Situazione tipica: per aprire un negozio su Amazon tedesco è necessario utilizzare un IP tedesco, mentre l'account del fornitore dagli Stati Uniti deve essere aperto con un IP americano, e YouTube, il messenger di lavoro e gli aggiornamenti di sistema devono andare direttamente. Attivare un proxy "per l'intero sistema" è scomodo e costoso: quando si paga per un gigabyte tramite proxy, tutto il traffico di sfondo viene consumato. Spegnere e accendere manualmente — si dimentica nel momento meno opportuno. La soluzione è il routing per dominio: il client locale decide autonomamente quale sito far passare attraverso quale proxy e quale direttamente. Di seguito sono riportate le configurazioni funzionanti per i due motori più popolari del 2026, sing-box e mihomo (ex Clash Meta), e un'analisi delle trappole in cui di solito il sistema si inceppa.
Perché è meglio rispetto ai proxy nel browser e ai file PAC
I proxy nelle impostazioni del browser o nelle estensioni funzionano solo per quel browser. Il file PAC può selezionare i proxy per dominio, ma vive comunque all'interno del browser e delle impostazioni di sistema — il client desktop del marketplace, Telegram, uno script in Python o un'utilità da console lo ignorano semplicemente.
sing-box e mihomo lavorano a un livello inferiore: creano un'interfaccia di rete virtuale (modalità TUN) e fanno passare attraverso di essa il traffico di tutti i programmi. Ogni connessione passa quindi attraverso un elenco di regole: dominio, sottorete IP, nome del processo, porta. Se una regola corrisponde, la connessione viene indirizzata all'uscita specificata (proxy del paese richiesto o connessione diretta).
Cosa significa questo nella pratica:
- Risparmio di traffico. Solo i siti di lavoro passano attraverso il proxy a pagamento, mentre video, aggiornamenti e backup cloud vanno direttamente.
- Più paesi contemporaneamente.
amazon.de— attraverso l'uscita tedesca,walmart.com— attraverso quella americana, senza dover cambiare. - Regole per i programmi. È possibile inviare un processo specifico al proxy (ad esempio, il client desktop o uno script), senza toccare gli altri.
- Meno errori umani. Non è necessario ricordare se il proxy è attivato: il sito si apre sempre con l'IP "giusto".
Cosa sarà necessario
- Proxy con supporto SOCKS5 o HTTP e autenticazione tramite nome utente e password. Entrambi i motori possono trasmettere il nome utente e la password autonomamente, non è necessario un gateway locale.
- Client: per sing-box — applicazioni ufficiali per Android, iOS e macOS o core per Windows/Linux; per mihomo — interfacce grafiche come Clash Verge Rev o FlClash.
- Elenco di domini che devono passare attraverso il proxy. È consigliabile raccoglierlo in anticipo — di questo si parlerà più avanti.
Opzione 1: sing-box (versioni 1.12 e successive)
Importante avvertenza sulle versioni. Molte configurazioni trovate su Internet sono scritte per la vecchia sing-box e non funzionano sulle versioni attuali. Secondo l'elenco ufficiale delle funzionalità obsolete: geosite e geoip sono stati rimossi in 1.12.0 (sostituiti da rule-set), il campo outbound all'interno delle regole è stato sostituito da azioni ("action": "route") a partire da 1.11, i vecchi formati dei server DNS sono stati rimossi in 1.14.0, e le uscite speciali block e dns — già in 1.13.0. Il ramo stabile attuale al momento della scrittura è 1.14.
Configurazione minima funzionante: proxy residenziale tedesco per un paio di domini, tutto il resto direttamente.
{
"log": { "level": "info" },
"dns": {
"servers": [ { "type": "local", "tag": "local" } ]
},
"inbounds": [
{
"type": "tun",
"tag": "tun-in",
"address": [ "172.18.0.1/30" ],
"auto_route": true,
"strict_route": true
}
],
"outbounds": [
{
"type": "socks",
"tag": "resi-de",
"server": "HOST_DAL_TUO_ACCOUNT",
"server_port": 1080,
"username": "NOME_UTENTE",
"password": "PASSWORD"
},
{ "type": "direct", "tag": "direct" }
],
"route": {
"auto_detect_interface": true,
"default_domain_resolver": "local",
"rules": [
{ "action": "sniff" },
{ "protocol": "dns", "action": "hijack-dns" },
{
"network": "udp",
"port": 443,
"domain_suffix": [ "amazon.de", "otto.de" ],
"action": "reject"
},
{
"domain_suffix": [ "amazon.de", "otto.de", "ipinfo.io" ],
"action": "route",
"outbound": "resi-de"
}
],
"final": "direct"
}
}Inserisci host, porta, nome utente e password dal tuo account del provider. La porta 1080 qui è solo un esempio.
