Proxy cho các trang web cần thiết: sing-box và mihomo theo miền

Tình huống điển hình: cửa hàng trên Amazon Đức cần mở từ IP Đức, văn phòng nhà cung cấp từ Mỹ - từ IP Mỹ, còn YouTube, ứng dụng nhắn tin làm việc và cập nhật hệ thống thì để chạy trực tiếp. Việc bật proxy "cho toàn bộ hệ thống" thì bất tiện và tốn kém: khi thanh toán cho một gigabyte qua proxy, toàn bộ lưu lượng nền sẽ bị tiêu tốn. Tắt và bật thủ công - bạn sẽ quên vào thời điểm không thích hợp. Giải pháp - định tuyến theo miền: khách hàng địa phương tự quyết định, trang web nào sẽ đi qua proxy nào, và trang nào - trực tiếp. Dưới đây là các cấu hình hoạt động cho hai động cơ phổ biến nhất năm 2026, sing-box và mihomo (trước đây là Clash Meta), và phân tích các cạm bẫy mà thường thì kế hoạch sẽ bị hỏng.

Tại sao điều này tốt hơn proxy trong trình duyệt và tệp PAC

Proxy trong cài đặt trình duyệt hoặc tiện ích mở rộng chỉ hoạt động cho trình duyệt đó. Tệp PAC có thể chọn proxy theo miền, nhưng cũng sống bên trong trình duyệt và cài đặt hệ thống - khách hàng desktop của thị trường, Telegram, script Python hoặc tiện ích dòng lệnh sẽ hoàn toàn bỏ qua nó.

sing-box và mihomo hoạt động ở cấp độ thấp hơn: chúng tạo ra một giao diện mạng ảo (chế độ TUN) và cho phép lưu lượng của tất cả các chương trình đi qua. Sau đó, mỗi kết nối sẽ đi qua danh sách quy tắc: miền, subnet IP, tên quy trình, cổng. Nếu quy tắc khớp - kết nối sẽ đi đến đầu ra được chỉ định (proxy của quốc gia cần thiết hoặc kết nối trực tiếp).

Điều này mang lại gì trong thực tế:

Tiết kiệm lưu lượng. Chỉ các trang web làm việc mới đi qua proxy trả phí, còn video, cập nhật và sao lưu đám mây - thì trực tiếp.
Nhiều quốc gia cùng lúc. amazon.de - qua đầu ra Đức, walmart.com - qua đầu ra Mỹ, không cần chuyển đổi.
Quy tắc theo chương trình. Có thể gửi một quy trình cụ thể hoàn toàn qua proxy (ví dụ, khách hàng desktop hoặc script), mà không làm phiền các quy trình khác.
Ít sai sót của con người. Không cần nhớ xem proxy đã được bật hay chưa - trang web luôn mở với IP "đúng".

Những gì cần thiết

Proxy hỗ trợ SOCKS5 hoặc HTTP và xác thực bằng tên đăng nhập và mật khẩu. Cả hai động cơ đều có thể truyền tải tên đăng nhập và mật khẩu tự động, không cần cổng địa phương.
Khách hàng: cho sing-box - ứng dụng chính thức cho Android, iOS và macOS hoặc lõi cho Windows/Linux; cho mihomo - giao diện đồ họa như Clash Verge Rev hoặc FlClash.
Danh sách các miền cần đi qua proxy. Nên thu thập trước - về điều này bên dưới.

Tuỳ chọn 1: sing-box (phiên bản 1.12 và mới hơn)

Cảnh báo quan trọng về các phiên bản. Nhiều cấu hình từ internet được viết cho sing-box cũ và không chạy trên các bản hiện tại. Theo danh sách chính thức về các chức năng lỗi thời: geosite và geoip đã bị xóa trong 1.12.0 (thay vào đó là rule-set), trường outbound bên trong quy tắc từ 1.11 đã được thay thế bằng hành động ("action": "route"), các định dạng DNS server cũ đã bị xóa trong 1.14.0, và các đầu ra đặc biệt block và dns - còn trong 1.13.0. Nhánh ổn định hiện tại tại thời điểm viết - 1.14.

