Правила - сердце конфигурации Clash: каждое новое соединение идёт по списку с первой строки вниз до первого совпадения. Правильные правила - и маршрутизация дальше работает сама.

Синтаксис

rules:
  - ТИП,содержимое,выход
  # например:
  - DOMAIN-SUFFIX,youtube.com,Select
  - GEOIP,CN,DIRECT
  - MATCH,Select

Выход - имя группы прокси, DIRECT (напрямую) или REJECT (блок).

Распространённые типы

ТипСопоставляетПример
DOMAINТочный доменDOMAIN,www.google.com,PROXY
DOMAIN-SUFFIXДомен и все поддоменыDOMAIN-SUFFIX,google.com,PROXY
DOMAIN-KEYWORDДомен с подстрокойDOMAIN-KEYWORD,google,PROXY
IP-CIDRДиапазон IPv4 назначенияIP-CIDR,8.8.8.8/32,PROXY
GEOIPСтрана IPGEOIP,CN,DIRECT
PROCESS-NAMEПроцесс-инициаторPROCESS-NAME,Telegram.exe,PROXY
RULE-SETВнешний набор правилRULE-SET,ads,REJECT
MATCHВсё подряд (запасное)MATCH,PROXY

Почему порядок критичен

Сравните две строки:

- DOMAIN-SUFFIX,cn.example.com,DIRECT
- DOMAIN-SUFFIX,example.com,PROXY

В таком порядке cn.example.com идёт напрямую, остальной example.com - через прокси. Поменяйте местами - и широкое правило заберёт всё первым; вторая строка не сработает никогда. Принцип: конкретное выше, общее ниже.

Запасное MATCH

Список должен завершаться ровно одним правилом MATCH, принимающим всё несопоставленное (без него такой трафик уходит напрямую). MATCH на группу прокси («неизвестное → прокси») против DIRECT («неизвестное → напрямую») - это и есть выбор между стратегией белого и чёрного списка.

Отладка: не знаете, какое правило сработало? Колонка Rule на странице Connections отвечает мгновенно - быстрее, чем вычитывать конфиг.