Situação típica: para abrir uma loja no Amazon alemão, é necessário usar um IP alemão, para acessar o painel do fornecedor dos EUA — um IP americano, enquanto o YouTube, o mensageiro de trabalho e as atualizações do sistema podem ir diretamente. Ativar um proxy "para todo o sistema" é inconveniente e caro: ao pagar por gigabyte através do proxy, todo o tráfego de fundo é consumido. Desligar e ligar manualmente — você vai esquecer no momento mais inoportuno. A solução é roteamento por domínio: o cliente local decide por conta própria qual site passar por qual proxy e qual ir diretamente. Abaixo estão as configurações funcionais para os dois motores mais populares de 2026, sing-box e mihomo (anteriormente Clash Meta), e uma análise das armadilhas nas quais o esquema geralmente falha.
Por que isso é melhor do que proxies no navegador e arquivos PAC
Proxies nas configurações do navegador ou como extensões funcionam apenas para esse navegador. Arquivos PAC conseguem escolher proxies por domínio, mas também vivem dentro do navegador e das configurações do sistema — um cliente de desktop do marketplace, Telegram, um script em Python ou uma ferramenta de console simplesmente os ignorarão.
sing-box e mihomo operam em um nível mais baixo: eles levantam uma interface de rede virtual (modo TUN) e passam o tráfego de todos os programas por si mesmos. Em seguida, cada conexão passa por uma lista de regras: domínio, sub-rede IP, nome do processo, porta. Se a regra coincidir — a conexão vai para a saída especificada (proxy do país desejado ou conexão direta).
O que isso proporciona na prática:
- Economia de tráfego. Apenas sites de trabalho passam por proxies pagos, enquanto vídeos, atualizações e backups em nuvem vão diretamente.
- Vários países ao mesmo tempo.
amazon.de— através da saída alemã,walmart.com— através da saída americana, sem trocas. - Regras por programas. É possível enviar um processo específico inteiro para o proxy (por exemplo, um cliente de desktop ou script), sem afetar os demais.
- Menos erros humanos. Não é necessário lembrar se o proxy está ativado — o site sempre se abre com o IP "correto".
O que será necessário
- Proxy com suporte a SOCKS5 ou HTTP e autenticação por login e senha. Ambos os motores conseguem passar o login e a senha sozinhos, não é necessário um gateway local.
- Cliente: para sing-box — aplicativos oficiais para Android, iOS e macOS ou núcleo para Windows/Linux; para mihomo — interfaces gráficas como Clash Verge Rev ou FlClash.
- Lista de domínios que devem passar pelo proxy. É recomendável coletá-la com antecedência — mais sobre isso abaixo.
Opção 1: sing-box (versões 1.12 e posteriores)
Uma observação importante sobre as versões. Muitas configurações da internet foram escritas para o antigo sing-box e não funcionam nas versões atuais. De acordo com a lista oficial de funções obsoletas: geosite e geoip foram removidos na 1.12.0 (em vez disso — rule-set), o campo outbound dentro das regras foi substituído por ações ("action": "route") a partir da 1.11, os antigos formatos de servidores DNS foram removidos na 1.14.0, e as saídas especiais block e dns — ainda na 1.13.0. A versão estável atual no momento da redação é a 1.14.
A configuração mínima funcional: proxy residencial alemão para alguns domínios, todo o resto vai diretamente.
{
"log": { "level": "info" },
"dns": {
"servers": [ { "type": "local", "tag": "local" } ]
},
"inbounds": [
{
"type": "tun",
"tag": "tun-in",
"address": [ "172.18.0.1/30" ],
"auto_route": true,
"strict_route": true
}
],
"outbounds": [
{
"type": "socks",
"tag": "resi-de",
"server": "ХОСТ_ИЗ_КАБИНЕТА",
"server_port": 1080,
"username": "ЛОГИН",
"password": "ПАРОЛЬ"
},
{ "type": "direct", "tag": "direct" }
],
"route": {
"auto_detect_interface": true,
"default_domain_resolver": "local",
"rules": [
{ "action": "sniff" },
{ "protocol": "dns", "action": "hijack-dns" },
{
"network": "udp",
"port": 443,
"domain_suffix": [ "amazon.de", "otto.de" ],
"action": "reject"
},
{
"domain_suffix": [ "amazon.de", "otto.de", "ipinfo.io" ],
"action": "route",
"outbound": "resi-de"
}
],
"final": "direct"
}
}Substitua o host, a porta, o login e a senha pelos dados do painel do provedor. A porta 1080 aqui é apenas um exemplo.
