先明确目标：会议流量代理，国内服务直连
远程办公的分流目标不是让 Zoom、Slack、Google Meet 的每个请求都使用同一条固定线路，而是让需要境外访问的连接进入可用的代理策略，同时尽量让国内网站、局域网服务和公司内网保持直连。这样可以减少不必要的代理流量，也能避免代理出口绕远路影响本地服务。
Clash 规则模式会按规则列表从上到下匹配，首次命中后采用该规则指定的出站策略。规则写对了但仍连接异常，常见原因包括：客户端当前不是规则模式、应用流量没有进入内核、规则被更早的宽泛规则截获，或规则指向的代理组没有可用节点。排查时要分别确认入口、匹配结果和最终出站，不能只看配置文件里有没有域名规则。
| 服务 | 可先加入的域名范围 | 需要留意 |
|---|---|---|
| Zoom | zoom.us、zoom.com |
会议媒体可能使用 UDP；域名规则未命中时需检查连接记录和节点 UDP 能力。 |
| Slack | slack.com、slack-edge.com、slack-files.com、slack-imgs.com |
工作区、消息、文件与图片请求可能涉及不同域名，附件异常时应按连接记录补充。 |
| Google Meet | meet.google.com |
会议页面可访问不代表媒体连接正常；不要为了 Meet 默认把所有 Google 流量都改走代理。 |
表中的域名是便于起步的范围，不是服务供应商对所有地区、版本和企业网络公布的完整端点清单。服务可能调整域名、CDN 或媒体连接方式；公司设备还可能经过安全网关或专用代理。遇到持续失败时，以客户端连接记录、应用诊断信息和组织 IT 提供的网络要求为准，不要把单一域名列表当成永久不变的白名单。
规则配置：把服务规则放在通用规则前面
下面的配置片段用于说明规则顺序，不是可以独立导入的完整订阅。它假设当前配置已经定义名为“远程办公代理”的策略组；如果实际名称不同，必须替换成现有 proxy-groups 中的名称。规则中的策略名需要完全一致，中文名称也不能少字或多空格。
mode: rule
rules:
- DOMAIN-SUFFIX,zoom.us,远程办公代理
- DOMAIN-SUFFIX,zoom.com,远程办公代理
- DOMAIN-SUFFIX,slack.com,远程办公代理
- DOMAIN-SUFFIX,slack-edge.com,远程办公代理
- DOMAIN-SUFFIX,slack-files.com,远程办公代理
- DOMAIN-SUFFIX,slack-imgs.com,远程办公代理
- DOMAIN-SUFFIX,meet.google.com,远程办公代理
- GEOIP,CN,DIRECT
- MATCH,其他流量策略其他流量策略同样是占位名称，应替换成配置里的真实策略组；如果现有规则末尾已有 MATCH，通常只需把服务规则插到正确位置，不要再添加第二条兜底规则。示例把服务域名放在中国 IP 判断与兜底规则前面，是为了避免更早的宽泛规则先接管连接。对于复杂订阅，应检查完整规则顺序，而不是只看这几行。
DOMAIN-SUFFIX,zoom.us匹配zoom.us以及它的子域名，不需要写https://、通配符或 URL 路径。GEOIP,CN,DIRECT按目标 IP 的地理数据库归属判断，不等价于“所有国内网站”。境外服务使用境内 CDN 时，也可能因此直连。MATCH只在前面的规则都未命中时生效。若它指向代理组，剩余流量可能代理；若指向DIRECT，剩余流量就会直连。- 如果现有配置有针对企业内网、局域网或指定网站的精确规则，应保留这些规则，并根据实际需求决定它们与办公服务规则的先后关系。
域名规则的匹配边界
域名规则需要内核能够获得连接对应的域名信息。浏览器或应用先解析 DNS，再建立连接；当连接只提供目标 IP、DNS 查询绕过内核，或应用使用加密 DNS、固定 IP 时，内核可能无法用预期的域名规则匹配。不同客户端和内核的域名嗅探设置也不相同，不能只凭域名写进 YAML 就认定该应用的所有连接都会命中。
不要为了修复单个服务而草率添加 DOMAIN-SUFFIX,google.com 之类的大范围规则。它可能把搜索、云端文件、浏览器更新和其他 Google 服务一起送入同一代理。先从连接记录找到实际未匹配的主机名，再补充必要的精确域名或较窄的后缀，并重新测试会议与日常访问。
动手操作：在客户端添加规则并验证生效
Clash Verge、Clash Verge Rev 等图形客户端的菜单名称会随版本变化，配置入口也可能叫“覆写”“合并配置”“配置扩展”或“规则”。以下步骤按操作目的描述，具体按钮以当前版本界面为准。首次调整建议只修改一项，方便出现问题时快速回退。
