分享一下我自用的 Surge 分流规则

原创

sspsec
sspsec

SSP安全研究

2026年10月10日 11:09
安徽

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

用 Surge 这么多年，网上的规则集试了个遍，始终有一个别扭的地方：所有国内流量都被笼统地丢给 DIRECT，一条直连了事。但我的真实场景是双网卡——有线接办公网，无线开热点，办公和娱乐混在同一条通道里，总觉得不干净。

所以我干脆自己写了一套配置，叫 SurgeFlow，自己用了挺久，这次整理出来开源分享。

它解决什么问题

核心思路：把两条物理网卡变成两条独立通道。

微信走有线，B站走热点，两条路物理隔离，互不干扰。有线断了也不用手动切——国内直连 是个 fallback 组，会自动降级到热点，检测窗口我收得很紧（interval=10、timeout=2），拔线几乎无感切换。

几个我比较得意的设计

1. 钓鱼域名直接拦截

接了 phishing.army 的 extended 规则库，12 万多条钓鱼域名每日更新，命中直接 REJECT。关键是这条不走「广告拦截」策略组——没有豁免出口，不存在手滑放行。

2. 无效节点过滤

服务商的节点列表里总混着「直连测试」「官网」「剩余流量」这类占位条目，延迟好看但不干活，会把 url-test 带偏。我在订阅源、自动选择、节点选择三处都加了同一条正则，源头过滤，下游全部继承：

policy-regex-filter=(?i)^(?!.*(?:直连|官网|到期|剩余|流量|重置|群组|公告|订阅|v6|4g|5g)).*$

3. 网络健康面板

写了个每 60 秒刷新的面板脚本（network\_health.js），当前网卡、国内出口实际走了哪条通道、直连和 DoH 延迟，一屏看完，状态分「正常 / 降级 / 异常」三档。

4. 隐私默认拉满

• DoH 加密域名解析（阿里 dns.alidns.com）
• MITM 关闭，不留存证书数据
• HTTP API 只允许 127.0.0.1 回环访问

5. 校园网/VPN 兼容

内网网段全部排除在 TUN 接管之外，EasyConnect 全隧道 VPN 同时开不会断网；DNS 以 system 优先，在公司/学校自动走内网 DNS 解析内网域名，回家自动回退公网 DNS，配置里没有硬编码任何内网地址。

其他细节

• 全部 36 个策略组用在线图标，组名不带 emoji，面板干净；
• 规则全部是在线规则集（blackmatrix7、skk-moe、666OS、phishing.army），自动更新，本地只留十几条自定义；
• 换服务商、换内网域名、换网卡名，改配置里几个占位符就能用，文档里写得清清楚楚。

获取方式

配置文件和完整使用文档都开源在 GitHub，需要的自取：

https://github.com/sspsec/SurgeFlow

觉得有用的话，去给个 Star 就是最好的支持。有问题欢迎在仓库提 Issue，或者评论区留言。