O que cada parte faz
- Entrada TUN (
auto_route) encapsula o tráfego de todo o sistema no sing-box.strict_routeno Windows adiciona regras de firewall contra vazamentos de DNS (a documentação alerta que isso pode quebrar alguns programas, como o VirtualBox). "action": "sniff"— linha chave. Através do TUN, as conexões chegam a endereços IP, e não a domínios. O sniffing extrai o nome do site do handshake TLS (SNI) ou do cabeçalho HTTP, e só depois disso as regrasdomain_suffixcomeçam a ser aplicadas. Sem essa linha, as regras de domínio não funcionam silenciosamente — uma causa comum de "configuração não aplicada".hijack-dnsintercepta as solicitações DNS do sistema e as envia para o módulo DNS do sing-box.- A regra com
rejectpara UDP 443 desativa o QUIC (HTTP/3) para os domínios que estão sendo proxyados. O navegador reverterá para o HTTPS normal sobre TCP, que irá através do proxy. Por que — na seção sobre armadilhas. domain_suffixcaptura o domínio e todos os seus subdomínios:amazon.decobre tantowww.amazon.dequantosellercentral.amazon.de.auto_detect_interfacevincula as conexões de saída do próprio sing-box ao adaptador de rede físico. Sem isso, o tráfego para o servidor proxy voltará a entrar no TUN, resultando em um loop de roteamento.final: direct— tudo que não coincidir com nenhuma regra vai diretamente.
Vários países e regra por programa
A segunda saída é adicionada como mais um objeto socks com sua própria tag (por exemplo, resi-us) e uma regra separada. Enviar um programa inteiro para o proxy pode ser feito com uma regra que contém o campo process_name (funciona no Windows, macOS e Linux):
{
"process_name": [ "python.exe" ],
"action": "route",
"outbound": "resi-us"
}As regras são verificadas de cima para baixo até a primeira correspondência, portanto, coloque regras específicas acima das gerais.
Opção 2: mihomo (Clash Meta)
mihomo é conveniente porque existem interfaces gráficas maduras para ele, e a configuração é escrita em YAML, que é mais fácil de ler. O mesmo cenário:
tun:
enable: true
stack: gvisor
auto-route: true
auto-detect-interface: true
dns-hijack:
- any:53
dns:
enable: true
enhanced-mode: fake-ip
nameserver:
- https://1.1.1.1/dns-query
proxies:
- name: resi-de
type: socks5
server: ХОСТ_ИЗ_КАБИНЕТА
port: 1080
username: ЛОГИН
password: ПАРОЛЬ
rule-providers:
work-de:
type: inline
behavior: classical
payload:
- DOMAIN-SUFFIX,amazon.de
- DOMAIN-SUFFIX,otto.de
- DOMAIN-SUFFIX,ipinfo.io
rules:
- RULE-SET,work-de,resi-de
- MATCH,DIRECTAs principais diferenças em relação ao sing-box:
- Modo fake-ip resolve o problema "a conexão chegou ao IP, e não ao domínio" de outra forma: mihomo responde às solicitações DNS com um endereço fictício, lembra a qual domínio ele corresponde e aplica as regras com base nisso. O endereço real do site é descoberto pelo servidor proxy em seu lado.
- Conjunto de regras (
rule-providers) é conveniente manter em uma lista separada. O tipoinlinearmazena domínios diretamente na configuração, enquanto o tipohttppuxa a lista de um link e a atualiza em intervalos, como uma lista geral da equipe em um repositório. MATCH— análogo aofinal: tudo o mais vai diretamente.- Para regras por programas, existe
PROCESS-NAME, que no Android aceita o nome do pacote do aplicativo.
Como coletar uma lista de domínios e não perder os necessários
Um site não é apenas um domínio. Um marketplace carrega imagens de CDN, scripts — de um domínio separado, a autenticação pode residir em um terceiro. Se o domínio principal vai através de um IP alemão, e o domínio de entrada — do seu verdadeiro, o antifraude vê dois endereços diferentes em uma única sessão.
- Abra o site com as ferramentas de desenvolvedor (F12 → aba Rede), siga o fluxo típico: login, pesquisa, página do produto, painel.
- Anote todos os domínios da coluna Domain. Contadores e anúncios de terceiros podem ser ignorados, mas os domínios do próprio serviço (incluindo CDN e servidor de autenticação) devem ser incluídos.
