← Bloga geri dön
RUENESZHARPTDEFRJAKOITTRIDVIFAHI

Sadece Gerekli Siteler için Proxy: sing-box ve mihomo'da Alan Adlarına Göre Yönlendirme

Ücretli proxy üzerinden tüm trafiği yönlendirmek zorunda değilsiniz. sing-box ve mihomo (Clash Meta) üzerinde alan adı yönlendirmesini inceliyoruz: güncel sürümler için hazır konfigürasyonlar, siteler ve programlar için kurallar, birkaç ülkeyi aynı anda kullanma ve tuzaklar — QUIC, DNS sızıntıları, anti-detect ile çakışma ve oturum ortasında rotasyon.

📅13 Ekim 2026
Sadece Gerekli Siteler için Proxy: sing-box ve mihomo'da Alan Adlarına Göre Yönlendirme

Tipik bir durum: Alman Amazon'da bir mağaza açmak için Alman IP'si, ABD'den bir tedarikçi paneli için Amerikan IP'si gereklidir, YouTube, iş mesajlaşma uygulaması ve sistem güncellemeleri ise doğrudan gidebilir. "Tüm sistem için" proxy kullanmak hem rahatsız edici hem de pahalıdır: proxy üzerinden gigabayt başına ödeme yapıldığında tüm arka plan trafiği gider. Manuel olarak kapatıp açmak ise en uygunsuz anda unutulabilir. Çözüm - alan adı yönlendirmesi: yerel istemci, hangi web sitesinin hangi proxy üzerinden geçeceğine ve hangisinin doğrudan gideceğine kendisi karar verir. Aşağıda, 2026 yılının en popüler iki motoru olan sing-box ve mihomo (eski adıyla Clash Meta) için çalışır konfigürasyonlar ve genellikle şemayı bozan tuzakların analizi bulunmaktadır.

Bunun tarayıcıdaki proxy ve PAC dosyasından farkı nedir?

Tarayıcı ayarlarında veya uzantısında bulunan proxy yalnızca bu tarayıcı için çalışır. PAC dosyası alan adına göre proxy seçebilir, ancak yine de tarayıcı ve sistem ayarları içinde yaşar; masaüstü pazar yeri istemcisi, Telegram, Python'da bir script veya konsol aracı bunu görmezden gelecektir.

sing-box ve mihomo daha düşük bir seviyede çalışır: sanal bir ağ arayüzü (TUN modu) oluşturur ve tüm programların trafiğini geçirir. Daha sonra her bağlantı bir kural listesi üzerinden geçer: alan adı, IP alt ağı, süreç adı, port. Kural eşleştiğinde, bağlantı belirtilen çıkışa (gerekli ülkenin proxy'si veya doğrudan bağlantı) gider.

Pratikte bu ne sağlar:

  • Trafigin tasarrufu. Ücretli proxy üzerinden yalnızca çalışan web siteleri geçerken, videolar, güncellemeler ve bulut yedeklemeleri doğrudan gider.
  • Aynı anda birkaç ülke. amazon.de - Alman çıkışı üzerinden, walmart.com - Amerikan çıkışı üzerinden, geçiş yapmadan.
  • Programlara göre kurallar. Belirli bir süreci tamamen proxy'ye göndermek mümkündür (örneğin, masaüstü istemci veya script), diğerlerini etkilemeden.
  • Daha az insan hatası. Proxy'nin açık olup olmadığını hatırlamak gerekmez - site her zaman "doğru" IP ile açılır.

Ne gerekecek

  • SOCKS5 veya HTTP desteği olan ve kullanıcı adı ve şifre ile kimlik doğrulaması yapan bir proxy. Her iki motor da kullanıcı adı ve şifreyi kendisi iletebilir, yerel bir geçit gerekmez.
  • İstemci: sing-box için - Android, iOS ve macOS için resmi uygulamalar veya Windows/Linux için çekirdek; mihomo için - Clash Verge Rev veya FlClash gibi grafiksel arayüzler.
  • Proxy üzerinden geçmesi gereken alan adları listesi. Bunu önceden toplamakta fayda var - bununla ilgili aşağıda bilgi verilecektir.

