Proxys nur für benötigte Websites: Domain-Routing in sing-box und mihomo

Typische Situation: Ein Geschäft auf dem deutschen Amazon muss mit einer deutschen IP geöffnet werden, das Verkäufer-Dashboard aus den USA – mit einer amerikanischen, während YouTube, der Arbeitsmessenger und Systemupdates direkt laufen können. Einen Proxy „für das gesamte System“ zu aktivieren ist unpraktisch und teuer: Bei der Bezahlung für ein Gigabyte über einen Proxy wird der gesamte Hintergrundverkehr verbraucht. Manuell ein- und auszuschalten – vergisst man im ungünstigsten Moment. Die Lösung ist Domaine-Routing: Der lokale Client entscheidet selbst, welche Website über welchen Proxy geleitet wird und welche direkt. Im Folgenden finden Sie funktionierende Konfigurationen für die beiden beliebtesten Engines des Jahres 2026, sing-box und mihomo (ehemals Clash Meta), sowie eine Analyse der Fallen, in die das Schema normalerweise fällt.

Was ist besser als ein Proxy im Browser und PAC-Datei

Ein Proxy in den Browsereinstellungen oder einer Erweiterung funktioniert nur für diesen Browser. Eine PAC-Datei kann Proxys nach Domain auswählen, lebt aber ebenfalls innerhalb des Browsers und der Systemeinstellungen – der Desktop-Client des Marktplatzes, Telegram, ein Python-Skript oder ein Konsolenprogramm ignorieren ihn einfach.

sing-box und mihomo arbeiten auf einer niedrigeren Ebene: Sie heben ein virtuelles Netzwerk-Interface (TUN-Modus) an und leiten den Verkehr aller Programme durch sich hindurch. Jedes Verbindung wird dann anhand einer Regelübersicht geprüft: Domain, IP-Subnetz, Prozessname, Port. Wenn eine Regel übereinstimmt, wird die Verbindung über den angegebenen Ausgang (Proxy des gewünschten Landes oder direkte Verbindung) geleitet.

Was bedeutet das in der Praxis:

• Verkehrseinsparung. Über den kostenpflichtigen Proxy laufen nur Arbeitsseiten, während Videos, Updates und Cloud-Backups direkt laufen.
• Mehrere Länder gleichzeitig. amazon.de – über den deutschen Ausgang, walmart.com – über den amerikanischen, ohne Umschaltungen.
• Regeln nach Programmen. Man kann einen bestimmten Prozess komplett über den Proxy leiten (zum Beispiel den Desktop-Client oder ein Skript), ohne die anderen zu berühren.
• Weniger menschliche Fehler. Man muss sich nicht merken, ob der Proxy aktiviert ist – die Seite öffnet sich immer mit der „richtigen“ IP.

Was benötigt wird

• Ein Proxy mit Unterstützung für SOCKS5 oder HTTP und Authentifizierung per Benutzername und Passwort. Beide Engines können Benutzernamen und Passwort selbst übermitteln, ein lokales Gateway ist nicht erforderlich.
• Client: für sing-box – offizielle Anwendungen für Android, iOS und macOS oder das Kernprogramm für Windows/Linux; für mihomo – grafische Oberflächen wie Clash Verge Rev oder FlClash.
• Eine Liste von Domains, die über den Proxy geleitet werden sollen. Diese sollte im Voraus zusammengestellt werden – dazu mehr weiter unten.

Option 1: sing-box (Versionen 1.12 und neuer)

Wichtiger Hinweis zu den Versionen. Viele Konfigurationen aus dem Internet sind für die alte sing-box geschrieben und funktionieren nicht auf aktuellen Builds. Laut offizieller Liste veralteter Funktionen: geosite und geoip wurden in 1.12.0 entfernt (stattdessen – rule-set), das Feld outbound innerhalb der Regeln wurde ab 1.11 durch Aktionen ("action": "route") ersetzt, alte Formate von DNS-Servern wurden in 1.14.0 entfernt, und spezielle Ausgänge block und dns bereits in 1.13.0. Der aktuelle stabile Branch zum Zeitpunkt des Schreibens ist 1.14.

