← Volver al blog
RUENESZHARPTDEFRJAKOITTRIDVIFAHI

Proxies solo para sitios necesarios: enrutamiento por dominios en sing-box y mihomo

A través de un proxy de pago no es necesario dirigir todo el tráfico. Analizamos la ruta por dominios en sing-box y mihomo (Clash Meta): configuraciones listas para las versiones actuales, reglas para sitios y programas, varios países al mismo tiempo y trampas: QUIC, fugas de DNS, conflicto con anti-detección y rotación en medio de la sesión.

📅13 de octubre de 2026
Proxies solo para sitios necesarios: enrutamiento por dominios en sing-box y mihomo

Situación típica: para abrir una tienda en Amazon alemán se necesita una IP alemana, el panel del proveedor desde EE. UU. — una IP estadounidense, y YouTube, el mensajero de trabajo y las actualizaciones del sistema deben ir directamente. Activar un proxy "para todo el sistema" es incómodo y caro: al pagar por un gigabyte a través de un proxy, se consume todo el tráfico de fondo. Apagar y encender manualmente — olvidarás en el momento menos adecuado. La solución es el enrutamiento por dominios: el cliente local decide qué sitio pasar a través de qué proxy y cuál directamente. A continuación, se presentan configuraciones funcionales para los dos motores más populares de 2026, sing-box y mihomo (anteriormente Clash Meta), y un análisis de las trampas en las que normalmente falla el esquema.

¿Por qué es mejor que un proxy en el navegador y un archivo PAC?

Un proxy en la configuración del navegador o en una extensión solo funciona para ese navegador. Un archivo PAC puede seleccionar proxies por dominio, pero también vive dentro del navegador y de la configuración del sistema — el cliente de escritorio del marketplace, Telegram, un script en Python o una utilidad de consola simplemente lo ignorarán.

sing-box y mihomo operan a un nivel más bajo: levantan una interfaz de red virtual (modo TUN) y permiten que el tráfico de todos los programas pase a través de ellos. Luego, cada conexión pasa por una lista de reglas: dominio, subred IP, nombre del proceso, puerto. Si se cumple una regla, la conexión se envía a la salida especificada (proxy del país deseado o conexión directa).

¿Qué significa esto en la práctica?

  • Ahorro de tráfico. Solo los sitios de trabajo pasan a través del proxy, mientras que videos, actualizaciones y copias de seguridad en la nube van directamente.
  • Varias países simultáneamente. amazon.de — a través de la salida alemana, walmart.com — a través de la estadounidense, sin cambios.
  • Reglas por programas. Se puede enviar un proceso específico completo a través del proxy (por ejemplo, el cliente de escritorio o un script), sin afectar a los demás.
  • Menos errores humanos. No es necesario recordar si el proxy está activado, — el sitio siempre se abre con la IP "correcta".

Qué necesitarás

  • Proxy con soporte para SOCKS5 o HTTP y autenticación por nombre de usuario y contraseña. Ambos motores pueden transmitir el nombre de usuario y la contraseña por sí mismos, no se necesita un gateway local.
  • Cliente: para sing-box — aplicaciones oficiales para Android, iOS y macOS o núcleo para Windows/Linux; para mihomo — interfaces gráficas como Clash Verge Rev o FlClash.
  • Lista de dominios que deben pasar a través del proxy. Es recomendable recopilarla de antemano — sobre esto más adelante.

Opción 1: sing-box (versiones 1.12 y posteriores)

Aclaración importante sobre las versiones. Muchas configuraciones de Internet están escritas para el antiguo sing-box y no se ejecutan en las versiones actuales. Según la lista oficial de funciones obsoletas: geosite y geoip fueron eliminados en 1.12.0 (en su lugar — rule-set), el campo outbound dentro de las reglas se reemplazó por acciones ("action": "route") desde la versión 1.11, los antiguos formatos de servidores DNS fueron eliminados en 1.14.0, y las salidas especiales block y dns — aún en 1.13.0. La rama estable actual al momento de escribir es 1.14.

Configuración mínima funcional: proxy residencial alemán para un par de dominios, todo lo demás directamente.

{
  "log": { "level": "info" },
  "dns": {
    "servers": [ { "type": "local", "tag": "local" } ]
  },
  "inbounds": [
    {
      "type": "tun",
      "tag": "tun-in",
      "address": [ "172.18.0.1/30" ],
      "auto_route": true,
      "strict_route": true
    }
  ],
  "outbounds": [
    {
      "type": "socks",
      "tag": "resi-de",
      "server": "ХОСТ_ИЗ_КАБИНЕТА",
      "server_port": 1080,
      "username": "ЛОГИН",
      "password": "ПАРОЛЬ"
    },
    { "type": "direct", "tag": "direct" }
  ],
  "route": {
    "auto_detect_interface": true,
    "default_domain_resolver": "local",
    "rules": [
      { "action": "sniff" },
      { "protocol": "dns", "action": "hijack-dns" },
      {
        "network": "udp",
        "port": 443,
        "domain_suffix": [ "amazon.de", "otto.de" ],
        "action": "reject"
      },
      {
        "domain_suffix": [ "amazon.de", "otto.de", "ipinfo.io" ],
        "action": "route",
        "outbound": "resi-de"
      }
    ],
    "final": "direct"
  }
}

Reemplace el host, puerto, nombre de usuario y contraseña desde el panel del proveedor. El puerto 1080 aquí es solo un ejemplo.

