Shadowrocketのルール優先順位と設定方法｜上から順に照合する仕組みとFINALの使い方

まずConfigを確認：ルール順が反映される条件

ルールを変更する前に、Home → Global Routingで現在のモードを確認します。この記事で扱うのは、Configを選択した状態で、現在の設定にある[Rule]リストを上から照合する仕組みです。ファイルだけ編集してGlobal RoutingがProxyまたはDirectのままでは、ルールが想定どおり適用されるか確認できません。

Global Routingのモード名と、ルール行にあるポリシー名は別の設定です。たとえば、Proxyはルーティングモード、PROXYはルール行の処理先です。表記は似ていますが、「Proxyを選択したらPROXYルールだけが有効になる」という意味ではありません。

上から順に照合：具体的なルールが自動的に優先されるわけではない

通常のルールリストでは、Shadowrocketはルールを上から順に確認します。ルールに一致して処理ポリシーが決まると、下にある「より細かく見える」ルールは確認されません。優先順位を決めるのは主に配置位置であり、ドメイン名の長さやDIRECT・PROXY・REJECTという名前ではありません。

以下では、予約済みのサンプルドメインを使ってルールの競合を説明します。実際にアクセスできるテストサービスを示すものではありません。example.com全体をPROXYにし、そのうちapi.example.comだけをDIRECTにする場合、例外ルールを範囲ルールより前に置きます。

[Rule]
DOMAIN,api.example.com,DIRECT
DOMAIN-SUFFIX,example.com,PROXY
FINAL,DIRECT

• api.example.com：先頭のルールに一致してDIRECTで処理されます。次のDOMAIN-SUFFIXルールは確認されません。
• www.example.com：先頭のルールには一致せず、2行目に一致してPROXYで処理されます。
• 先頭2行に一致しないその他のリクエスト：FINALまで進み、DIRECTで処理されます。

2行目を1行目より前に移動すると、api.example.comは先にDOMAIN-SUFFIXに一致し、後ろにあるDIRECTの例外ルールは適用されません。同様に、範囲ルールの後ろに置いたREJECTも、自動的に優先されることはありません。

DOMAIN-SUFFIX,example.com,PROXYは、URL内の任意の文字列を検索するルールではありません。アドレスのパスにexample.comが含まれていても一致しません。ルールのパラメーターにはドメインを指定し、https://、ページのパス、クエリパラメーターは含めません。ホスト名1つだけを対象にする場合は、例外ルールにDOMAINを使います。

FINALの設定：他のルールに一致しないリクエストの処理先を決める

FINALは、ドメインやIPの条件を指定しない最終フォールバックルールです。一般的な書き方はFINAL,DIRECTまたはFINAL,PROXYです。「認識できないサイトだけ」に一致するのではなく、前のルールで処理されず、この行まで到達したすべてのリクエストを処理します。

FINALは設定ファイル全体の末尾ではなく、[Rule]リストの末尾に置きます。設定ファイルには別のセクションが含まれる場合もあります。FINALを移動するために、別のセクションへ移さないでください。FINALを途中に置くと、その後の通常ルールに一致する機会がなくなります。

以下は、ドメインルール、IPルール、FINALの位置を示す簡易構成例です。日常利用向けの完全な設定ではなく、プライベートアドレス範囲も1つしか記載していません。ローカルネットワークのすべてのケースを網羅するものではありません。既存設定のコピーに必要な行を追加してください。[Rule]セクションを2つ作らないでください。

[Rule]
DOMAIN,api.example.com,DIRECT
DOMAIN-SUFFIX,example.com,PROXY
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXY

IP-CIDRはアドレス範囲を確認します。GEOIPはIPの位置情報データベースに基づいて分類するもので、Webサイトの言語や運営者の所在地を判定するものではありません。例のno-resolveは、このIPルールのためだけにドメインを積極的に名前解決しない指定です。設定全体でDNS問い合わせを行わないという意味ではありません。IPルールが一致するかどうかは、そのリクエストで宛先アドレス情報を利用できるかにも左右されます。

PROXY・DIRECT・REJECT：一致条件と処理方法を分けて考える

ルール行の前半は「何に一致するか」、末尾のポリシーは「一致後にどう処理するか」を示します。同じDOMAIN-SUFFIXに異なるポリシーを指定できます。ポリシー自体は一致範囲を変えず、ルールの優先順位を上げることもありません。

PROXY

リクエストをProxy経由の経路に渡します。実際に使われる接続は、現在の選択内容や設定内のポリシーにも左右されます。PROXYに一致しても、サーバーへの接続、認証、宛先へのアクセスが成功するとは限りません。

