Доменные правила - самое ходовое семейство. Три варианта похожи внешне, но сильно различаются охватом: ошибётесь - правило либо не сработает, либо зацепит лишнее.
Бок о бок
Против назначения www.google.com:
| Правило | Совпало? | Комментарий |
|---|---|---|
DOMAIN,www.google.com | Да | Только точное совпадение; mail.google.com мимо. |
DOMAIN,google.com | Нет | DOMAIN никогда не включает поддомены. |
DOMAIN-SUFFIX,google.com | Да | google.com и все поддомены - обычный выбор. |
DOMAIN-KEYWORD,google | Да | Любой домен со словом «google» - включая googleusercontent.com и fake-google.evil.com. |
Что выбирать
- Цель - сайт целиком:
DOMAIN-SUFFIX, правильный ответ в 90% случаев. - Цель - один конкретный поддомен (например, только API-хост):
DOMAIN. DOMAIN-KEYWORD- для сервисов с плавающими доменами и общим токеном (семейства CDN). Осторожно с ложными срабатываниями: короткие ключи вродеDOMAIN-KEYWORD,adцепляют shadow, download и прочих невиновных.
Почему доменные правила идут раньше IP-правил
Доменные правила срабатывают до DNS-резолвинга, IP не нужен; IP-правилам (IP-CIDR, GEOIP) сначала нужен резолвинг. Доменные правила выше - меньше лишних запросов, а в режиме fake-ip - никаких вынужденных настоящих резолвингов (в связке с no-resolve, см. IP-правила).
Совет: развести поддомены по разным выходам - законная задача:
DOMAIN,vpn.company.com,DIRECT перед DOMAIN-SUFFIX,company.com,PROXY отправит напрямую только этот хост.