Clash Verge 高级配置：自定义分流规则、DNS 设置与 TUN 模式开启
在 Clash Verge 的基础功能之上，通过覆写配置添加自定义分流规则（让指定域名走特定节点）、调整 DNS 防污染设置、开启 TUN 模式接管全局流量，以及如何处理更新订阅后配置被覆盖的问题。
7 分钟阅读
使用教程
机场高级配置：自定义规则、策略组、DNS、TUN 模式与多订阅分流
面向已经能正常使用机场的用户：说明怎样添加自定义分流规则、理解与编辑策略组、设置 DNS 避免污染与泄露、开启 TUN 模式接管全部流量，以及用覆写或脚本保留修改、把两个机场的订阅合并分流的做法。
更新于
快速结论
- 自定义规则要通过客户端的覆写 / 全局扩展配置添加，直接改订阅文件会在下次更新时被覆盖。
- 策略组是“一组节点 + 选择策略”，常见类型有手动选择、自动测速、故障转移；分流规则指向策略组而不是单个节点。
- DNS 建议：国内域名用国内 DNS，海外域名用加密 DNS（DoH），并使用 fake-ip 模式减少泄露。
- TUN 模式用于接管不走系统代理的程序，需要管理员权限或系统扩展；日常浏览不需要常开。
- 两个机场组合使用时，把每个订阅作为一个代理提供者分别放入不同策略组，再用规则把办公、AI 流量指向专线组，视频流量指向低价组。
能导入订阅、切换模式之后，机场的基础用法已经掌握。但一些需求是默认订阅解决不了的：公司内网域名被错误代理、某个 AI 服务需要固定走美国节点、游戏客户端不走系统代理、同时买了两个机场想按用途分流。这些都需要高级配置。
本页以 Clash 系客户端（Clash Verge、Stash、Clash Meta for Android）为主，概念同样适用于 sing-box。每个部分先解释原理再给做法，并明确哪些设置改错了会导致无法上网，方便回退。配置前请先读完代理模式，确认理解规则与策略的关系。
自定义规则与策略组
订阅自带的规则覆盖不到的情况，用自定义规则补充。规则格式是“类型,匹配值,策略”，常用类型见下表。规则按顺序匹配，自定义规则应放在订阅规则之前（“前置规则”），否则可能被订阅里更宽泛的规则先命中。
策略是规则的目标，可以是 DIRECT（直连）、REJECT（拒绝）或一个策略组名称。策略组把若干节点组合在一起并定义选择方式：select 手动选，url-test 自动选延迟最低的，fallback 按顺序故障转移，load-balance 负载均衡。机场订阅通常已经定义了“节点选择”“自动选择”“流媒体”“AI”等策略组，自定义规则直接指向它们即可。
- Clash Verge：左侧“订阅” → 右上角“全局扩展配置”，或在该订阅卡片上右键“编辑规则”，在“前置规则”中逐行添加，保存后自动合并到订阅，更新订阅不会丢失。
- Stash：“覆写” → 新建覆写 → 在
rules字段添加，并在订阅上启用该覆写。 - Clash Meta for Android：“配置” → 该订阅 → “编辑”，可以在规则前插入自定义条目。
| 规则类型 | 写法 | 含义 |
|---|---|---|
DOMAIN-SUFFIX | DOMAIN-SUFFIX,openai.com,AI | 域名以 openai.com 结尾 → 走“AI”策略组 |
DOMAIN-KEYWORD | DOMAIN-KEYWORD,intranet,DIRECT | 域名包含该关键词 → 直连 |
DOMAIN | DOMAIN,ebank.mybank.com,DIRECT | 完全匹配该域名 → 直连 |
IP-CIDR | IP-CIDR,10.0.0.0/8,DIRECT,no-resolve | 目标 IP 在该网段 → 直连，不触发 DNS 解析 |
GEOIP | GEOIP,CN,DIRECT | 目标 IP 属于中国大陆 → 直连 |
PROCESS-NAME | PROCESS-NAME,steam.exe,DIRECT | 按进程名匹配（桌面端 TUN 模式下可用） |
MATCH | MATCH,节点选择 | 兜底规则，未命中的全部流量 |
DNS 设置
DNS 决定域名解析成哪个 IP。在代理环境里 DNS 有两个风险：一是污染，本地运营商 DNS 对部分海外域名返回错误 IP，导致规则误判或连接失败；二是泄露，海外域名的解析请求发给了国内 DNS，暴露你的访问意图。合理的 DNS 设置是让国内域名走国内 DNS、海外域名的解析由节点或加密 DNS 完成。
Clash 系客户端的做法是启用内置 DNS，使用 fake-ip 模式：客户端对每个域名返回一个假 IP，真正的解析在节点端完成，既避免污染也减少泄露。机场订阅通常已经包含一套可用的 DNS 配置，没有特殊需求不必修改；需要修改时同样通过覆写进行。
- 国内 DNS（
nameserver）：填运营商 DNS 或223.5.5.5、119.29.29.29这类国内公共 DNS，用于国内域名。 - 海外 DNS（
fallback或proxy-server-nameserver）：填 DoH 地址，如https://dns.google/dns-query，走代理解析海外域名。 - fake-ip 过滤（
fake-ip-filter）：把局域网设备、国内 NAS、游戏平台等需要真实 IP 的域名加入过滤列表，否则它们可能无法正常工作。 - 验证方法：开启代理后访问 DNS 泄露检测网站，看结果里是否只出现节点所在地区的 DNS 服务器。
