Shadowrocketのルール設定入門：DOMAIN・DOMAIN-SUFFIX・DOMAIN-KEYWORD・GEOIP・IP-CIDR・FINALのマッチ条件

1. ルールの適用前にGlobal Routingと設定ファイルを確認

ルールは設定ファイルの[Rule]セクションに記述します。このセクションの順序を変更する意味があるのは、リクエストが設定に基づく振り分け処理に入っている場合だけです。まずHome → Global Routingで現在の選択肢を確認し、画面上部の接続スイッチだけでルールの適用状況を判断しないでください。

Configでは設定ファイルを管理し、Homeでは接続状態とGlobal Routingを確認します。Settings → On Demandでは条件に応じて接続を開始する動作を管理しますが、DOMAINを別のマッチタイプに変更したり、ルールの並び順を置き換えたりする機能ではありません。トラブルの切り分けでは、「接続が開始されているか」と「どのルールに一致したか」を分けて記録してください。

2. DOMAIN・DOMAIN-SUFFIX・DOMAIN-KEYWORDのマッチ範囲

この3種類のルールが判定するのはドメインです。Webページの本文やURLのパスを基準に振り分けるものではありません。ルールのドメイン欄にはhttps://や/loginを付けず、ポート番号もホスト名に含めません。たとえばhttps://api.example.com:8443/loginへのアクセスで、ドメイン照合の対象となるのはapi.example.comです。

DOMAINは、特定のホスト名を個別に処理する場合に適しています。DOMAIN-SUFFIXはドメイン階層に沿ってルートドメインとサブドメインを対象にします。example.comと記述すればよく、*.example.comにする必要はありません。DOMAIN-KEYWORDはドメインに含まれるキーワードを調べます。同じルートドメインに限定されないため、名前が似ている別のドメインまで対象にしてしまうことがあります。

3. GEOIPとIP-CIDR：ドメイン文字列ではなく宛先IPを照合

GEOIPは、宛先IPが地理情報データベースでどの地域に割り当てられているかを基準に照合します。たとえばGEOIP,CN,DIRECTは、データベースでCNに分類された宛先アドレスにDIRECTを適用します。Webサイトの言語、ドメインの末尾、ユーザーの所在地で判定するものではありません。また、データベース上の地域とWebサイト運営者の所在地は同じとは限りません。

IP-CIDRはIPv4アドレス範囲にマッチします。192.0.2.0/24は先頭24ビットが固定されたネットワークを表し、192.0.2.0から192.0.2.255までが対象です。192.0.2.8/32は1つのアドレスだけにマッチします。ここに示したアドレスは文書用の例であり、実際のサービスへの接続確認には使えません。

IP-CIDR,192.0.2.8/32,REJECT,no-resolve
IP-CIDR,192.0.2.0/24,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXY

• no-resolveは、このIPルールにマッチさせるためだけのドメイン解決を行わない指定です。利用可能な宛先IPがすでにある場合は、引き続きアドレス照合が行われます。
• ドメインリクエストがIP情報を必要とするルールに到達すると、DNSの名前解決が後続の判定に影響することがあります。名前解決に失敗しても、ルールキーワードの綴りが誤っているとは限りません。
• Webサイトが複数のアドレスを返す場合や、アドレスが変わる場合があります。一時的に取得したIPアドレス1つにルールを設定しても、サイト全体を対象にできるとは限りません。
• IP-CIDRはIPv4用です。IPv6アドレスをこのキーワードにそのまま指定し、IPv4のマスクを流用しないでください。

上の例では、単一アドレスのルールをネットワーク全体のルールより前に置いています。そのため宛先が192.0.2.8の場合、最初にREJECTが適用され、後続のネットワーク範囲のDIRECTには進みません。これは記述順によるもので、システムが/32に自動で高い優先度を与えているわけではありません。

4. 上から順に照合し、最初の一致で確定。FINALは末尾に配置

この記事で扱う通常のルールは、上から順に照合し、一致したルールのポリシーを適用した時点で判定が終了します。後続の通常ルールで再判定されることはありません。より細かい条件のルールが、前にある広範なルールを自動的に飛び越えることもありません。例外を設ける場合は、そのルールを前に移動してください。

[Rule]
DOMAIN,login.example.com,DIRECT
DOMAIN-SUFFIX,example.com,PROXY
DOMAIN-KEYWORD,telemetry,REJECT
IP-CIDR,192.0.2.0/24,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXY

