V2Ray 路由規則實作：geosite 與 geoip 國內外分流設定

一、geosite 與 geoip 分別比對什麼

geosite 是網域分類資料，geoip 則是 IP 位址範圍資料。兩者都不是自動辨識網站歸屬的服務，也不會即時查詢網站營運者。路由結果取決於本機資料檔、請求交給核心時所帶的目標資訊，以及規則順序。

網站可能使用跨區域 CDN。同一個網域在不同網路環境中，可能解析出不同位址，因此「網域符合 cn」和「解析出的位址符合 cn」是兩種不同判斷。若瀏覽器先自行解析，再將 IP 交給代理，網域規則可能就沒有機會直接比對；嗅探可在部分協定中補上網域資訊，但無法保證還原所有請求的網域。

二、可合併的 routing 範例與預設出口

以下是完整的 routing 物件片段，並非可直接連線節點的完整設定。合併至現有的 V2Ray 或 Xray 設定前，務必確認出站標籤：本文以 direct 指向使用 freedom 協定的直連出站，proxy 則指向已測試可用的代理出站。標籤只是名稱，不會自動建立出口。

{
  "routing": {
    "domainStrategy": "IPIfNonMatch",
    "rules": [
      {
        "type": "field",
        "domain": [
          "full:localhost",
          "geosite:cn"
        ],
        "outboundTag": "direct"
      },
      {
        "type": "field",
        "ip": [
          "geoip:private",
          "geoip:cn"
        ],
        "outboundTag": "direct"
      }
    ]
  }
}

此片段要求現有設定的 outbounds 第一項是代理出站。在本文這類一般路由設定中，沒有規則符合時，流量會使用第一個出站；出口不會由 proxy 這個標籤名稱自動決定。若第一項實際上是直連，未符合規則的境外網站也會直連。不要只為了符合順序，就複製一個缺少伺服器資訊的代理出站。

• 目標符合 cn 網域分類：第一條網域規則符合，選擇 direct。
• 目標是 192.168.1.1 這類私有位址：符合 IP 規則，選擇 direct。
• 目標網域未符合規則：若沒有其他規則符合，IPIfNonMatch 會嘗試解析網域，並重新比對 IP 規則。
• 解析出的位址仍未符合直連範圍：使用第一個出站，也就是事先確認過的代理出站。

此處「境外網站走代理」的準確意思是：未被上述直連規則涵蓋的流量，預設走代理。這並非即時且完整的國家或地區歸屬判斷。若要指定某個網域固定使用特定出口，應新增明確的網域規則，而不是期待 IP 位址的地理歸屬永遠符合需求。

三、domainStrategy 的選擇與預設出口陷阱

routing.domainStrategy 用來控制路由階段是否解析網域，以便比對 IP 規則。它不等同於 DNS 伺服器選擇，也不等同於出站連線時的位址選擇策略。若相同名稱的設定出現在不同層級，請先確認它所屬的物件。

常見錯誤是在 IPIfNonMatch 設定的末尾，再加入 network: "tcp,udp" 代理規則。此規則可能在第一輪就直接符合請求，導致「沒有規則符合」的條件不再成立。結果是，不在 geosite:cn 分類中的網域可能直接走代理，無法再透過解析結果符合 geoip:cn。

路由解析也會帶來隱私與連線成本。哪些網域會送往哪台 DNS 伺服器，必須搭配完整的 dns 設定、查詢流量路徑，以及瀏覽器本身的解析方式一起判斷。單獨變更 domainStrategy，無法保證 DNS 查詢會經由代理，也無法單獨解決 DNS 污染問題。

四、規則順序：例外優先，分類其次

每次比對規則時都會由上而下檢查，由第一條符合的規則決定出口。若同一個規則物件包含 domain 與 ip 等多個條件，這些條件必須同時符合；同一個 domain 陣列中的多個項目則符合其中一項即可。若要設定「網域符合或 IP 符合就直連」，應像本文一樣拆成兩條規則。

例如，某個網站雖然列在 cn 分類中，但業務測試要求固定走代理，可以將以下物件插入 rules 陣列最前面。此處的 example.com 是用來說明語法的保留網域，實際使用時請填入要測試的網域。

