：可以移除明確的全匹配兜底，並確認沒有規則符合時使用的第一個出站，正是預期的預設出站。
• 需要在遇到 IP 規則時解析：可評估使用 IPOnDemand。比對需要 IP 資訊的規則時，它會嘗試解析，但也會增加 DNS 參與路由判斷的機會。
• 只需固定單一網站的出口：直接在前段新增 full: 或 domain: 規則，通常比調整整套解析策略更容易驗證。

此外，若入口收到的只有目標 IP，網域規則無法憑空得知原始主機名稱。嗅探可能在可辨識的流量中補充網域資訊，但不能用來還原任意通訊協定的網域。排查時應一併檢查入口目標、嗅探設定與最終出站。

在 v2rayN 調整規則順序並驗證結果

在 v2rayN 開啟「設定」→「路由設定」，選擇要使用的路由方案後進入規則編輯。不同版本的介面中，編輯、上移和下移按鈕位置可能有所不同；判斷時應以最終產生的 routing.rules 順序為準，而非方案名稱或規則備註。

1. 複製方案：保留原方案以便還原，只在副本中新增一條針對測試網域的 full: 規則。先不要同時調整 DNS、嗅探和核心。
2. 分開填寫：將 full:example.com 填入網域條件，將 geoip:cn 填入 IP 條件；若介面採逐行輸入，每行填一個比對項目，不要直接貼上整個 JSON 物件。
3. 確認出站：在出站選項中選擇需要的出口。若使用原生設定，請檢查 outboundTag 與出站 tag 完全一致，包括大小寫。
4. 調整順序：將測試規則移到可能先行符合的規則上方，儲存後確認已選取此路由方案，再依介面提示重新載入或重新啟動核心。
5. 建立新連線：關閉舊的網頁連線後重新造訪。既有長連線通常不會因規則修改而自動切換出口；必要時先關閉瀏覽器再測試。
6. 查看記錄：確認核心已成功啟動，再查看測試目標的存取記錄與出站標籤。必要時可暫時提高記錄詳細程度，測試後再調回原設定，避免持續記錄大量連線資訊。

若要驗證「僅 HTTPS 直連」，可在測試規則中同時設定網域條件、port: "443" 與 network: "tcp"。此時使用 UDP 的 HTTP/3 不符合 TCP 條件，不能只因瀏覽器能開啟同一網站就認定規則失效。通訊協定和連接埠都必須符合測試條件。