Cosa fa ogni parte
- Ingresso TUN (
auto_route) incapsula in sing-box il traffico dell'intero sistema.strict_routesu Windows aggiunge ulteriormente regole del firewall contro le perdite DNS (la documentazione avverte che questo può rompere alcuni programmi, come VirtualBox). "action": "sniff"— è la riga chiave. Attraverso TUN arrivano connessioni agli indirizzi IP, non ai domini. Lo sniffing estrae il nome del sito dall'handshake TLS (SNI) o dall'intestazione HTTP, e solo dopo iniziano a scattare le regoledomain_suffix. Senza questa riga, le regole sui domini non funzionano silenziosamente — una causa comune di "config non applicata".hijack-dnsintercetta le richieste DNS del sistema e le invia al modulo DNS di sing-box.- La regola con
rejectper UDP 443 disabilita QUIC (HTTP/3) per i domini proxy. Il browser tornerà a utilizzare il normale HTTPS sopra TCP, e questo passerà attraverso il proxy. Perché — nella sezione sulle trappole. domain_suffixcattura il dominio e tutti i suoi sottodomini:amazon.decopre siawww.amazon.dechesellercentral.amazon.de.auto_detect_interfacecollega le connessioni in uscita di sing-box all'adattatore di rete fisico. Senza di esso, il traffico verso il server proxy tornerà a TUN, creando un ciclo di routing.final: direct— tutto ciò che non corrisponde a nessuna regola va direttamente.
Più paesi e regola per programma
Una seconda uscita viene aggiunta come un altro oggetto socks con il proprio tag (ad esempio, resi-us) e una regola separata. È possibile inviare un programma intero al proxy con una regola contenente il campo process_name (funziona su Windows, macOS e Linux):
{
"process_name": [ "python.exe" ],
"action": "route",
"outbound": "resi-us"
}Le regole vengono verificate dall'alto verso il basso fino alla prima corrispondenza, quindi posiziona le regole specifiche sopra quelle generali.
Opzione 2: mihomo (Clash Meta)
mihomo è comodo perché ha interfacce grafiche mature e la configurazione è scritta in YAML, che è più facile da leggere. Lo stesso scenario:
tun:
enable: true
stack: gvisor
auto-route: true
auto-detect-interface: true
dns-hijack:
- any:53
dns:
enable: true
enhanced-mode: fake-ip
nameserver:
- https://1.1.1.1/dns-query
proxies:
- name: resi-de
type: socks5
server: HOST_DAL_TUO_ACCOUNT
port: 1080
username: NOME_UTENTE
password: PASSWORD
rule-providers:
work-de:
type: inline
behavior: classical
payload:
- DOMAIN-SUFFIX,amazon.de
- DOMAIN-SUFFIX,otto.de
- DOMAIN-SUFFIX,ipinfo.io
rules:
- RULE-SET,work-de,resi-de
- MATCH,DIRECTLe principali differenze rispetto a sing-box:
- Modalità fake-ip risolve il problema "la connessione è arrivata all'IP, non al dominio" in modo diverso: mihomo risponde autonomamente alla richiesta DNS con un indirizzo fittizio, memorizza a quale dominio corrisponde e applica le regole in base a questo. L'indirizzo reale del sito viene scoperto dal server proxy dalla sua parte.
- Set di regole (
rule-providers) è comodo tenerlo come un elenco separato. Il tipoinlinememorizza i domini direttamente nella configurazione, il tipohttprecupera l'elenco tramite un link e lo aggiorna a intervalli, ad esempio l'elenco comune del team in un repository. MATCH— è l'equivalente difinal: tutto il resto va direttamente.- Per le regole sui programmi c'è
PROCESS-NAME, su Android accetta il nome del pacchetto dell'applicazione.
Come raccogliere un elenco di domini e non perdere quelli necessari
Un sito non è un solo dominio. Il marketplace carica immagini da CDN, script — da un dominio separato, l'autenticazione può risiedere su un terzo. Se il dominio principale passa attraverso un IP tedesco, mentre il dominio di accesso è dal tuo reale, l'antifrode vede due indirizzi diversi in una sessione.
- Apri il sito con gli strumenti per sviluppatori (F12 → scheda Rete), segui uno scenario tipico: accesso, ricerca, scheda prodotto, account.
- Annota tutti i domini dalla colonna Dominio. Non è necessario aggiungere contatori esterni e pubblicità, ma i domini del servizio stesso (inclusi CDN e server di autenticazione) devono essere inclusi.