Die minimale funktionierende Konfiguration: Deutscher Residential-Proxy für ein paar Domains, alles andere direkt.

{
  "log": { "level": "info" },
  "dns": {
    "servers": [ { "type": "local", "tag": "local" } ]
  },
  "inbounds": [
    {
      "type": "tun",
      "tag": "tun-in",
      "address": [ "172.18.0.1/30" ],
      "auto_route": true,
      "strict_route": true
    }
  ],
  "outbounds": [
    {
      "type": "socks",
      "tag": "resi-de",
      "server": "HOST_AUS_DER_ADMINISTRATIONSOBERFLÄCHE",
      "server_port": 1080,
      "username": "BENUTZERNAME",
      "password": "PASSWORT"
    },
    { "type": "direct", "tag": "direct" }
  ],
  "route": {
    "auto_detect_interface": true,
    "default_domain_resolver": "local",
    "rules": [
      { "action": "sniff" },
      { "protocol": "dns", "action": "hijack-dns" },
      {
        "network": "udp",
        "port": 443,
        "domain_suffix": [ "amazon.de", "otto.de" ],
        "action": "reject"
      },
      {
        "domain_suffix": [ "amazon.de", "otto.de", "ipinfo.io" ],
        "action": "route",
        "outbound": "resi-de"
      }
    ],
    "final": "direct"
  }
}

Host, Port, Benutzername und Passwort ersetzen Sie durch die Daten aus dem Anbieter-Dashboard. Der Port 1080 dient hier nur als Beispiel.

Was jeder Teil macht

1. TUN-Eingang (auto_route) leitet den gesamten Verkehr des Systems durch sing-box. strict_route unter Windows fügt zusätzlich Firewall-Regeln gegen DNS-Lecks hinzu (die Dokumentation warnt, dass dies einige Programme, wie VirtualBox, stören kann).
2. "action": "sniff" – die Schlüsselzeile. Über TUN kommen Verbindungen zu IP-Adressen und nicht zu Domains. Sniffing extrahiert den Namen der Website aus dem TLS-Handshake (SNI) oder dem HTTP-Header, und erst danach beginnen die Regeln domain_suffix zu greifen. Ohne diese Zeile funktionieren die Domain-Regeln stillschweigend nicht – ein häufiger Grund für „Konfiguration wird nicht angewendet“.
3. hijack-dns fängt die DNS-Anfragen des Systems ab und leitet sie an das DNS-Modul von sing-box weiter.
4. Regel mit reject für UDP 443 deaktiviert QUIC (HTTP/3) für die proxierten Domains. Der Browser wird auf das normale HTTPS über TCP zurückfallen, und das wird über den Proxy geleitet. Warum – im Abschnitt über die Fallen.
5. domain_suffix erfasst die Domain und alle ihre Subdomains: amazon.de umfasst sowohl www.amazon.de als auch sellercentral.amazon.de.
6. auto_detect_interface bindet die ausgehenden Verbindungen von sing-box an den physischen Netzwerkadapter. Ohne ihn gelangt der Verkehr zum Proxy-Server erneut in TUN, was zu einer Routing-Schleife führt.
7. final: direct – alles, was mit keiner Regel übereinstimmt, geht direkt.

Mehrere Länder und Regel nach Programm

Der zweite Ausgang wird als weiteres socks-Objekt mit seinem eigenen Tag (zum Beispiel resi-us) und einer separaten Regel hinzugefügt. Man kann ein Programm komplett über den Proxy leiten, indem man eine Regel mit dem Feld process_name erstellt (funktioniert unter Windows, macOS und Linux):

{
  "process_name": [ "python.exe" ],
  "action": "route",
  "outbound": "resi-us"
}

Regeln werden von oben nach unten bis zur ersten Übereinstimmung überprüft, daher sollten spezifische Regeln über allgemeinen platziert werden.