DIRECT

ローカルネットワークから宛先へ直接接続します。直接接続が必要だと確認済みのドメインやアドレス範囲に適しています。DIRECTを指定しても、DNSエラー、ローカルネットワークの遮断、宛先サービスの障害は解消されません。

REJECT

一致したリクエストを拒否します。明確に遮断する必要がある単独のドメインやアドレスに適しています。ログイン、認証、ページ表示に必要なリソースまで遮断しないよう、対象範囲を先に確認してください。

たとえばDOMAIN,metrics.example.com,REJECTは、このサンプルホスト名の処理を指定します。通常のコンテンツと遮断したいリクエストが同じドメインを共有している場合、DOMAINやDOMAIN-SUFFIXではWebページのパスに基づいて両者を分けられません。ドメイン全体をREJECTにすると、画像が表示されない、ボタンが動作しない、ページの読み込みが中断するといった問題が起きる場合があります。

• 例外として直接接続する場合：具体的なDOMAINのDIRECTルールを、より広い範囲のPROXYルールより前に置きます。
• 特定のドメインを遮断する場合：リクエスト記録で実際のホスト名を確認してからREJECTを追加します。ページ上の表示だけからドメインを推測しないでください。
• IPで分類する場合：宛先アドレス、マスク、データベース上の分類を確認します。GEOIPをドメインの所在地域を保証するものとして扱わないでください。

ルールは通信先を決め、プロトコルはProxy接続の確立方法を決めます。PROXYに対応する接続を別のプロトコルに変えても、DOMAIN-SUFFIXの一致範囲は変わりません。まず「正しい経路を通っているか」を確認し、その後で経路上の接続が正常に確立できるかを調べます。

変更と確認：コピーを保存し、一致したルールを1つずつ確認

以下の手順は、利用可能な接続と既存の設定があることを前提にしています。サブスクリプションと設定ファイルは別のものです。Homeでサブスクリプションを更新しても、現在のConfigのルールが希望どおりの順序に自動調整されるわけではありません。編集前に、実際に選択されているファイルを確認し、復元できるコピーを保存してください。

1. コピーを保存

   Configで現在選択されているファイルを確認し、元のファイルを複製するかバックアップをエクスポートします。リモート更新されるファイルの場合は、更新で編集内容が上書きされないよう、別のローカルコピーを編集します。

2. モードを固定

   Home → Global Routing → Configを開き、現在選択している接続はそのままにします。1回の検証でルーティングモード、接続、ルールファイルを同時に切り替えないでください。

3. ルールを編集

   Config → 現在のファイル右側のⓘ → Edit Plain Textを開き、[Rule]セクションを探します。具体的な例外を範囲ルールより前に移動し、FINALがリスト末尾に1つだけあることを確認して保存します。

4. リクエストを作り直す

   変更後の設定が選択されていることを確認し、接続を確立し直してからテスト対象のページを開き直します。長時間接続は以前のセッションを使い続ける場合があります。古い接続が再利用されているページを更新しただけで判断しないでください。

5. 記録を確認

   今回のリクエストの接続記録を開き、宛先のドメインまたはIP、一致したルール、処理ポリシーを確認します。経路が違う場合はルールの順序を調整します。経路が正しいのにアクセスできない場合は、接続自体や宛先サービスを確認してください。

少なくとも3つの対象でテストします。具体的な例外に一致するドメイン、範囲ルールに一致するドメイン、FINALに到達する宛先です。実際にアクセスする権限があり、想定経路を把握している対象を使ってください。この記事のexample.com系の名前は構文の説明用であり、接続テストの結果を示すものではありません。

よくある質問：ルールが反映されないときの確認箇所

記録にある宛先が想定したドメインと異なる場合は、ページのリダイレクト、リソースのドメイン、今回の接続で実際に使われたアドレスを確認します。1つのページでも通常は複数のリクエストが発生します。入口のドメインにDIRECTを追加しても、ページ内のすべてのリソースが同じルールに一致するとは限りません。DOMAIN-SUFFIXの範囲を繰り返し広げるより、記録を見ながら個別に確認するほうが影響を抑えられます。

• 保存前：ルールの構文、セクション、例外の位置、FINALが1つだけであることを確認します。
• テスト前：選択中のファイル、Configモード、接続を確認し、複数の条件を同時に変更しないようにします。
• 確認後：動作するコピーを保存してからルールを追加します。問題が起きたら、直前に検証済みの設定へ戻します。