Cấu hình làm việc tối thiểu: proxy cư trú Đức cho một vài miền, tất cả các thứ khác thì trực tiếp.

{
  "log": { "level": "info" },
  "dns": {
    "servers": [ { "type": "local", "tag": "local" } ]
  },
  "inbounds": [
    {
      "type": "tun",
      "tag": "tun-in",
      "address": [ "172.18.0.1/30" ],
      "auto_route": true,
      "strict_route": true
    }
  ],
  "outbounds": [
    {
      "type": "socks",
      "tag": "resi-de",
      "server": "ХОСТ_ИЗ_КАБИНЕТА",
      "server_port": 1080,
      "username": "ЛОГИН",
      "password": "ПАРОЛЬ"
    },
    { "type": "direct", "tag": "direct" }
  ],
  "route": {
    "auto_detect_interface": true,
    "default_domain_resolver": "local",
    "rules": [
      { "action": "sniff" },
      { "protocol": "dns", "action": "hijack-dns" },
      {
        "network": "udp",
        "port": 443,
        "domain_suffix": [ "amazon.de", "otto.de" ],
        "action": "reject"
      },
      {
        "domain_suffix": [ "amazon.de", "otto.de", "ipinfo.io" ],
        "action": "route",
        "outbound": "resi-de"
      }
    ],
    "final": "direct"
  }
}

Hãy thay thế máy chủ, cổng, tên đăng nhập và mật khẩu từ văn phòng của nhà cung cấp. Cổng 1080 ở đây chỉ là ví dụ.

Các phần thực hiện chức năng gì

Đầu vào TUN (auto_route) chuyển hướng lưu lượng của toàn bộ hệ thống vào sing-box. strict_route trên Windows bổ sung thêm các quy tắc tường lửa chống lại rò rỉ DNS (tài liệu cảnh báo rằng điều này có thể làm hỏng một số chương trình, chẳng hạn như VirtualBox).
"action": "sniff" - dòng quan trọng. Qua TUN, các kết nối đến địa chỉ IP, không phải đến miền. Sniffing lấy tên trang web từ bắt tay TLS (SNI) hoặc tiêu đề HTTP, và chỉ sau đó các quy tắc domain_suffix mới bắt đầu hoạt động. Nếu không có dòng này, các quy tắc miền sẽ không hoạt động một cách lặng lẽ - nguyên nhân phổ biến của "cấu hình không được áp dụng".
hijack-dns chặn các yêu cầu DNS của hệ thống và gửi chúng đến mô-đun DNS của sing-box.
Quy tắc với reject cho UDP 443 tắt QUIC (HTTP/3) cho các miền được proxy. Trình duyệt sẽ quay lại HTTPS thông thường qua TCP, và nó sẽ đi qua proxy. Tại sao - trong phần về các cạm bẫy.
domain_suffix bắt miền và tất cả các miền con của nó: amazon.de bao gồm cả www.amazon.de và sellercentral.amazon.de.
auto_detect_interface liên kết các kết nối đầu ra của sing-box với bộ điều hợp mạng vật lý. Nếu không có nó, lưu lượng đến máy chủ proxy sẽ lại rơi vào TUN, và sẽ tạo ra một vòng lặp định tuyến.
final: direct - mọi thứ không khớp với bất kỳ quy tắc nào sẽ đi trực tiếp.

Nhiều quốc gia và quy tắc theo chương trình

Đầu ra thứ hai được thêm vào như một đối tượng socks khác với thẻ riêng (ví dụ, resi-us) và quy tắc riêng biệt. Có thể gửi một chương trình hoàn toàn vào proxy bằng quy tắc với trường process_name (hoạt động trên Windows, macOS và Linux):

{
  "process_name": [ "python.exe" ],
  "action": "route",
  "outbound": "resi-us"
}

Các quy tắc được kiểm tra từ trên xuống dưới cho đến khi có sự trùng khớp đầu tiên, vì vậy hãy đặt các quy tắc riêng biệt lên trên các quy tắc chung.