Seçenek 1: sing-box (1.12 ve üzeri sürümler)

Sürümler hakkında önemli bir not. İnternetteki birçok konfigürasyon eski sing-box için yazılmıştır ve güncel sürümlerde çalışmaz. Resmi eski işlevler listesine göre: geosite ve geoip 1.12.0'da kaldırılmıştır (bunların yerine - rule-set), 1.11'deki kurallar içindeki outbound alanı eylemlerle ("action": "route") değiştirilmiştir, eski DNS sunucu formatları 1.14.0'da kaldırılmıştır ve özel çıkışlar block ve dns ise 1.13.0'da kaldırılmıştır. Yazım anında güncel kararlı dal 1.14'tür.

Minimum çalışan konfigürasyon: birkaç alan adı için Alman yerleşik proxy, geri kalan her şey doğrudan.

{
  "log": { "level": "info" },
  "dns": {
    "servers": [ { "type": "local", "tag": "local" } ]
  },
  "inbounds": [
    {
      "type": "tun",
      "tag": "tun-in",
      "address": [ "172.18.0.1/30" ],
      "auto_route": true,
      "strict_route": true
    }
  ],
  "outbounds": [
    {
      "type": "socks",
      "tag": "resi-de",
      "server": "HESAP_DAN_ANA_MERKEZ",
      "server_port": 1080,
      "username": "KULLANICI_ADI",
      "password": "ŞİFRE"
    },
    { "type": "direct", "tag": "direct" }
  ],
  "route": {
    "auto_detect_interface": true,
    "default_domain_resolver": "local",
    "rules": [
      { "action": "sniff" },
      { "protocol": "dns", "action": "hijack-dns" },
      {
        "network": "udp",
        "port": 443,
        "domain_suffix": [ "amazon.de", "otto.de" ],
        "action": "reject"
      },
      {
        "domain_suffix": [ "amazon.de", "otto.de", "ipinfo.io" ],
        "action": "route",
        "outbound": "resi-de"
      }
    ],
    "final": "direct"
  }
}

Sunucu, port, kullanıcı adı ve şifreyi sağlayıcı panelinden alın. Buradaki port 1080 sadece örnek içindir.

Her bir parçanın ne yaptığı

  1. TUN girişi (auto_route) tüm sistemin trafiğini sing-box'a yönlendirir. strict_route, Windows'ta DNS sızıntılarına karşı ek güvenlik duvarı kuralları ekler (belgelendirme, bunun bazı programları, örneğin VirtualBox'ı bozabileceğini uyarır).
  2. "action": "sniff" - anahtar satırdır. TUN üzerinden gelen bağlantılar IP adreslerine gelir, alan adlarına değil. Sniffing, TLS el sıkışmasından (SNI) veya HTTP başlığından web sitesi adını alır ve ancak ondan sonra domain_suffix kuralları devreye girer. Bu satır olmadan alan adı kuralları sessizce çalışmaz - "konfigürasyon uygulanmıyor" hatasının yaygın nedenidir.
  3. hijack-dns sistemin DNS isteklerini yakalar ve bunları sing-box'un DNS modülüne iletir.
  4. UDP 443 için reject kuralı, proxy üzerinden yönlendirilen alanlar için QUIC'i (HTTP/3) devre dışı bırakır. Tarayıcı, normal HTTPS üzerinden TCP'ye geri dönecek ve bu da proxy üzerinden gidecektir. Neden - tuzaklar bölümünde açıklanacaktır.
  5. domain_suffix alan adını ve tüm alt alan adlarını yakalar: amazon.de hem www.amazon.de hem de sellercentral.amazon.de'yi kapsar.
  6. auto_detect_interface sing-box'un çıkış bağlantılarını fiziksel ağ adaptörüne bağlar. Bunu yapmadan, proxy sunucusuna giden trafik tekrar TUN'a girecek ve yönlendirme döngüsü oluşacaktır.
  7. final: direct - hiçbir kural ile eşleşmeyen her şey doğrudan gider.

Birden fazla ülke ve program kuralı

İkinci çıkış, kendi etiketi olan başka bir socks nesnesi olarak eklenir (örneğin, resi-us) ve ayrı bir kural ile. Belirli bir programı tamamen proxy'ye göndermek için process_name alanı ile bir kural kullanılabilir (Windows, macOS ve Linux'ta çalışır):

{
  "process_name": [ "python.exe" ],
  "action": "route",
  "outbound": "resi-us"
}

Kuralar yukarıdan aşağıya doğru kontrol edilir ve ilk eşleşme bulunur, bu nedenle özel kuralları genel kurallardan daha yukarıda yerleştirin.

