← Kembali ke blog
RUENESZHARPTDEFRJAKOITTRIDVIFAHI

Proxy Hanya untuk Situs yang Diperlukan: Rute Berdasarkan Domain di sing-box dan mihomo

Melalui proxy berbayar tidak harus mengalirkan seluruh lalu lintas. Kami membahas pengaturan berdasarkan domain di sing-box dan mihomo (Clash Meta): konfigurasi siap pakai untuk versi terkini, aturan untuk situs dan program, beberapa negara sekaligus dan jebakan — QUIC, kebocoran DNS, konflik dengan anti-detect dan rotasi di tengah sesi.

📅13 Oktober 2026
Proxy Hanya untuk Situs yang Diperlukan: Rute Berdasarkan Domain di sing-box dan mihomo

Situasi yang umum: toko di Amazon Jerman harus dibuka dengan IP Jerman, kabinet pemasok dari AS — dengan IP Amerika, sementara YouTube, aplikasi pesan kerja, dan pembaruan sistem bisa langsung terhubung. Mengaktifkan proxy "untuk seluruh sistem" tidak nyaman dan mahal: saat membayar untuk satu gigabyte melalui proxy, semua lalu lintas latar belakang terpakai. Mematikan dan menghidupkan secara manual — Anda akan lupa pada saat yang paling tidak tepat. Solusinya adalah rute berdasarkan domain: klien lokal memutuskan sendiri situs mana yang akan dilewatkan melalui proxy mana, dan mana yang langsung. Di bawah ini adalah konfigurasi kerja untuk dua mesin paling populer tahun 2026, sing-box dan mihomo (mantan Clash Meta), serta analisis jebakan yang biasanya merusak skema.

Kenapa ini lebih baik daripada proxy di browser dan file PAC

Proxy di pengaturan browser atau ekstensi hanya berfungsi untuk browser itu saja. File PAC dapat memilih proxy berdasarkan domain, tetapi juga hidup di dalam browser dan pengaturan sistem — klien desktop marketplace, Telegram, skrip Python, atau utilitas konsol akan mengabaikannya.

sing-box dan mihomo bekerja di tingkat yang lebih rendah: mereka mengangkat antarmuka jaringan virtual (mode TUN) dan melewatkan lalu lintas semua program. Selanjutnya, setiap koneksi melewati daftar aturan: domain, subnet IP, nama proses, port. Jika aturan cocok — koneksi diarahkan ke keluar yang ditentukan (proxy negara yang diinginkan atau koneksi langsung).

Apa yang ini berikan dalam praktik:

  • Penghematan lalu lintas. Hanya situs kerja yang melewati proxy berbayar, sedangkan video, pembaruan, dan cadangan cloud — langsung.
  • Beberapa negara sekaligus. amazon.de — melalui keluar Jerman, walmart.com — melalui keluar Amerika, tanpa perlu beralih.
  • Aturan berdasarkan program. Anda dapat mengarahkan proses tertentu ke proxy secara keseluruhan (misalnya, klien desktop atau skrip), tanpa mengganggu yang lain.
  • Lebih sedikit kesalahan manusia. Tidak perlu mengingat apakah proxy diaktifkan, — situs selalu terbuka dengan IP "yang benar".

Apa yang dibutuhkan

  • Proxy yang mendukung SOCKS5 atau HTTP dan otentikasi dengan nama pengguna dan kata sandi. Kedua mesin dapat mengirimkan nama pengguna dan kata sandi sendiri, tidak perlu gateway lokal.
  • Klien: untuk sing-box — aplikasi resmi untuk Android, iOS, dan macOS atau inti untuk Windows/Linux; untuk mihomo — antarmuka grafis seperti Clash Verge Rev atau FlClash.
  • Daftar domain yang harus melewati proxy. Ini sebaiknya disusun sebelumnya — tentang ini di bawah.

