Clash 策略组怎么排序才合理

Clash 策略组怎么排序才合理——这不是一个配置界面里拖动几下就能解决的表面操作，而是一次对流量意图、网络环境与应用行为的系统性校准。很多人把策略组（Proxy Group）当成“备用线路列表”，按字母顺序排、按节点延迟倒序排、甚至随手把刚测速完的几个节点塞进最前面，结果是 YouTube 走了 HK 节点却卡在 1080p，GitHub 拉取大仓库时反复超时，企业微信会议音频断续，而真正需要低延迟的国内银行 App 却被错误地送进了全局代理组。问题根源不在节点好坏，而在策略组的层级逻辑错位：规则匹配是自上而下逐条执行的，一旦某条规则命中，后续所有更精准的规则就彻底失效；策略组本身又是规则的“执行单元”，它的位置决定了它是否有机会被触发。换言之，排序不是排列组合，是定义优先级契约。

第一步：锁定「不可让渡」的本地流量。把 `DIRECT` 组放在最顶部（或至少确保它位于所有泛域名规则之前），并确认其类型为 `select` 或 `url-test`（非 `fallback`）。这不是为了“直连安全”，而是为了拦截所有明确属于中国大陆的 CIDR、域名关键词（如 `alipay.com`、`icbc.com.cn`）、以及 `.local`、`192.168.0.0/16` 这类保留地址。很多用户把 `DIRECT` 放在底部，结果 `GEOIP,CN` 规则还没生效，`DOMAIN-SUFFIX,com` 已经把支付宝送进了代理链——这和转行简历怎么突出可迁移能力本质相同：你不能把“熟悉财务流程”写在“精通Python”的后面再期待HR先看到前者；必须让最确定、最刚性的判断最先发声。

第二步：隔离高敏感、低容错服务。将银行类、政务类、运营商类 App 的专属规则单独抽离，组成名为 `Banking` 或 `Gov-CN` 的策略组，类型设为 `select`，置于 `DIRECT` 之后、泛用代理组之前。这类组不参与自动测速或故障转移，只允许手动选择 `DIRECT` 或指定的极少数可信节点（如有专线）。理由很简单：招商银行 App 若因策略组自动切换到一个抖动的日本节点，30秒内未响应即触发重试，三次失败直接弹出“网络异常”，用户不会怪 Clash，只会卸载。这就像 PikPak 注册和登录失败的解决办法里强调的——当基础连接层出现 TLS 握手异常或时间戳校验失败时，任何智能路由都救不了身份认证流程；必须先保底，再谈优化。

第三步：按「稳定性 > 延迟 > 带宽」分层代理组。顶部放 `Auto`（类型 `url-test`，URL 设为 `http://www.gstatic.com/generate_204`），专用于 Google 系服务；中间放 `Streaming`（类型 `fallback`，仅含流媒体友好节点，测试 URL 用 `https://netflix.com` 的 HEAD 请求）；底部放 `General`（类型 `url-test` 或 `fallback`，覆盖剩余所有境外流量）。注意：`url-test` 组必须配置 `timeout`（建议 3000ms）和 `interval`（建议 300），否则会因单次探测失败误判整组失效；`fallback` 组则需禁用 `tolerance`，避免在首节点仅慢 50ms 时就切走——这恰是多数人排序混乱的起点：把测速快但丢包率 8% 的节点放在 `Auto` 组顶格，却把延迟 120ms 但零丢包的节点压在 `General` 底部。 延伸阅读：简历被刷的十个原因。 延伸阅读：PikPak 怎么提高大文件转存成功率。

第四步：用「最小匹配原则」修剪冗余。删除所有 `DOMAIN-KEYWORD,google` 类规则，改用 `DOMAIN-SUFFIX,google.com.hk` + `DOMAIN-SUFFIX,googleapis.com`；移除 `GEOIP,US` 下方所有 `DOMAIN-SUFFIX,netflix.com` 规则——因为 Netflix 流量已由上方 `DOMAIN-SUFFIX,netflix.com` 精确捕获，再设 GEOIP 规则是无效占位。每一条规则都应有且仅有一个策略组能承接，多一层嵌套，就多一分误匹配风险。

第五步：验证必须基于真实场景，而非 ping 或 speedtest。打开微信视频号刷 3 分钟海外博主内容，观察日志里 `video.twimg.com` 是否命中 `Streaming` 组；用 Chrome 访问 `https://github.com/torvalds/linux`，检查 `github.com` 和 `githubassets.com` 是否同属 `Auto`；尝试登录 PikPak 客户端，若失败，立即查看日志中 `api.pikpak.com` 的 DNS 解析是否被劫持至 127.0.0.1，此时策略组排序无责，但 `RULE-SET` 里若混入了污染域名列表，就会让本该直连的证书校验请求绕行代理，直接导致 TLS handshake timeout——这再次印证：排序的合理性，永远取决于你是否提前识别了那个不可妥协的临界点。