- Aggiungili alla regola e ripeti lo scenario. Nei log di sing-box (livello
info) o nella scheda delle connessioni dell'interfaccia di mihomo si può vedere quale regola è scattata per ogni connessione. - Tieni nell'elenco un dominio "di controllo" come
ipinfo.io: mostra l'IP del proxy, mentre un servizio di verifica IP vicino, non incluso nell'elenco, mostra il tuo reale. In questo modo, in un secondo, puoi vedere che il routing funziona.
Trappole in cui il sistema si inceppa
1. QUIC passa oltre il proxy
Chrome e altri browser si connettono volentieri a grandi siti tramite HTTP/3, cioè tramite UDP. Molti fornitori di proxy non supportano UDP tramite SOCKS5 o lo supportano in modo limitato. Nel peggiore dei casi, la connessione va da un'altra parte, nel migliore — il sito rallenta finché il browser non torna a TCP. Pertanto, nella configurazione di sing-box sopra, UDP sulla porta 443 per i domini di lavoro viene esplicitamente rifiutato. In mihomo, un effetto simile è più facile da ottenere disabilitando QUIC nel browser (flag chrome://flags/#enable-quic).
2. Perdita DNS verso il provider
Se il dominio di lavoro viene risolto localmente tramite il DNS del tuo provider internet, il sito stesso non lo vedrà: la connessione arriverà comunque dall'IP del proxy. Ma il provider e chiunque veda il tuo DNS saprà quali siti stai aprendo. La modalità fake-ip in mihomo e il passaggio del dominio al server proxy dopo lo sniffing in sing-box riducono questo problema. Maggiori dettagli sui controlli e sui metodi di protezione — nell'analisi dei metodi di protezione contro le perdite DNS.
3. Conflitto con un altro VPN o anti-detect
Due interfacce TUN contemporaneamente — garanzia di caos nei percorsi. Se nel browser anti-detect il profilo ha già il proprio proxy, è meglio portare il suo traffico fuori da TUN: con una regola per nome del processo invia il browser a direct, e così ogni profilo passa attraverso il proprio proxy, come previsto.
4. Il routing di sistema non sostituisce l'anti-detect
Tutti i programmi sul computer usciranno in rete con un solo IP per dominio. Per un negozio va bene. Per 10 account su una piattaforma — no: la piattaforma vede un'impronta del browser identica e un solo indirizzo. Per il multi-accounting, il routing per dominio è uno strumento ausiliario, non una sostituzione della combinazione "profilo separato + proxy separato".
5. Rotazione IP nel mezzo della sessione
Se il proxy è impostato per cambiare IP ad ogni richiesta, il sito di autenticazione vedrà un nuovo indirizzo ad ogni caricamento dell'immagine. Per account, negozi e social network, utilizza un nome utente con sessione sticky (IP fisso per la durata del lavoro) o rotazione a timer con intervalli di decine di minuti.
6. Proxy senza supporto per il protocollo necessario
Se il provider fornisce solo proxy HTTP, in sing-box utilizza un'uscita di tipo http, in mihomo — type: http. Entrambi i motori supportano nome utente e password anche per HTTP. Se il programma stesso non sa lavorare con proxy con autenticazione, e non si desidera sollevare TUN, è possibile utilizzare un gateway locale su gost, 3proxy o Squid.
Quale proxy impostare nella regola
- Marketplace, social network, account venditore, account pubblicitari — proxy residenziali del paese richiesto con sessione sticky. L'indirizzo del provider domestico solleva meno domande all'antifrode.
- Piattaforme con il controllo più severo (app mobili, TikTok, Instagram) — proxy mobili: con un solo IP dell'operatore, molti abbonati reali escono in rete contemporaneamente.
- API, documentazione, repository di pacchetti, servizi senza protezione anti-bot — proxy da data center: sono più economici e veloci, e per tali compiti non è necessario un IP "domestico".
È comodo avere nella configurazione diverse uscite di tipi diversi e distribuirle tra i domini, piuttosto che far passare tutto attraverso il più costoso.
Conclusione
Il routing per dominio trasforma il proxy da "interruttore" a strumento preciso: i siti necessari si aprono sempre con l'IP giusto, mentre il resto del traffico non consuma i gigabyte pagati. Per iniziare, bastano 30 righe di configurazione. L'importante è non dimenticare lo sniffing (o fake-ip), disabilitare QUIC per i domini proxy, raccogliere un elenco completo dei domini del servizio e utilizzare la sintassi attuale: le configurazioni per sing-box fino alla 1.12 non si avvieranno sulle versioni recenti.