Opsi 1: sing-box (versi 1.12 dan lebih baru)

Pernyataan penting tentang versi. Banyak konfigurasi dari internet ditulis untuk sing-box lama dan tidak dapat dijalankan di build terbaru. Menurut daftar resmi fungsi yang sudah usang: geosite dan geoip dihapus di 1.12.0 (sebagai gantinya — rule-set), bidang outbound di dalam aturan dari 1.11 diganti dengan tindakan ("action": "route"), format lama server DNS dihapus di 1.14.0, dan keluar khusus block dan dns — bahkan di 1.13.0. Cabang stabil yang berlaku pada saat penulisan adalah 1.14.

Konfigurasi kerja minimal: proxy residensial Jerman untuk beberapa domain, semua yang lain langsung.

{
  "log": { "level": "info" },
  "dns": {
    "servers": [ { "type": "local", "tag": "local" } ]
  },
  "inbounds": [
    {
      "type": "tun",
      "tag": "tun-in",
      "address": [ "172.18.0.1/30" ],
      "auto_route": true,
      "strict_route": true
    }
  ],
  "outbounds": [
    {
      "type": "socks",
      "tag": "resi-de",
      "server": "ХОСТ_ИЗ_КАБИНЕТА",
      "server_port": 1080,
      "username": "ЛОГИН",
      "password": "ПАРОЛЬ"
    },
    { "type": "direct", "tag": "direct" }
  ],
  "route": {
    "auto_detect_interface": true,
    "default_domain_resolver": "local",
    "rules": [
      { "action": "sniff" },
      { "protocol": "dns", "action": "hijack-dns" },
      {
        "network": "udp",
        "port": 443,
        "domain_suffix": [ "amazon.de", "otto.de" ],
        "action": "reject"
      },
      {
        "domain_suffix": [ "amazon.de", "otto.de", "ipinfo.io" ],
        "action": "route",
        "outbound": "resi-de"
      }
    ],
    "final": "direct"
  }
}

Host, port, nama pengguna, dan kata sandi diisi dari kabinet penyedia. Port 1080 di sini hanya sebagai contoh.

Apa yang dilakukan setiap bagian

  1. TUN-inbound (auto_route) membungkus lalu lintas seluruh sistem ke dalam sing-box. strict_route di Windows menambahkan aturan firewall tambahan untuk mencegah kebocoran DNS (dokumentasi memperingatkan bahwa ini dapat merusak beberapa program, seperti VirtualBox).
  2. "action": "sniff" — baris kunci. Melalui TUN, koneksi datang ke alamat IP, bukan ke domain. Sniffing mengambil nama situs dari handshake TLS (SNI) atau header HTTP, dan hanya setelah itu aturan domain_suffix mulai berlaku. Tanpa baris ini, aturan domain tidak berfungsi secara diam-diam — penyebab umum "konfigurasi tidak diterapkan".
  3. hijack-dns menangkap permintaan DNS sistem dan mengirimkannya ke modul DNS sing-box.
  4. Aturan dengan reject untuk UDP 443 menonaktifkan QUIC (HTTP/3) untuk domain yang diproksikan. Browser akan kembali ke HTTPS biasa di atas TCP, dan itu akan melewati proxy. Mengapa — di bagian tentang jebakan.
  5. domain_suffix menangkap domain dan semua subdomainnya: amazon.de mencakup www.amazon.de, dan sellercentral.amazon.de.
  6. auto_detect_interface mengaitkan koneksi keluar sing-box ke adaptor jaringan fisik. Tanpa itu, lalu lintas ke server proxy akan kembali masuk ke TUN, dan akan terjadi loop routing.
  7. final: direct — semua yang tidak cocok dengan aturan mana pun, pergi langsung.

Beberapa negara dan aturan berdasarkan program

Keluar kedua ditambahkan sebagai objek socks lain dengan tag sendiri (misalnya, resi-us) dan aturan terpisah. Mengarahkan program ke proxy secara keseluruhan dapat dilakukan dengan aturan yang memiliki bidang process_name (bekerja di Windows, macOS, dan Linux):

{
  "process_name": [ "python.exe" ],
  "action": "route",
  "outbound": "resi-us"
}

Aturan diperiksa dari atas ke bawah hingga menemukan kecocokan pertama, jadi letakkan aturan khusus di atas aturan umum.

