[Bug] nameserver-policy geosite 规则匹配顺序问题

[vincentlauvlwj]

Verify steps

• 确保你使用的是本仓库最新的的 clash 或 clash Alpha 版本 Ensure you are using the latest version of Clash or Clash Premium from this repository.
• 如果你可以自己 debug 并解决的话，提交 PR 吧 Is this something you can debug and fix? Send a pull request! Bug fixes and documentation fixes are welcome.
• 我已经在 Issue Tracker 中找过我要提出的问题 I have searched on the issue tracker for a related issue.
• 我已经使用 Alpha 分支版本测试过，问题依旧存在 I have tested using the dev branch, and the issue still exists.
• 我已经仔细看过 Documentation 并无法自行解决问题 I have read the documentation and was unable to solve the issue.
• 这是 Clash 核心的问题，并非我所使用的 Clash 衍生版本（如 OpenClash、KoolClash 等）的特定问题 This is an issue of the Clash core per se, not to the derivatives of Clash, like OpenClash or KoolClash.

Clash version

v1.14.3

What OS are you seeing the problem on?

Linux

Clash config

dns:
  nameserver-policy:
    'geosite:private,apple-cn,apple@cn,cn':
      - 114.114.114.114
    'geosite:geolocation-!cn':
      - 'https://8.8.8.8/dns-query#PROXY'

rules:
  - GEOSITE,private,DIRECT
  - GEOSITE,apple-cn,DIRECT
  - GEOSITE,apple@cn,DIRECT
  - GEOSITE,cn,DIRECT
  - GEOSITE,geolocation-!cn,PROXY
  - GEOIP,private,DIRECT
  - GEOIP,cn,DIRECT
  - MATCH,PROXY

Clash log

[DNS] resolve www.gstatic.com from https://8.8.8.8:443/dns-query
[DNS] www.gstatic.com --> [216.58.203.67], from https://8.8.8.8:443/dns-query"
[TCP] dial DIRECT (match GeoSite/cn) 192.168.50.190:56809 --> www.gstatic.com:80 error: connect failed: dial tcp 216.58.203.67:80: i/o timeout | connect failed: no ip address"

Description

我使用 nameserver-policy 配置了 DNS 分流，分流规则与 rules 中的分流规则是一致的，但在请求 www.gstatic.com 这个域名时出现了异常

如日志所示，请求 DNS 时，使用了境外的 DNS，得到了境外的 IP 地址，但实际连接时，却命中了 GeoSite/cn 规则，导致对境外 IP 发起直连，产生连接失败的问题

[xishang0128]

@vincentlauvlwj https://github.com/v2fly/domain-list-community/blob/master/data/geolocation-!cn
geolocation-!cn并不包含www.gstatic.com,这不是meta的问题

[vincentlauvlwj]

https://github.com/v2fly/domain-list-community/blob/master/data/geolocation-!cn

我检查了一下，geolocation-!cn 间接包含了 www.gstatic.com ，其路径是这样的

geolocation-!cn --> category-companies --> google --> www.gstatic.com

[xishang0128]

@vincentlauvlwj 哦搞错了,meta默认使用的Loyalsoldier的geosite,cn和geolocation !cn同时包含这个域名

[vincentlauvlwj]

@vincentlauvlwj 哦搞错了,meta默认使用的Loyalsoldier的geosite,cn和geolocation !cn同时包含这个域名

是的，所以我猜测在 DNS 分流的时候可能出现了异常，导致使用了境外的 DNS 服务

[xishang0128]

@vincentlauvlwj 建议使用alpha再测试

[vincentlauvlwj]

@vincentlauvlwj 建议使用alpha再测试

有空试试

[vincentlauvlwj]

被这个问题折腾了好几天，总是会出现一些域名，dns 分流的时候匹配到境外的规则，拿到境外的 ip，请求的时候却匹配到境内的规则，对境外 ip 发起直连导致连接失败

