وقتی مقصد ترافیک IP خام است (بدون دامنه) یا می‌خواهید درشت‌دانه بر اساس «تعلق IP» مسیر بدهید، نوبت قواعد IP است.

IP-CIDR: بر اساس بازه

- IP-CIDR,192.168.0.0/16,DIRECT      # بازه خصوصی مستقیم
- IP-CIDR,8.8.8.8/32,PROXY           # تک IP با /32
- IP-CIDR6,2001:4860::/32,PROXY      # IPv6 با IP-CIDR6

/N یعنی N بیت نخست ثابت: /32 یک آدرس، /24 یعنی ۲۵۶ (1.2.3.0 تا 1.2.3.255)، /16 یعنی ۶۵٬۵۳۶. جا انداختن /32 کنار تک‌آدرس، خطای کلاسیک است.

GEOIP: بر اساس کشور

- GEOIP,CN,DIRECT

هسته کد کشور IP را در پایگاه همراه MaxMind (فایل Country.mmdb) می‌یابد. GEOIP,CN,DIRECT در تقریباً هر پروفایل چینی هست: هرچه به آدرس‌های داخلی تفکیک شود، مستقیم می‌رود. پایگاه گاهی خطا دارد - با قاعده دامنه‌ای بالاتر اصلاح کنید.

no-resolve: بدون DNS اضافی

قاعده IP باید IP مقصد را بداند. برای ترافیک دامنه‌ای، هسته مجبور می‌شد فقط برای آزمودن قاعده تفکیک کند - کند است و در fake-ip تفکیک واقعی تحمیل می‌کند. با no-resolve، ترافیک دامنه‌ای کل قاعده را رد می‌کند - فقط اتصال‌هایی که از اول به IP می‌روند بررسی می‌شوند:

- IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
- GEOIP,CN,DIRECT   # برای GEOIP پایانی معمولاً نمی‌گذارند تا دامنه‌ها هم بر اساس کشور تقسیم شوند

چیدمان پیشنهادی

  1. قواعد دامنه (خانواده DOMAIN، مجموعه‌های دامنه)؛
  2. قواعد IP بازه‌های خصوصی با no-resolve؛
  3. GEOIP,CN,DIRECT؛
  4. MATCH,گروه در پایان.
نکته: برای بازه‌های LAN (192.168.x.x، 10.x.x.x و…) قواعد مستقیم صریح بنویسید تا پرینتر و NAS از پروکسی سر درنیاورند. بیشتر قالب‌های اشتراک دارند.