- Adicione-os à regra e repita o fluxo. No log do sing-box (nível
info) ou na aba de conexões da interface do mihomo, você pode ver qual regra foi acionada para cada conexão. - Mantenha na lista um domínio "de controle" como
ipinfo.io: ele mostra o IP do proxy, e um serviço vizinho de verificação de IP, que não está na lista, — seu verdadeiro. Assim, em um segundo, você pode ver que o roteamento está funcionando.
Armadilhas nas quais o esquema falha
1. QUIC escapa do proxy
Chrome e outros navegadores acessam grandes sites por HTTP/3, ou seja, por UDP. Muitos provedores de proxy não suportam UDP através de SOCKS5 ou o suportam de forma limitada. No pior cenário, a conexão vai para o lugar errado, no melhor — o site fica lento até que o navegador volte para TCP. Portanto, na configuração do sing-box acima, o UDP na porta 443 para domínios de trabalho é explicitamente rejeitado. No mihomo, um efeito semelhante é mais fácil de alcançar desativando o QUIC no navegador (flag chrome://flags/#enable-quic).
2. Vazamento de DNS para o provedor
Se o domínio de trabalho é resolvido localmente através do DNS do seu provedor de internet, o próprio site não verá isso: a conexão ainda virá do IP do proxy. Mas o provedor e qualquer um que veja seu DNS saberá quais sites você está acessando. O modo fake-ip no mihomo e a passagem do domínio para o servidor proxy após o sniffing no sing-box reduzem esse problema. Mais detalhes sobre verificações e métodos de proteção — na análise dos métodos de proteção contra vazamentos de DNS.
3. Conflito com outro VPN ou anti-detect
Dois interfaces TUN ao mesmo tempo — caos garantido nas rotas. Se no navegador anti-detect o perfil já tem seu próprio proxy, é melhor tirar seu tráfego do TUN: com uma regra pelo nome do processo, envie o navegador para direct, e então cada perfil usará seu próprio proxy, como planejado.
4. Roteamento do sistema não substitui anti-detect
Todos os programas no computador sairão para a rede com um único IP para o domínio. Para uma loja, isso é normal. Para 10 contas em uma mesma plataforma — não: a plataforma vê a mesma impressão digital do navegador e um único endereço. Para multi-contas, o roteamento por domínios é uma ferramenta auxiliar, e não um substituto para a combinação "perfil separado + proxy separado".
5. Rotação de IP no meio da sessão
Se o proxy está configurado para mudar de IP a cada solicitação, o site com autenticação verá um novo endereço a cada carregamento de imagem. Para painéis, lojas e redes sociais, use login com sessão sticky (IP fixo durante o trabalho) ou rotação por timer com intervalos de dezenas de minutos.
6. Proxy sem suporte ao protocolo necessário
Se o provedor oferece apenas proxy HTTP, no sing-box use a saída do tipo http, no mihomo — type: http. Ambos os motores suportam login e senha também para HTTP. Se o programa não consegue trabalhar com proxies com autenticação, e você não quer levantar o TUN, um gateway local em gost, 3proxy ou Squid funcionará.
Qual proxy usar na regra
- Marketplaces, redes sociais, painéis de vendedores, painéis de anúncios — proxies residenciais do país desejado com sessão sticky. O endereço do provedor doméstico levanta menos suspeitas para o antifraude.
- Plataformas com verificação mais rigorosa (aplicativos móveis, TikTok, Instagram) — proxies móveis: um único IP de operadora é compartilhado por muitos assinantes reais ao mesmo tempo.
- APIs, documentação, repositórios de pacotes, serviços sem proteção contra bots — proxies de data center: eles são mais baratos e rápidos, e para essas tarefas um IP "doméstico" não é necessário.
É conveniente ter várias saídas de diferentes tipos na configuração e distribuir os domínios entre elas, em vez de passar tudo pelo mais caro.
Conclusão
O roteamento por domínios transforma o proxy de um "interruptor" em uma ferramenta precisa: os sites necessários sempre abrem com o IP correto, e o restante do tráfego não consome gigabytes pagos. Para começar, 30 linhas de configuração são suficientes. O principal — não esquecer o sniffing (ou fake-ip), desativar o QUIC para os domínios proxyados, coletar a lista completa de domínios do serviço e usar a sintaxe atual: configurações para sing-box até 1.12 não funcionarão em versões mais recentes.