1. login.example.comへのリクエストは最初のルールに一致するため、DIRECTが適用されます。
2. img.example.comへのリクエストは最初のルールには一致せず、2番目のルールに一致するため、PROXYが適用されます。
3. telemetry.example.comへのリクエストは2番目のルールに先に一致するため、3番目のルールは適用されません。拒否するには、該当する拒否ルールを2番目のルールより前に移動してください。
4. 前のルールに一致しなかったリクエストには、最後にFINAL,PROXYが適用されます。FINALにはドメイン欄やアドレス欄はなく、キーワードとポリシーだけで記述します。

FINALを先頭に置くと、後続の通常ルールが照合されなくなります。設定を管理する際は、内容が明確な最終フォールバックを1つだけ残し、末尾に置いてください。ルールを追加し続けて順序の問題を解決しようとせず、先に一致しているルールを特定します。

上記の設定例はマッチ順序の説明用であり、汎用の振り分けルール一覧ではありません。既存の設定に適用する前に、各ポリシーが目的に合っていることを確認し、元の設定のコピーを保存してください。

5. PROXY・DIRECT・REJECTの役割

ルールの最後の主要フィールドで、一致後の処理方法が決まります。キーワードは「何にマッチさせるか」、ポリシーは「どう処理するか」を指定するもので、互いに置き換えることはできません。この記事は、ユーザーがすでに自分の接続サービスと接続設定を持っていることを前提とし、ノード、サブスクリプション、その他の接続サービスの提供・販売・推奨は行いません。

PROXYはプロトコル名ではありません。Shadowsocks、VMess、VLESS、Trojan、Hysteria2、WireGuardは接続設定で使うプロトコルであり、ここで使う基本ポリシーの記述をそのまま置き換えることはできません。ルールがPROXYに一致しても、宛先サービスに接続できるとは限りません。接続パラメータ、DNS、接続先の状態をそれぞれ確認してください。

DIRECTは、Shadowrocketのルール判定を経由しないという意味ではありません。一致後の外向き接続に直接接続を選ぶ指定です。REJECTによってページやリソースの読み込みに失敗するのは、意図した結果である場合があります。ログイン用APIを誤って拒否している場合は、ページ本体が開いてもサイトの機能が正常とは限りません。

6. Configで変更し、新しいリクエストで検証

一度に変更するのはルール1つ、または順序1か所にとどめ、検証してから次に進むことをおすすめします。サブスクリプションの更新は主にユーザーが登録済みのサーバー一覧に関するもので、現在有効な設定の[Rule]セクションが変更されたことを意味しません。リモート設定の再更新でローカルの変更が上書きされることもあるため、テスト前にコピーを保存してください。

1. 元の設定を保存

   Configを開き、現在有効なファイルを確認して、復元できるコピーを先に保存します。テスト後に元に戻せるよう、変更前のGlobal Routingも記録してください。

2. ルールセクションを編集

   Configで対象ファイルの編集画面を開き、[Rule]を探します。単一ホストの例外はドメインサフィックスのルールより前に置き、FINALは末尾に配置してください。フィールドは半角カンマで区切ります。

3. 変更後の設定が有効か確認

   保存後、Configで変更したファイルが有効になっていることを確認します。Home → Global Routingに戻り、Configを選択してから、Homeの接続状態も確認してください。

4. リクエストを再実行

   テスト中のページを閉じてから再度開きます。確立済みの長時間接続が引き継がれないよう、必要に応じて接続を再確立してください。接続ログで確認できる宛先ドメイン、宛先IP、一致したルール、ポリシーを確認します。

5. 一致したルールを確認

   ポリシーが想定と異なる場合は、一致した位置から上に向かって、より広い範囲のルールを確認してください。ルールには正しく一致しているのにアクセスできない場合は、DNS、既存のプロキシ設定、接続先サービスを確認し、順序を闇雲に変更しないでください。

7. ルールが適用されない場合とアクセスエラーの切り分け

まず「想定したルールに一致していない」場合と「ルールには一致したが接続できない」場合を区別します。前者ではGlobal Routing、現在の設定ファイル、ルールの順序を優先して確認し、後者では名前解決と接続の過程を確認してください。Home → Connectivity Testの結果だけで、特定ドメインへのすべてのWebリクエストが完了できるとは判断できません。

ここで説明したのはAppleのネットワークエラーコードの意味であり、Shadowrocketのすべての画面に固定表示されるエラー文ではありません。ログに同じコードがない場合は、実際のエラー内容に沿って原因を確認してください。画面の読み込みが続いているだけで、同じエラーだと判断しないでください。