Qué hace cada parte

  1. Entrada TUN (auto_route) envuelve en sing-box el tráfico de todo el sistema. strict_route en Windows agrega reglas de firewall contra fugas de DNS (la documentación advierte que esto puede romper algunos programas, como VirtualBox).
  2. "action": "sniff" — la línea clave. A través de TUN llegan conexiones a direcciones IP, no a dominios. El sniffing extrae el nombre del sitio del apretón de manos TLS (SNI) o del encabezado HTTP, y solo después de eso comienzan a aplicarse las reglas domain_suffix. Sin esta línea, las reglas de dominio no funcionan en silencio — una causa común de "la configuración no se aplica".
  3. hijack-dns intercepta las solicitudes DNS del sistema y las envía al módulo DNS de sing-box.
  4. La regla con reject para UDP 443 desactiva QUIC (HTTP/3) para los dominios proxy. El navegador volverá a HTTPS normal sobre TCP, y eso irá a través del proxy. ¿Por qué? En la sección sobre trampas.
  5. domain_suffix captura el dominio y todos sus subdominios: amazon.de cubre tanto www.amazon.de como sellercentral.amazon.de.
  6. auto_detect_interface vincula las conexiones salientes de sing-box al adaptador de red físico. Sin él, el tráfico al servidor proxy volverá a entrar en TUN, y se creará un bucle de enrutamiento.
  7. final: direct — todo lo que no coincide con ninguna regla va directamente.

Varias países y regla por programa

La segunda salida se agrega como otro objeto socks con su propia etiqueta (por ejemplo, resi-us) y una regla separada. Se puede enviar un programa completo al proxy con una regla que tenga el campo process_name (funciona en Windows, macOS y Linux):

{
  "process_name": [ "python.exe" ],
  "action": "route",
  "outbound": "resi-us"
}

Las reglas se verifican de arriba a abajo hasta el primer coincidencia, por lo que coloque las reglas específicas por encima de las generales.

Opción 2: mihomo (Clash Meta)

mihomo es conveniente porque tiene interfaces gráficas maduras, y la configuración se escribe en YAML, que es más fácil de leer. El mismo escenario:

tun:
  enable: true
  stack: gvisor
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

dns:
  enable: true
  enhanced-mode: fake-ip
  nameserver:
    - https://1.1.1.1/dns-query

proxies:
  - name: resi-de
    type: socks5
    server: ХОСТ_ИЗ_КАБИНЕТА
    port: 1080
    username: ЛОГИН
    password: ПАРОЛЬ

rule-providers:
  work-de:
    type: inline
    behavior: classical
    payload:
      - DOMAIN-SUFFIX,amazon.de
      - DOMAIN-SUFFIX,otto.de
      - DOMAIN-SUFFIX,ipinfo.io

rules:
  - RULE-SET,work-de,resi-de
  - MATCH,DIRECT

Las principales diferencias con sing-box:

  • Modo fake-ip resuelve el problema de "la conexión llegó a la IP, no al dominio" de otra manera: mihomo responde a la solicitud DNS con una dirección ficticia, recuerda a qué dominio corresponde y aplica las reglas en base a eso. La dirección real del sitio la conoce el servidor proxy en su lado.
  • Conjunto de reglas (rule-providers) es conveniente mantenerlo como una lista separada. El tipo inline almacena dominios directamente en la configuración, el tipo http obtiene la lista a través de un enlace y la actualiza periódicamente, por ejemplo, la lista general del equipo en el repositorio.
  • MATCH — análogo a final: todo lo demás va directamente.
  • Para reglas por programas hay PROCESS-NAME, en Android acepta el nombre del paquete de la aplicación.

Cómo recopilar una lista de dominios y no perder los necesarios

Un sitio no es solo un dominio. El marketplace carga imágenes desde CDN, scripts — desde un dominio separado, la autorización puede residir en un tercero. Si el dominio principal pasa a través de una IP alemana, y el dominio de entrada — desde tu verdadera, el antifraude ve dos direcciones diferentes en una sesión.

