Routing: правила маршрутизации

Цель

Разобрать Routing в 3x-ui: правила, balancers и DNS-связанные настройки, которые определяют, через какой outbound пойдет трафик.

Теория

Routing — слой принятия решения. Xray получает соединение через inbound, анализирует параметры запроса и выбирает outbound. Правила могут учитывать domain, IP, protocol, port, inboundTag и другие признаки.

История

Маршрутизация появилась как ответ на практические задачи: часть трафика нужно отправлять напрямую, часть блокировать, часть вести через другой proxy, часть обрабатывать по доменам или геобазам.

Архитектура

inbound -> sniffing/context -> routing rules -> outbound tag или balancer

Balancer выбирает один из нескольких outbound, а правило указывает, когда его использовать.

Настройка

1. Определить задачу: direct, block, proxy, split routing. 2. Проверить существующие outbound tags. 3. Создать rule с понятным именем и condition. 4. Указать outbound или balancer. 5. Проверить порядок правил: первое подходящее правило может изменить итог. 6. Проверить DNS, если правило зависит от доменов.

Разбор параметров

Параметр	Что означает
Domain	домены или списки доменов
IP	IP/CIDR или geoip-наборы
Port	порты назначения
Protocol	тип трафика при доступности признака
Inbound tag	ограничение правила конкретным inbound
Outbound tag	куда отправлять совпавший трафик
Balancer	группа outbound для выбора

DNS-вкладка связана с routing, потому что доменные правила зависят от разрешения имен и sniffing.

Типовые ошибки

забыть, что порядок правил имеет значение;
ссылаться на несуществующий outbound tag;
ожидать domain routing без включенного sniffing там, где он нужен;
смешать DNS-ошибку и routing-ошибку;
делать слишком широкое правило, которое перехватывает весь трафик.

Безопасность

Routing может неожиданно отправить трафик через недоверенный outbound или оставить sensitive traffic в direct. Для production нужно документировать каждое правило: цель, условие, outbound, риск и способ проверки.

Чек-лист

У каждого правила есть понятная цель.
Outbound tags существуют.
Порядок правил проверен.
DNS и sniffing согласованы с domain rules.
Sensitive traffic не уходит через недоверенный upstream.