Порядок правил: что срабатывает первым

Правила читаются сверху вниз, и решает первое совпавшее. Половина случаев «правило есть, а не работает» объясняется одной строкой, стоящей выше.

Механика в одном абзаце

Когда появляется новое соединение, приложение читает список правил сверху вниз и останавливается на первом, чьё условие совпало. Остальные строки не проверяются вовсе — даже если ниже стоит более точное правило именно для этого адреса.

Отсюда единственное правило компоновки: чем шире условие, тем ниже строка. Точечные исключения сверху, широкие мазки снизу, общее правило в самом низу.

# правильный порядок

1. bank.primer.ru          -> напрямую     (точечно)
2. *.primer.ru             -> через сервер (шире)
3. локальная сеть          -> напрямую     (отдельный случай)
4. всё остальное           -> через сервер (общее правило)

В этом списке банк уйдёт напрямую, потому что его строка стоит выше правила на весь домен. Поменяйте первые две строки местами — и банк уйдёт через сервер, хотя исключение для него никуда не делось.

Как это выглядит на практике

Как найти виновную строку

1. Определите, куда реально идёт соединение

   Не гадайте. Порядок проверки занимает минуту и даёт однозначный ответ.

2. Отключите общее правило на минуту

   Если поведение изменилось — перехватывало оно. Если нет — ищите среди исключений что-то более широкое, чем казалось.

3. Двигайте свою строку вверх по одной позиции

   И после каждого шага проверяйте. Как только заработало — вы нашли соседа, который её перекрывал.

4. Проверьте, что подъём ничего не сломал

   Поднятая строка теперь перехватывает больше. Что проверять.

Почему нельзя сделать «умный» порядок автоматически

Приложение не знает, что для вас важнее. Строка «домен банка напрямую» и строка «весь домен через сервер» с его точки зрения равноправны, и выбрать между ними может только человек. Поэтому порядок задаёте вы, а приложение честно исполняет то, что задано.

Единственное, что оно делает само, — читает список сверху вниз и останавливается на первом совпадении. Это простое правило, и вся сложность настройки сводится к тому, чтобы держать его в голове при каждой правке.

Типовая раскладка

Локальная сеть стоит выше всего не случайно: если она уедет в туннель, вы потеряете доступ к домашним устройствам, и это самая обидная поломка из всех — её труднее всего связать с настройкой обхода.

Две ловушки

Правило шире, чем кажется

Строка на домен покрывает и все поддомены. Правило на primer.ru перехватит и lk.primer.ru, и api.primer.ru. Обычно это то, что нужно, — но если для одного из поддоменов требуется другой маршрут, его строка должна стоять выше.

Дубли, о которых забыли

Одна и та же строка, добавленная дважды с разными исходами, — частая история при переезде между наборами. Работает верхняя, нижняя не делает ничего, и вы правите не ту. Поэтому список стоит держать коротким и записывать в заметку.

Почему нельзя «просто добавить в конец»

Соблазн понятный: новая строка дописывается туда, где место, — то есть в конец списка. Но в конце уже стоит общее правило, и всё, что ниже него, бесполезно: соединение до этих строк не доходит. Именно так рождается самая частая жалоба раздела — «правило есть, а не работает».

Поэтому у списка есть постоянная структура: исключения растут сверху, общее правило всегда остаётся последней строкой. Если приложение добавляет новые строки в конец автоматически, после каждой правки проверяйте, куда уехало общее правило.

Как проверить порядок, не проверяя каждый сервис

1. Прочитайте список сверху вниз и найдите общее правило. Оно должно быть последним.
2. Посмотрите на строки выше: от самых узких к самым широким. Если широкая стоит выше узкой — они поменяны местами.
3. Найдите дубли: одна и та же строка дважды с разным исходом. Нижнюю удалите.
4. Проверьте, что локальная сеть стоит первой строкой.
5. Пройдите проверку из четырёх пунктов — она поймает то, что вы пропустили глазами.