Tuỳ chọn 2: mihomo (Clash Meta)

mihomo thuận tiện ở chỗ có các giao diện đồ họa trưởng thành, và cấu hình được viết bằng YAML, dễ đọc hơn. Kịch bản tương tự:

tun:
  enable: true
  stack: gvisor
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

dns:
  enable: true
  enhanced-mode: fake-ip
  nameserver:
    - https://1.1.1.1/dns-query

proxies:
  - name: resi-de
    type: socks5
    server: ХОСТ_ИЗ_КАБИНЕТА
    port: 1080
    username: ЛОГИН
    password: ПАРОЛЬ

rule-providers:
  work-de:
    type: inline
    behavior: classical
    payload:
      - DOMAIN-SUFFIX,amazon.de
      - DOMAIN-SUFFIX,otto.de
      - DOMAIN-SUFFIX,ipinfo.io

rules:
  - RULE-SET,work-de,resi-de
  - MATCH,DIRECT

Các điểm khác biệt chính so với sing-box:

Chế độ fake-ip giải quyết vấn đề "kết nối đến IP, không phải đến miền" theo cách khác: mihomo tự trả lời yêu cầu DNS bằng một địa chỉ giả, ghi nhớ miền nào tương ứng, và áp dụng quy tắc theo đó. Địa chỉ thực của trang web sẽ được máy chủ proxy biết ở phía của nó.
Tập hợp quy tắc (rule-providers) thuận tiện để giữ riêng trong một danh sách. Loại inline lưu trữ các miền ngay trong cấu hình, loại http kéo danh sách theo liên kết và cập nhật theo khoảng thời gian, chẳng hạn như danh sách chung của nhóm trong kho lưu trữ.
MATCH - tương đương với final: mọi thứ khác sẽ đi trực tiếp.
Đối với các quy tắc theo chương trình, có PROCESS-NAME, trên Android nó nhận tên gói của ứng dụng.

Làm thế nào để thu thập danh sách miền và không bỏ lỡ những cái cần thiết

Một trang web không chỉ là một miền. Thị trường tải hình ảnh từ CDN, script - từ một miền riêng, xác thực có thể sống trên miền thứ ba. Nếu miền chính đi qua IP Đức, còn miền vào - từ IP thật của bạn, hệ thống chống gian lận sẽ thấy hai địa chỉ khác nhau trong một phiên.

Mở trang web với công cụ phát triển (F12 → tab Network), thực hiện kịch bản điển hình: đăng nhập, tìm kiếm, thẻ sản phẩm, văn phòng.
Ghi lại tất cả các miền từ cột Domain. Các bộ đếm và quảng cáo bên ngoài có thể không cần thêm, nhưng các miền của dịch vụ (bao gồm CDN và máy chủ xác thực) - thì chắc chắn cần.
Thêm chúng vào quy tắc và lặp lại kịch bản. Trong log của sing-box (cấp độ info) hoặc trong tab kết nối của giao diện mihomo có thể thấy quy tắc nào đã được kích hoạt cho mỗi kết nối.
Giữ trong danh sách một miền "kiểm soát" như ipinfo.io: nó hiển thị IP của proxy, còn dịch vụ kiểm tra IP bên cạnh, không nằm trong danh sách, - là địa chỉ thật của bạn. Như vậy, chỉ trong một giây có thể thấy rằng định tuyến hoạt động.

Cạm bẫy mà kế hoạch sẽ bị hỏng

1. QUIC vượt qua proxy

Chrome và các trình duyệt khác rất thích truy cập vào các trang lớn qua HTTP/3, tức là qua UDP. Nhiều nhà cung cấp proxy không hỗ trợ UDP qua SOCKS5 hoặc hỗ trợ có giới hạn. Trong trường hợp xấu nhất, kết nối sẽ đi không đúng hướng, trong trường hợp tốt nhất - trang web sẽ bị chậm lại, cho đến khi trình duyệt quay lại TCP. Do đó, trong cấu hình sing-box ở trên, UDP trên cổng 443 cho các miền làm việc sẽ bị từ chối rõ ràng. Trong mihomo, hiệu ứng tương tự dễ dàng đạt được bằng cách tắt QUIC trong trình duyệt (cờ chrome://flags/#enable-quic).