这些域名有个共同点，它们都同时存在于 cn 和 geolocation-!cn，比如 gstatic 虽然是谷歌的 cdn 域名，但是在境内也可以直连，两个列表同时收录这个域名是很正常的现象，只要用户能合理安排规则的优先级，就能实现想要的效果

我想要实现的效果是在 nameserver-policy 中按照 geosite 对域名进行分流，境内域名走境内 dns，境外域名走境外 dns。同时，为了避免拿到境外 ip 却直连、以及拿到境内 ip 却走代理的现象，我在 nameserver-policy中的分流规则与 rules 完全一致，理论上这样应该不会有问题

但事实证明我想错了，rules 中的规则是从上到下逐条匹配，但 nameserver-policy 中的 dns 分流规则却不能保证匹配的顺序，这就导致这些两边同时存在的域名，在 nameserver-policy 和 rules 中的匹配结果不同

问题的根源应该在这里，clash meta 在解析配置文件的时候，把 nameserver-policy 的数据保存在 map 中，而 map 是无法保证迭代顺序的，这才导致进行规则匹配的时候，出现不稳定的结果

https://github.com/MetaCubeX/Clash.Meta/blob/Meta/config/config.go#L104

// DNS config
type DNS struct {
    // 使用 map 保存分流规则，规则的匹配顺序无法保证
    NameServerPolicy      map[string][]dns.NameServer
    ProxyServerNameserver []dns.NameServer
}

最后，我的解决方法也很简单，在 nameserver-policy 只保留一条 geosite 规则，就不用管匹配顺序的问题了

dns:
  nameserver-policy:
    # gfw 域名直接走境外 dns，避免使用 nameserver & fallback 的机制产生 dns 泄露
    'geosite:gfw,greatfire':
      - 'https://8.8.8.8/dns-query#PROXY'

rules:
  # 为确保不会出现直连境外 ip 的情况，在 nameserver-policy 中出现的规则必须放在最前面，保证会走代理
  - GEOSITE,gfw,PROXY
  - GEOSITE,greatfire,PROXY
  - GEOSITE,private,DIRECT
  - GEOSITE,apple-cn,DIRECT
  - GEOSITE,apple,DIRECT
  - GEOSITE,cn,DIRECT
  - GEOSITE,geolocation-!cn,PROXY
  - GEOIP,private,DIRECT
  - GEOIP,cn,DIRECT
  - MATCH,PROXY

希望后续能修复这个问题吧，感谢

[BaronChushao]

解决了踢踢我

[chika0801]

这些域名有个共同点，它们都同时存在于 cn 和 geolocation-!cn

如果你用的geo文件是 https://github.com/Loyalsoldier/v2ray-rules-dat

就是这样的

你可以试试原版
https://github.com/v2fly/domain-list-community

[vincentlauvlwj]

@chika0801 这个不是规则的问题，就算改用原版的规则，在有些情况下也会出问题，比如

dns:
  nameserver-policy:
    'geosite:apple':
      - 114.114.114.114
    'geosite:geolocation-!cn':
      - 'https://8.8.8.8/dns-query#PROXY'

苹果是美国公司，所以 apple 包含在 geolocation-!cn 里面，但是苹果的服务在国内也很好用，不希望走代理，如果不能保证规则的匹配顺序的话，访问苹果域名的时候，dns 是否走了代理就成了玄学..

[Skyxim]

@vincentlauvlwj 裁剪 geosite

[vincentlauvlwj]

@Skyxim 这就相当于 nameserver-policy 在配置了多条 geosite 规则的时候基本上是不可用的，就算自己动手去裁剪 geosite，也很难保证每条规则里面的域名完全没有交集，否则只要存在交集，用户就无法预期最终的匹配结果

如果在设计上确实只能允许配置一条 geosite 规则，那我建议修改这个文档里面的示例，避免误导用户，这个官方示例里也配置了多条规则 https://docs.metacubex.one/config/dns#nameserver-policy

同时在文档里说明，此处只能配置一条 geosite 规则，否则会出现无法预料的问题

感谢 🌹

[fredericky123]

关注一下