Opsi 2: mihomo (Clash Meta)

mihomo nyaman karena ada antarmuka grafis yang matang untuknya, dan konfigurasi ditulis dalam YAML, yang lebih mudah dibaca. Skenario yang sama:

tun:
  enable: true
  stack: gvisor
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

dns:
  enable: true
  enhanced-mode: fake-ip
  nameserver:
    - https://1.1.1.1/dns-query

proxies:
  - name: resi-de
    type: socks5
    server: ХОСТ_ИЗ_КАБИНЕТА
    port: 1080
    username: ЛОГИН
    password: ПАРОЛЬ

rule-providers:
  work-de:
    type: inline
    behavior: classical
    payload:
      - DOMAIN-SUFFIX,amazon.de
      - DOMAIN-SUFFIX,otto.de
      - DOMAIN-SUFFIX,ipinfo.io

rules:
  - RULE-SET,work-de,resi-de
  - MATCH,DIRECT

Perbedaan utama dari sing-box:

  • Mode fake-ip menyelesaikan masalah "koneksi datang ke IP, bukan ke domain" dengan cara lain: mihomo sendiri menjawab permintaan DNS dengan alamat palsu, mengingat domain mana yang sesuai, dan menerapkan aturan berdasarkan itu. Alamat nyata situs akan diketahui oleh server proxy di sisi mereka.
  • Set aturan (rule-providers) nyaman untuk disimpan dalam daftar terpisah. Tipe inline menyimpan domain langsung dalam konfigurasi, tipe http menarik daftar melalui tautan dan memperbarui secara berkala, misalnya daftar umum tim di repositori.
  • MATCH — analog final: semua yang lain pergi langsung.
  • Untuk aturan berdasarkan program, ada PROCESS-NAME, di Android ia menerima nama paket aplikasi.

Bagaimana mengumpulkan daftar domain dan tidak melewatkan yang diperlukan

Situs bukan hanya satu domain. Marketplace memuat gambar dari CDN, skrip — dari domain terpisah, otorisasi mungkin berada di domain ketiga. Jika domain utama melewati IP Jerman, tetapi domain masuk — dari IP asli Anda, anti-fraud akan melihat dua alamat berbeda dalam satu sesi.

  1. Buka situs dengan alat pengembang (F12 → tab Jaringan), lakukan skenario standar: masuk, pencarian, kartu produk, kabinet.
  2. Catat semua domain dari kolom Domain. Penghitung dan iklan pihak ketiga bisa diabaikan, tetapi domain dari layanan itu sendiri (termasuk CDN dan server otorisasi) — harus dicatat.
  3. Tambahkan mereka ke aturan dan ulangi skenario. Di log sing-box (level info) atau di tab koneksi antarmuka mihomo terlihat aturan mana yang diterapkan untuk setiap koneksi.
  4. Jaga agar daftar memiliki domain "kontrol" seperti ipinfo.io: itu menunjukkan IP proxy, dan layanan pemeriksa IP tetangga, yang tidak ada dalam daftar, — IP asli Anda. Dengan cara ini, Anda dapat dengan cepat melihat bahwa routing berfungsi.

Jebakan yang merusak skema

1. QUIC melewati proxy

Chrome dan browser lain dengan senang hati mengakses situs besar melalui HTTP/3, yaitu melalui UDP. Banyak penyedia proxy tidak mendukung UDP melalui SOCKS5 atau mendukungnya dengan terbatas. Dalam kasus terburuk, koneksi pergi ke tempat yang salah, dalam kasus terbaik — situs menjadi lambat, sampai browser kembali ke TCP. Oleh karena itu, dalam konfigurasi sing-box di atas, UDP pada port 443 untuk domain kerja secara eksplisit ditolak. Di mihomo, efek serupa lebih mudah dicapai dengan menonaktifkan QUIC di browser (flag chrome://flags/#enable-quic).