Option 2: mihomo (Clash Meta)

mihomo ist praktisch, da es ausgereifte grafische Oberflächen dafür gibt und die Konfiguration in YAML geschrieben wird, was einfacher zu lesen ist. Das gleiche Szenario:

tun:
  enable: true
  stack: gvisor
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

dns:
  enable: true
  enhanced-mode: fake-ip
  nameserver:
    - https://1.1.1.1/dns-query

proxies:
  - name: resi-de
    type: socks5
    server: HOST_AUS_DER_ADMINISTRATIONSOBERFLÄCHE
    port: 1080
    username: BENUTZERNAME
    password: PASSWORT

rule-providers:
  work-de:
    type: inline
    behavior: classical
    payload:
      - DOMAIN-SUFFIX,amazon.de
      - DOMAIN-SUFFIX,otto.de
      - DOMAIN-SUFFIX,ipinfo.io

rules:
  - RULE-SET,work-de,resi-de
  - MATCH,DIRECT

Die Hauptunterschiede zu sing-box:

• Fake-IP-Modus löst das Problem „Verbindung kam zu IP und nicht zu Domain“ anders: mihomo antwortet selbst auf DNS-Anfragen mit einer fiktiven Adresse, merkt sich, zu welcher Domain sie gehört, und wendet die Regeln darauf an. Die echte Adresse der Website erfährt der Proxy-Server bereits auf seiner Seite.
• Regelsatz (rule-providers) lässt sich bequem in einer separaten Liste halten. Der Typ inline speichert Domains direkt in der Konfiguration, der Typ http zieht die Liste über einen Link und aktualisiert sie in Intervallen, zum Beispiel die gemeinsame Liste des Teams im Repository.
• MATCH – das Pendant zu final: alles andere geht direkt.
• Für Regeln nach Programmen gibt es PROCESS-NAME, auf Android akzeptiert es den Paketnamen der Anwendung.

Wie man eine Liste von Domains zusammenstellt und nichts verpasst

Eine Website ist nicht nur eine Domain. Der Marktplatz lädt Bilder von einem CDN, Skripte von einer separaten Domain, die Authentifizierung kann auf einer dritten leben. Wenn die Hauptdomain über eine deutsche IP läuft und die Eingangsdomain von Ihrer echten kommt, sieht der Antifraud zwei verschiedene Adressen in einer Sitzung.

1. Öffnen Sie die Website mit den Entwicklertools (F12 → Tab Netzwerk), durchlaufen Sie das typische Szenario: Anmeldung, Suche, Produktkarte, Dashboard.
2. Notieren Sie sich alle Domains aus der Spalte Domain. Externe Zähler und Werbung können weggelassen werden, die Domains des Dienstes selbst (einschließlich CDN und Authentifizierungsserver) sollten jedoch unbedingt hinzugefügt werden.
3. Fügen Sie diese in die Regel ein und wiederholen Sie das Szenario. Im Log von sing-box (Level info) oder im Verbindungs-Tab der mihomo-Oberfläche ist zu sehen, welche Regel für jede Verbindung wirksam wurde.
4. Halten Sie in der Liste eine „Kontrolldomain“ wie ipinfo.io: sie zeigt die IP des Proxys, während der benachbarte IP-Überprüfungsdienst, der nicht in der Liste steht, Ihre echte IP zeigt. So sieht man in Sekundenschnelle, dass das Routing funktioniert.

Fallen, in die das Schema fällt

1. QUIC umgeht den Proxy

Chrome und andere Browser besuchen gerne große Websites über HTTP/3, also über UDP. Viele Proxy-Anbieter unterstützen UDP über SOCKS5 nicht oder nur eingeschränkt. Im schlimmsten Fall geht die Verbindung woanders hin, im besten Fall wird die Website langsam, bis der Browser auf TCP zurückfällt. Daher wird in der oben genannten sing-box-Konfiguration UDP auf Port 443 für die Arbeitsdomains ausdrücklich abgelehnt. In mihomo lässt sich der gleiche Effekt einfacher erzielen, indem QUIC im Browser deaktiviert wird (Flag chrome://flags/#enable-quic).