Seçenek 2: mihomo (Clash Meta)

mihomo, olgun grafik arayüzleri olduğu için kullanışlıdır ve konfigürasyon YAML formatında yazılır, bu da okunmasını kolaylaştırır. Aynı senaryo:

tun:
  enable: true
  stack: gvisor
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

dns:
  enable: true
  enhanced-mode: fake-ip
  nameserver:
    - https://1.1.1.1/dns-query

proxies:
  - name: resi-de
    type: socks5
    server: HESAP_DAN_ANA_MERKEZ
    port: 1080
    username: KULLANICI_ADI
    password: ŞİFRE

rule-providers:
  work-de:
    type: inline
    behavior: classical
    payload:
      - DOMAIN-SUFFIX,amazon.de
      - DOMAIN-SUFFIX,otto.de
      - DOMAIN-SUFFIX,ipinfo.io

rules:
  - RULE-SET,work-de,resi-de
  - MATCH,DIRECT

sing-box'tan ana farklılıklar:

  • fake-ip modu, "bağlantı IP'ye geldi, alan adına değil" sorununu farklı bir şekilde çözer: mihomo, DNS isteğine sahte bir adresle yanıt verir, hangi alan adına karşılık geldiğini hatırlar ve bu alana göre kuralları uygular. Gerçek web adresini proxy sunucusu kendi tarafında öğrenir.
  • Kural seti (rule-providers) ayrı bir liste olarak tutulması kolaydır. inline tipi, alan adlarını doğrudan konfigürasyonda saklarken, http tipi, listeyi bir bağlantıdan alır ve belirli aralıklarla günceller, örneğin, bir ekibin ortak listesi bir depoda.
  • MATCH - final ile eşdeğerdir: diğer her şey doğrudan gider.
  • Program kuralları için PROCESS-NAME vardır, Android'de uygulama paketinin adını alır.

Alan adı listesini nasıl toplayabilir ve gerekli olanları kaçırmazsınız

Bir web sitesi tek bir alan adı değildir. Pazar yeri, CDN'den resimler yükler, scriptler ayrı bir alan adından gelir, kimlik doğrulaması üçüncü bir yerde olabilir. Ana alan adı Alman IP'si üzerinden giderken, giriş alan adı gerçek IP'nizden gelirse, anti-fraud bir oturumda iki farklı adres görür.

  1. Geliştirici araçlarıyla (F12 → Ağ sekmesi) bir web sitesini açın, tipik senaryoyu geçin: giriş, arama, ürün kartı, panel.
  2. Tüm alan adlarını Domain sütunundan not edin. Üçüncü taraf sayaçları ve reklamları eklemeye gerek yoktur, ancak hizmetin kendisine ait alan adlarını (CDN ve kimlik doğrulama sunucusu dahil) kesinlikle ekleyin.
  3. Onları kurala ekleyin ve senaryoyu tekrar edin. sing-box'taki logda (seviye info) veya mihomo arayüzündeki bağlantılar sekmesinde, her bağlantı için hangi kuralın çalıştığını görebilirsiniz.
  4. Listeyi kontrol etmek için ipinfo.io gibi bir "kontrol" alan adı bulundurun: bu, proxy'nin IP'sini gösterir, yanındaki IP kontrol hizmeti ise gerçek IP'nizi gösterir. Böylece yönlendirmenin çalıştığını bir saniyede görebilirsiniz.

Şemanın bozulduğu tuzaklar

1. QUIC proxy'yi atlar

Chrome ve diğer tarayıcılar, büyük web sitelerine HTTP/3 üzerinden, yani UDP ile gitmeyi sever. Birçok proxy sağlayıcısı, SOCKS5 üzerinden UDP'yi desteklemez veya sınırlı destekler. En kötü durumda bağlantı yanlış yere gider, en iyi durumda ise site yavaşlar, tarayıcı TCP'ye geri dönene kadar. Bu nedenle, sing-box konfigürasyonunda yukarıda, çalışan alanlar için UDP 443 açıkça reddedilir. Mihomo'da benzer bir etki, tarayıcıda QUIC'i devre dışı bırakarak daha kolay elde edilir (bayrak chrome://flags/#enable-quic).