改错 DNS 会导致全部网站打不开
修改 DNS 配置前先导出当前配置或记下默认值。出现所有网站都无法访问时，先关闭自定义 DNS 覆写恢复默认，再逐项排查。更多症状与对策见DNS 问题。
TUN 模式
TUN 模式通过创建一张虚拟网卡接管设备的全部网络流量，解决“某些程序不走系统代理”的问题：游戏客户端、命令行工具、部分桌面软件、UWP 应用等。开启后，所有流量都进入客户端，再由代理模式与规则决定去向。代价是需要管理员权限或系统扩展，部分杀毒软件会拦截，配置不当时可能影响局域网访问。
移动端客户端本身就以 VPN 方式接管全部流量，相当于 TUN 常开，不需要单独设置。桌面端只在需要时开启，日常浏览用系统代理即可。
- 1
安装服务或系统扩展
Clash Verge 在“设置” → “系统设置”中安装服务模式（Windows 需管理员权限，macOS 需允许系统扩展）；sing-box 桌面版以管理员身份运行即可。
- 2
开启 TUN 模式开关
在同一设置页打开“TUN 模式”，关闭“系统代理”避免重复接管。开启后任务栏或菜单栏图标通常会变化。
- 3
检查协议栈与 DNS 劫持
TUN 协议栈选
mixed或system，开启 DNS 劫持（dns-hijack）让所有 DNS 请求也进入客户端。gVisor 栈兼容性好但性能略低。 - 4
验证
打开一个不走系统代理的程序（例如终端里
curl一个海外网址），确认能访问；再打开国内网站确认仍是直连。 - 5
按需配合进程规则
想让某个游戏或软件直连时，添加
PROCESS-NAME规则指向DIRECT，这是 TUN 模式独有的能力。
覆写、脚本与多订阅分流
覆写（Override / 扩展配置）是把你的修改与订阅配置在本地合并的机制：订阅负责节点与基础规则，覆写负责你的补充与替换，两者各自更新互不影响。Clash Verge 的“全局扩展配置”、Stash 的“覆写”、sing-box 的 merge 配置都是这一思路。脚本则允许用 JavaScript 对合并后的配置做任意处理，例如批量重命名节点、按地区自动生成策略组，适合规则较多的进阶用户。
多订阅分流是覆写最有价值的用法之一。很多用户同时持有一个专线机场与一个低价机场，希望办公、AI 服务走专线，视频与下载走低价，这正是稳定机场和便宜机场的组合用法所讨论的场景。做法是把每个订阅作为一个代理提供者（proxy-providers）引入，为每个提供者建立独立策略组，再用规则把不同流量指向不同策略组。
- 第一步：在覆写中定义两个
proxy-providers，分别填入两个机场的订阅链接，设置自动更新间隔。 - 第二步：建立策略组“专线组”（
use专线机场提供者，类型url-test）与“流量组”（use低价机场提供者）。 - 第三步：添加规则：AI 与办公域名 → 专线组；YouTube、Netflix 等流媒体域名 → 流量组；
MATCH→ 专线组或按偏好选择。 - 验证：分别打开一个 AI 服务与一个视频网站，在客户端连接页查看各自命中的策略组与节点是否符合预期。
- 机场间的线路差异与选择依据见线路节点，专线机场与低价机场的推荐分别见稳定机场推荐与便宜机场推荐。
先备份再改
每次修改覆写或脚本前导出一份当前配置。出现问题时先禁用覆写，确认订阅本身正常，再逐项恢复。多订阅配置下如果某个机场的订阅更新失败，对应策略组会为空，规则命中后会提示没有可用节点，这时切换到另一组即可。
适合谁
- 已经能正常使用机场、想解决特定网站分流问题的用户
- 有程序不走系统代理、需要 TUN 模式的用户
- 同时使用两个机场、希望按用途自动分流的用户
怎么选择
- 所有修改通过覆写或扩展配置进行，不要直接编辑订阅文件。
- 自定义规则放在订阅规则之前，并指向订阅已有的策略组。
- DNS 没有问题就不要改；改之前记下默认值。
- TUN 只在需要接管特定程序时开启，开启后关闭系统代理。
相关文章
围绕「高级配置」的深入文章与教程。
常见问题
自定义规则为什么不生效？
最常见的原因有三个：规则放在了订阅规则之后被提前命中、规则指向的策略组名称与订阅中的不一致、修改直接写在订阅文件里被更新覆盖。按这三点逐一检查，并在客户端的连接页查看该域名实际命中的规则。
url-test 和 fallback 策略组有什么区别？
url-test 定期测试组内所有节点的延迟，自动切换到最低的；fallback 按列表顺序使用第一个可用节点，前面的节点失效才切到后面。追求速度用 url-test，追求固定出口 IP 用 fallback。
开了 TUN 模式后局域网设备访问不了怎么办？
为局域网网段添加
IP-CIDR 直连规则并加 no-resolve，同时把相关域名加入 fake-ip 过滤列表。大多数客户端的 TUN 设置页也有“绕过局域网”选项，开启即可。两个机场的订阅可以合并成一个吗？
可以，通过代理提供者（proxy-providers）把两个订阅引入同一配置，各自独立更新。不建议把两个订阅的节点简单混在一个自动测速组里，这样无法按用途分流，也会让便宜机场的节点抢占办公流量。
脚本覆写安全吗？
脚本在本地运行，只处理配置文件，不接触流量。但来源不明的脚本可能把你的订阅链接发送到第三方或植入恶意规则，只使用自己编写或可以逐行看懂的脚本。