{
  "type": "field",
  "domain": [
    "domain:example.com"
  ],
  "outboundTag": "proxy"
}

• 手動例外放前面：只涵蓋確實需要變更出口的網域，方便還原設定。
• 網域分類接在後面：讓已知網站依明確的網域策略處理。
• IP 分類補充：處理直接以 IP 存取的請求，以及策略允許解析後再判斷的請求。
• 最後確認預設出口：本文使用第一個出站作為兜底，不再新增全匹配規則。

「私有 IP 必須最先比對」也不適用於所有情境。若希望網域例外優先於其解析出的位址，就必須維持相應的規則順序；若要求所有私有位址一律直連，還需考量網域例外、DNS 回應結果與解析策略之間的關係。企業內部網路尤其應先確認位址規劃，不要直接將公用網路範例套用至現有策略。

五、在用戶端套用並確認實際設定

v2rayN 是桌面用戶端；v2rayNG 使用 Xray 核心，v2flyNG 使用 v2fly 核心。用戶端介面負責產生或載入設定，實際執行規則的是所選核心。完整自訂設定與一般節點模式的設定入口和套用範圍不同，不要同時修改兩處設定，再猜測哪一處生效。

1. 備份目前設定

   記下目前啟用的節點、路由方案與本機監聽連接埠，並儲存現有的自訂設定。先確認路由尚未修改時節點可正常連線，再開始調整分流。

2. 開啟路由設定

   v2rayN 常見入口為「設定」→「路由設定」；v2rayNG 常見入口為側邊選單→「路由設定」。選單名稱可能因版本而異，請以目前介面為準。先檢查現有規則，不要直接刪除整套方案。

3. 選擇設定方式

   使用介面規則編輯器時，分別填入網域、IP 與目標出口，並確認排序。只有在使用完整自訂設定時，才合併本文的 routing 物件；不要將整個 JSON 物件貼進只接受網域清單的輸入欄位。

4. 確認實際標籤

   檢查產生或載入的設定，確認 direct、proxy 都存在，並查看第一個出站。介面上的「直連」「代理」選項可能對應到其他標籤，請以實際設定中的名稱為準。

5. 重新啟動並查看記錄

   儲存並啟用對應的路由方案後，先停止連線再重新啟動。查看執行記錄是否出現規則解析、資源檔或出站標籤錯誤。只儲存編輯視窗，不代表執行中的核心已重新載入設定。

若要比較核心行為，應分別記錄使用的核心及版本，而不只是用戶端版本。v2rayNG 與 v2flyNG 使用不同核心，不能視為同一核心的兩種介面；自訂設定中的擴充欄位與資源載入方式也必須分別確認。基礎欄位的詳細說明請參閱本站的JSON 手冊。

六、透過請求與記錄驗證分流結果

測試時必須先確認請求確實進入核心，再確認使用了預期出口。瀏覽器擴充功能、系統代理略過清單與終端機環境變數都可能改變流量入口。以下假設本機已啟用 127.0.0.1:10808 SOCKS 監聽；10808 是測試連接埠，並非所有安裝環境的預設值，執行前請換成目前使用的監聽連接埠。

curl --proxy socks5h://127.0.0.1:10808 --connect-timeout 10 --max-time 20 -I https://www.baidu.com/
curl --proxy socks5h://127.0.0.1:10808 --connect-timeout 10 --max-time 20 -I https://example.com/

socks5h 會讓 curl 將網域交由代理端處理，適合用來觀察網域規則；但這不代表 DNS 查詢一定會經過遠端代理。第一個請求用來觀察 cn 網域分類，第二個則用來觀察未符合直連條件時的預設出口。HTTP 回應成功只能證明連線已完成，實際出口仍應以存取記錄中的目標位址與出站標籤為準。

測試區域網路位址時，請使用自己網路中確實存在的裝置，例如管理位址為 192.168.1.1 的路由器；此位址僅供示範。若裝置沒有提供網頁服務，連線失敗不代表路由規則有誤。記錄可以顯示選擇了哪個出站；目標服務是否有回應，則是下一層的檢查。