2. DNS sızıntısı sağlayıcıya

Çalışan alan adı yerel olarak internet sağlayıcınızın DNS'i üzerinden çözülüyorsa, web sitesi bunu göremez: bağlantı yine de proxy IP'si ile gelecektir. Ancak sağlayıcı ve DNS'inizi gören herkes, hangi web sitelerini açtığınızı öğrenir. Mihomo'daki fake-ip modu ve sing-box'taki sniffing sonrası alan adını proxy sunucusuna iletmek bu sorunu azaltır. Kontrol yöntemleri ve koruma yolları hakkında daha fazla bilgi için DNS sızıntılarına karşı koruma yöntemleri incelemesine bakabilirsiniz.

3. Diğer VPN veya anti-detect ile çakışma

İki TUN arayüzü aynı anda - yönlendirmelerde garantili karmaşa. Eğer anti-detect tarayıcısında profilin zaten kendi proxy'si varsa, trafiğini TUN'dan çıkarmak daha iyidir: süreç adı ile kural koyarak tarayıcıyı direct'e göndermek, böylece her profil kendi proxy'si üzerinden geçer, planlandığı gibi.

4. Sistem yönlendirmesi anti-detect'in yerini almaz

Bilgisayardaki tüm programlar, bir alan adına tek bir IP ile internete çıkacaktır. Bir mağaza için bu normaldir. Ancak bir platformda 10 hesap için bu geçerli değildir: platform, tarayıcıdan aynı parmak izi ve aynı adresi görür. Çoklu hesap yönetimi için alan adı yönlendirmesi yardımcı bir araçtır, "ayrı profil + ayrı proxy" kombinasyonunun yerini almaz.

5. Oturum ortasında IP değişimi

Eğer proxy her istekte IP değiştirecek şekilde ayarlanmışsa, kimlik doğrulama olan web sitesi her resim yüklemesinde yeni bir adres görecektir. Paneller, mağazalar ve sosyal medya için, sabit oturum (çalışma süresi boyunca sabit IP) ile giriş alın veya on dakikalık aralıklarla zamanlayıcı ile döngü yapın.

6. Gerekli protokolü desteklemeyen proxy

Eğer sağlayıcı yalnızca HTTP proxy veriyorsa, sing-box'ta http türünde bir çıkış kullanın, mihomo'da ise type: http kullanın. Her iki motor da HTTP için kullanıcı adı ve şifreyi destekler. Ancak program kendisi kimlik doğrulamalı proxy ile çalışmayı bilmiyorsa ve TUN'u başlatmak istemiyorsanız, gost, 3proxy veya Squid üzerinde yerel bir geçit uygundur.

Kurala hangi proxy'yi koymalıyım

  • Pazar yerleri, sosyal medya, satıcı panelleri, reklam panelleri - gerekli ülkenin yerleşik proxy'leri ile sabit oturum. Ev sağlayıcısının adresi, anti-fraud için en az sorun çıkarandır.
  • En katı kontrolü olan platformlar (mobil uygulamalar, TikTok, Instagram) - mobil proxy'ler: bir operatörün tek bir IP'si üzerinden birçok gerçek abone aynı anda internete çıkar.
  • API, dokümantasyon, paket depoları, anti-bot koruması olmayan hizmetler - veri merkezi proxy'leri: bunlar daha ucuz ve daha hızlıdır, bu tür görevler için "ev" IP'sine ihtiyaç yoktur.

Konfigürasyonda farklı türlerde birkaç çıkış oluşturmak ve alan adlarını bunlara dağıtmak, her şeyi en pahalı olan üzerinden geçirmekten daha uygundur.

Sonuç

Alan adı yönlendirmesi, proxy'yi "anahtar" olmaktan çıkarıp hassas bir araca dönüştürür: gerekli web siteleri her zaman gerekli IP ile açılır, diğer trafik ödenen gigabaytları harcamaz. Başlamak için 30 satırlık bir konfigürasyon yeterlidir. En önemlisi - sniffing'i (veya fake-ip'yi) unutmamak, proxy üzerinden yönlendirilen alanlar için QUIC'i devre dışı bırakmak, hizmetin tam alan adı listesini toplamak ve güncel sözdizimini kullanmaktır: sing-box için 1.12 öncesi konfigürasyonlar güncel sürümlerde çalışmayacaktır.