2. Kebocoran DNS ke penyedia

Jika domain kerja diresolusi secara lokal melalui DNS penyedia internet Anda, situs itu sendiri tidak akan melihatnya: koneksi tetap akan datang dari IP proxy. Tetapi penyedia dan siapa pun yang melihat DNS Anda akan tahu situs mana yang Anda buka. Mode fake-ip di mihomo dan pengiriman domain ke server proxy setelah sniffing di sing-box mengurangi masalah ini. Lebih lanjut tentang pemeriksaan dan cara perlindungan — dalam analisis metode perlindungan terhadap kebocoran DNS.

3. Konflik dengan VPN lain atau anti-detect

Dua antarmuka TUN secara bersamaan — menjamin kekacauan dalam rute. Jika di browser anti-detect profil sudah memiliki proxy sendiri, lalu lintasnya lebih baik dikeluarkan dari TUN: dengan aturan berdasarkan nama proses, kirim browser ke direct, dan kemudian setiap profil menggunakan proxy mereka sendiri, seperti yang direncanakan.

4. Routing sistem tidak menggantikan anti-detect

Semua program di komputer akan keluar ke jaringan dengan satu IP ke domain. Untuk satu toko ini normal. Untuk 10 akun di satu platform — tidak: platform melihat sidik jari browser yang sama dan satu alamat. Untuk multi-akunting, routing berdasarkan domain adalah alat bantu, bukan pengganti kombinasi "profil terpisah + proxy terpisah".

5. Rotasi IP di tengah sesi

Jika proxy diatur untuk mengubah IP pada setiap permintaan, situs dengan otorisasi akan melihat alamat baru pada setiap pemuatan gambar. Untuk kabinet, toko, dan media sosial, ambil nama pengguna dengan sesi lengket (IP tetap selama waktu kerja) atau rotasi berdasarkan timer dengan interval puluhan menit.

6. Proxy tanpa dukungan protokol yang diperlukan

Jika penyedia hanya memberikan proxy HTTP, gunakan keluar tipe http di sing-box, di mihomo — type: http. Kedua mesin mendukung nama pengguna dan kata sandi untuk HTTP. Namun, jika program itu sendiri tidak dapat bekerja dengan proxy dengan otentikasi, dan Anda tidak ingin mengangkat TUN, gateway lokal menggunakan gost, 3proxy, atau Squid bisa menjadi solusi.

Proxy mana yang harus digunakan dalam aturan

  • Marketplace, media sosial, kabinet penjual, kabinet iklan — proxy residensial dari negara yang diperlukan dengan sesi lengket. Alamat penyedia rumah menimbulkan paling sedikit pertanyaan dari anti-fraud.
  • Platform dengan pemeriksaan paling ketat (aplikasi mobile, TikTok, Instagram) — proxy mobile: dengan satu IP operator, banyak pelanggan nyata terhubung ke jaringan secara bersamaan.
  • API, dokumentasi, repositori paket, layanan tanpa perlindungan anti-bot — proxy data center: mereka lebih murah dan lebih cepat, dan untuk tugas semacam itu, IP "rumah" tidak diperlukan.

Nyaman untuk memiliki beberapa keluar dari berbagai jenis dalam konfigurasi dan menyebarkan domain di antara mereka, daripada mengarahkan semuanya melalui yang paling mahal.

Kesimpulan

Routing berdasarkan domain mengubah proxy dari "saklar" menjadi alat yang tepat: situs yang diperlukan selalu terbuka dengan IP yang diperlukan, lalu lintas lainnya tidak menghabiskan gigabyte yang dibayar. Untuk memulai, cukup dengan 30 baris konfigurasi. Yang terpenting — jangan lupa sniffing (atau fake-ip), menonaktifkan QUIC untuk domain yang diproksikan, mengumpulkan daftar lengkap domain layanan, dan menggunakan sintaksis yang tepat: konfigurasi untuk sing-box hingga 1.12 tidak akan berjalan di versi terbaru.