2. Rò rỉ DNS đến nhà cung cấp

Nếu miền làm việc được giải quyết cục bộ qua DNS của nhà cung cấp internet của bạn, chính trang web sẽ không thấy điều đó: kết nối vẫn sẽ đến từ IP của proxy. Nhưng nhà cung cấp và bất kỳ ai thấy DNS của bạn sẽ biết bạn đang mở trang nào. Chế độ fake-ip trong mihomo và việc truyền miền đến máy chủ proxy sau khi sniffing trong sing-box giảm thiểu vấn đề này. Chi tiết về các kiểm tra và cách bảo vệ - trong phân tích các phương pháp bảo vệ chống rò rỉ DNS.

3. Xung đột với VPN hoặc anti-detect khác

Hai giao diện TUN cùng một lúc - đảm bảo hỗn loạn trong các lộ trình. Nếu trong trình duyệt anti-detect, hồ sơ đã có proxy riêng của mình, tốt hơn hết là đưa lưu lượng của nó ra khỏi TUN: bằng quy tắc theo tên quy trình gửi trình duyệt vào direct, và sau đó mỗi hồ sơ sẽ đi qua proxy của riêng mình, như đã dự định.

4. Định tuyến hệ thống không thay thế anti-detect

Tất cả các chương trình trên máy tính sẽ ra mạng với một IP đến miền. Đối với một cửa hàng thì điều này là bình thường. Đối với 10 tài khoản trên một nền tảng - thì không: nền tảng sẽ thấy dấu vân tay trình duyệt giống nhau và một địa chỉ. Đối với đa tài khoản, định tuyến theo miền là một công cụ hỗ trợ, chứ không phải thay thế cho cặp "hồ sơ riêng biệt + proxy riêng biệt".

5. Đảo IP giữa phiên

Nếu proxy được cấu hình để thay đổi IP mỗi khi có yêu cầu, trang web xác thực sẽ thấy địa chỉ mới trên mỗi lần tải hình ảnh. Đối với văn phòng, cửa hàng và mạng xã hội, hãy lấy tên đăng nhập với phiên sticky (IP cố định trong thời gian làm việc) hoặc đảo theo bộ hẹn giờ với khoảng thời gian hàng chục phút.

6. Proxy không hỗ trợ giao thức cần thiết

Nếu nhà cung cấp chỉ cung cấp proxy HTTP, trong sing-box hãy sử dụng đầu ra loại http, trong mihomo - type: http. Cả hai động cơ đều hỗ trợ tên đăng nhập và mật khẩu cho HTTP. Nếu chương trình không thể làm việc với proxy có xác thực, và không muốn nâng cao TUN, có thể sử dụng cổng địa phương trên gost, 3proxy hoặc Squid.

Proxy nào nên đặt vào quy tắc

Thị trường, mạng xã hội, văn phòng của người bán, văn phòng quảng cáo - proxy cư trú của quốc gia cần thiết với phiên sticky. Địa chỉ của nhà cung cấp tại nhà gây ít nghi ngờ nhất với hệ thống chống gian lận.
Các nền tảng có kiểm tra nghiêm ngặt nhất (ứng dụng di động, TikTok, Instagram) - proxy di động: với một IP của nhà mạng, nhiều thuê bao thực tế cùng lúc ra mạng.
API, tài liệu, kho lưu trữ gói, dịch vụ không có bảo vệ chống bot - proxy trung tâm dữ liệu: chúng rẻ hơn và nhanh hơn, và cho những nhiệm vụ như vậy, IP "nhà" không cần thiết.

Tiện lợi khi tạo nhiều đầu ra khác nhau trong cấu hình và phân phối các miền cho chúng, thay vì phải chạy tất cả qua đầu ra đắt nhất.

Kết luận

Định tuyến theo miền biến proxy từ "công tắc" thành công cụ chính xác: các trang cần thiết luôn mở với IP cần thiết, lưu lượng còn lại không tiêu tốn các gigabyte đã thanh toán. Để bắt đầu, chỉ cần 30 dòng cấu hình. Điều quan trọng là không quên sniffing (hoặc fake-ip), tắt QUIC cho các miền được proxy, thu thập danh sách đầy đủ các miền của dịch vụ và sử dụng cú pháp hiện tại: các cấu hình cho sing-box trước 1.12 sẽ không chạy trên các phiên bản mới.