  1. Abre el sitio con herramientas de desarrollador (F12 → pestaña Network), sigue un escenario típico: inicio de sesión, búsqueda, tarjeta de producto, panel.
  2. Escribe todos los dominios de la columna Domain. No es necesario agregar contadores externos y publicidad, pero sí los dominios del propio servicio (incluyendo CDN y servidor de autorización).
  3. Agrega estos a la regla y repite el escenario. En el registro de sing-box (nivel info) o en la pestaña de conexiones de la interfaz de mihomo se puede ver qué regla se activó para cada conexión.
  4. Mantén en la lista un dominio "de control" como ipinfo.io: muestra la IP del proxy, y el servicio vecino de verificación de IP, que no está en la lista, — tu verdadera. Así, en un segundo se puede ver que el enrutamiento funciona.

Trampas en las que falla el esquema

1. QUIC se escapa del proxy

Chrome y otros navegadores acceden gustosamente a grandes sitios a través de HTTP/3, es decir, a través de UDP. Muchos proveedores de proxy no soportan UDP a través de SOCKS5 o lo hacen de manera limitada. En el peor de los casos, la conexión se va a otro lugar, en el mejor — el sitio se ralentiza, hasta que el navegador vuelva a TCP. Por eso, en la configuración de sing-box, se rechaza explícitamente UDP en el puerto 443 para los dominios de trabajo. En mihomo, un efecto similar se logra más fácilmente desactivando QUIC en el navegador (bandera chrome://flags/#enable-quic).

2. Fuga de DNS al proveedor

Si el dominio de trabajo se resuelve localmente a través del DNS de tu proveedor de Internet, el sitio mismo no lo verá: la conexión aún vendrá con la IP del proxy. Pero el proveedor y cualquier persona que vea tu DNS sabrá qué sitios estás abriendo. El modo fake-ip en mihomo y la transmisión del dominio al servidor proxy después del sniffing en sing-box reducen este problema. Más sobre verificaciones y métodos de protección — en el análisis de métodos de protección contra fugas de DNS.

3. Conflicto con otro VPN o anti-detección

Dos interfaces TUN al mismo tiempo — caos garantizado en las rutas. Si en el navegador anti-detección el perfil ya tiene su propio proxy, es mejor sacar su tráfico de TUN: con una regla por nombre de proceso, enviar el navegador a direct, y así cada perfil pasa a través de su propio proxy, como se pretendía.

4. El enrutamiento del sistema no reemplaza la anti-detección

Todos los programas en la computadora saldrán a la red con una sola IP por dominio. Para una tienda esto es normal. Para 10 cuentas en una sola plataforma — no: la plataforma ve la misma huella del navegador y una dirección. Para el multi-cuentas, el enrutamiento por dominios es una herramienta auxiliar, no un reemplazo de la combinación "perfil separado + proxy separado".

5. Rotación de IP en medio de la sesión

Si el proxy está configurado para cambiar IP en cada solicitud, el sitio con autorización verá una nueva dirección en cada carga de imagen. Para paneles, tiendas y redes sociales, utiliza un inicio de sesión con sesión sticky (IP fija durante el tiempo de trabajo) o rotación por temporizador con intervalos de decenas de minutos.

6. Proxy sin soporte para el protocolo necesario

Si el proveedor solo ofrece proxies HTTP, en sing-box utiliza una salida de tipo http, en mihomo — type: http. Ambos motores soportan nombre de usuario y contraseña también para HTTP. Si el programa en sí no puede trabajar con proxies con autenticación, y no quieres levantar TUN, un gateway local en gost, 3proxy o Squid será adecuado.

Qué proxy poner en la regla

  • Marketplaces, redes sociales, paneles de vendedor, paneles publicitarios — proxies residenciales del país deseado con sesión sticky. La dirección del proveedor doméstico genera menos preguntas para el antifraude.
  • Plataformas con la verificación más estricta (aplicaciones móviles, TikTok, Instagram) — proxies móviles: con una sola IP del operador, muchos abonados reales salen a la red al mismo tiempo.
  • API, documentación, repositorios de paquetes, servicios sin protección anti-bot — proxies de centros de datos: son más baratos y rápidos, y para estas tareas no se necesita una IP "doméstica".

Es conveniente tener varias salidas de diferentes tipos en la configuración y distribuir los dominios entre ellas, en lugar de hacer pasar todo por la más cara.

Conclusión

El enrutamiento por dominios transforma el proxy de un "interruptor" en una herramienta precisa: los sitios necesarios siempre se abren con la IP correcta, el resto del tráfico no consume los gigabytes pagados. Para comenzar, son suficientes 30 líneas de configuración. Lo principal es no olvidar el sniffing (o fake-ip), desactivar QUIC para los dominios proxy, recopilar una lista completa de dominios del servicio y utilizar la sintaxis actual: las configuraciones para sing-box anteriores a 1.12 no se ejecutarán en versiones recientes.