2. DNS-Leck zum Anbieter

Wenn die Arbeitsdomain lokal über den DNS Ihres Internetanbieters aufgelöst wird, wird die Website das nicht sehen: Die Verbindung kommt trotzdem mit der IP des Proxys. Aber der Anbieter und jeder, der Ihren DNS sieht, erfährt, welche Websites Sie öffnen. Der Fake-IP-Modus in mihomo und die Übermittlung der Domain an den Proxy-Server nach dem Sniffing in sing-box verringern dieses Problem. Mehr zu Überprüfungen und Schutzmethoden – in der Analyse der Methoden zum Schutz vor DNS-Lecks.

3. Konflikt mit einem anderen VPN oder Anti-Detect

Zwei TUN-Interfaces gleichzeitig – garantiert Chaos in den Routen. Wenn im Anti-Detect-Browser das Profil bereits einen eigenen Proxy hat, ist es besser, dessen Verkehr aus TUN herauszuleiten: Mit einer Regel nach Prozessnamen kann der Browser auf direct geleitet werden, und dann läuft jedes Profil über seinen eigenen Proxy, wie vorgesehen.

4. Systemrouting ersetzt kein Anti-Detect

Alle Programme auf dem Computer werden mit einer IP zur Domain ins Internet gehen. Für einen Shop ist das in Ordnung. Für 10 Konten auf einer Plattform – nicht: Die Plattform sieht den gleichen Browser-Fingerabdruck und die gleiche Adresse. Für Multi-Accounting ist das Routing nach Domains ein Hilfsmittel, kein Ersatz für die Kombination „einzelnes Profil + einzelner Proxy“.

5. IP-Rotation mitten in der Sitzung

Wenn der Proxy so eingestellt ist, dass er bei jeder Anfrage die IP wechselt, wird die Website mit der Authentifizierung bei jedem Laden eines Bildes eine neue Adresse sehen. Für Dashboards, Shops und soziale Netzwerke verwenden Sie einen Login mit einer Sticky-Session (feste IP während der Nutzung) oder eine Rotation nach Timer mit Intervallen von mehreren Minuten.

6. Proxy ohne Unterstützung des benötigten Protokolls

Wenn der Anbieter nur HTTP-Proxys bereitstellt, verwenden Sie in sing-box einen Ausgang vom Typ http, in mihomo – type: http. Beide Engines unterstützen auch für HTTP Benutzername und Passwort. Wenn das Programm jedoch nicht mit Proxys mit Authentifizierung arbeiten kann und man TUN nicht hochfahren möchte, eignet sich ein lokales Gateway auf gost, 3proxy oder Squid.

Welchen Proxy in die Regel einfügen

• Marktplätze, soziale Netzwerke, Verkäufer-Dashboards, Werbe-Dashboards – Residential Proxys des benötigten Landes mit Sticky-Session. Die Adresse des heimischen Anbieters wirft beim Antifraud die wenigsten Fragen auf.
• Plattformen mit der strengsten Überprüfung (Mobile Apps, TikTok, Instagram) – mobile Proxys: Mit einer IP des Anbieters gehen gleichzeitig viele echte Abonnenten ins Netz.
• API, Dokumentation, Paket-Repositories, Dienste ohne Anti-Bot-Schutz – Datacenter-Proxys: Sie sind günstiger und schneller, und für solche Aufgaben ist eine „hausgemachte“ IP nicht erforderlich.

Es ist praktisch, mehrere Ausgänge verschiedener Typen in der Konfiguration zu haben und die Domains auf sie zu verteilen, anstatt alles über den teuersten zu leiten.

Fazit

Domaine-Routing verwandelt Proxys von einem „Schalter“ in ein präzises Werkzeug: Die benötigten Websites werden immer mit der benötigten IP geöffnet, der übrige Verkehr verbraucht keine bezahlten Gigabytes. Für den Start genügen 30 Zeilen Konfiguration. Das Wichtigste ist, das Sniffing (oder Fake-IP) nicht zu vergessen, QUIC für die proxierten Domains zu deaktivieren, eine vollständige Liste der Dienst-Domains zu sammeln und die aktuelle Syntax zu verwenden: Konfigurationen für sing-box bis 1.12 funktionieren nicht auf aktuellen Versionen.