- 确认当前配置与内核：在配置列表中选中正在使用的配置，查看客户端显示的内核名称和版本。若订阅使用了 mihomo 扩展字段，先确认当前内核支持这些字段；客户端能显示配置卡片，并不代表内核已成功加载。
- 确认规则模式：打开客户端的代理模式设置，选择规则模式。全局模式通常不按普通规则列表进行分流，直连模式则不会按本例把办公服务交给代理组。
- 找出正确的扩展入口：在配置或订阅管理页面查看是否提供规则覆写或合并功能。将示例规则添加到最终配置的规则列表前部，保留已有节点、代理组、DNS 和规则提供者设置。不要把规则片段粘贴到节点地址输入框，也不要未经确认直接替换整份订阅。
- 核对代理组名称：打开代理组页面，确认“远程办公代理”真实存在，并选中一个可用节点。若当前组使用自动测速策略，也要确认测速成功且选择结果符合需要；自动测速值不一定能代表会议期间的稳定性。
- 应用配置并看运行日志：保存后通过客户端的配置重载、更新或重新载入操作使修改生效。若出现 YAML 解析错误，先检查缩进、逗号、策略组名称及重复字段；订阅自动更新后规则消失，则检查覆写机制是否实际合并到最终配置。
- 逐个测试应用：先打开 Slack 并发送一条非敏感测试消息，再检查文件预览或附件；接着启动 Zoom 测试会议，检查加入速度、音频和视频；最后测试 Google Meet。每次只改变一个条件，避免同时切换节点、DNS 和 TUN 后无法判断原因。
| 客户端或平台 | 优先检查的位置 | 验证重点 |
|---|---|---|
| Clash Verge / Clash Verge Rev | 配置覆写或合并设置、代理组、连接记录 | 最终规则是否包含新增条目，办公连接选中的策略是否为预期代理组。 |
| Windows、macOS 桌面端 | 系统代理开关；必要时再检查 TUN 状态 | 遵循系统代理的应用是否进入内核；使用 TUN 时检查路由与权限。 |
| Android 客户端 | VPN 接管授权、应用连接记录、规则模式 | Android 的本地 VPN 接管与桌面系统代理不是同一种入口；确认应用流量确实被选中接管。 |
验证时可在客户端的连接记录中查看目标域名、匹配规则和出站策略。若域名显示为 IP 或连接没有记录，先确认流量入口、DNS 路径及客户端是否记录该类连接；若规则命中但出站显示为 DIRECT，检查规则顺序和策略名称；若出站是代理组但握手失败，再检查节点状态和网络可达性。建议保存调整前后的配置副本，确定稳定后再整理为长期覆写。
节点与会议质量：优先稳定，再比较速度
网页测速显示的下载速度不是会议体验的完整指标。实时音视频更在意时延、抖动、丢包以及持续连接稳定性；一个峰值速度较高、但每隔几分钟就波动的节点，未必适合长时间会议。选择节点时可先选地理距离合理、连接状态稳定的线路，在实际会议中检查音频连续性、画面冻结和重新连接情况。
Zoom 等会议应用可能使用 UDP 承载实时媒体。系统代理通常适合遵循 HTTP 或 SOCKS 代理设置的请求，但不能据此推断应用的所有 UDP 媒体流量都通过了代理。需要覆盖不遵循系统代理设置的连接时，可以评估客户端的 TUN 功能；开启 TUN 后仍需确认系统权限、路由、规则匹配和代理节点对 UDP 的支持。不要把“已开启 TUN”当作媒体通道必然可用的证明。
按现象缩小排查范围
- 网页能打开，会议没有声音或画面：检查连接记录里是否出现媒体连接、它匹配到的规则与出站策略，并确认节点支持所需的 UDP 流量。仅调整网页域名规则未必能解决媒体数据路径问题。
- Slack 能收消息，附件打不开：检查附件对应的目标域名和规则命中结果。若附件使用额外的存储或 CDN 域名，按记录补充小范围规则，不要直接代理所有云盘或图片域名。
- 加入会议很慢或中途断开：分别换一个候选节点并重复同一项测试，记录大致时延、丢包或重连情况。排除本地 Wi-Fi、公司防火墙及其他 VPN 冲突后，再比较线路，不要一次更改多个网络设置。
- 国内网站也走了代理：检查更早出现的域名规则、规则集和代理组策略。分流按顺序执行，末尾的
GEOIP,CN,DIRECT无法覆盖已经先命中的代理规则。 - 规则写入后完全没有变化：确认使用的是修改后的活动配置，检查客户端是否已经重载，并通过连接记录确认目标应用流量是否进入内核。若连接不在记录中，问题可能在系统代理或 TUN 接管，而不在规则条目本身。
公司网络的安全要求优先于个人分流方案。若组织规定 Zoom、Slack 或会议媒体必须通过公司 VPN、指定网关或固定出口，应先向 IT 确认，再决定 Clash 的接管方式和例外规则。尤其不要在未经许可的情况下绕过企业访问控制，也不要在测试时把会议凭据、内部地址或连接日志发布到公开渠道。