公司域内网代理与本地 Clash 协同分流配置：解决企业内网打卡与翻墙冲突

很多职场人在使用公司电脑时经常遇到两难境地：打开 Clash 查阅海外技术文档或使用 GitHub Copilot，公司的内部 OA 系统、考勤打卡或内网代码库（如 GitLab / Jira）就直接断连打不开；关掉 Clash 办公，又无法正常进行海外调研。

本文详解如何利用 Clash 的自定义规则与分流策略，让公司内网流量与海外加速流量和谐共存。

一、核心痛点产生的原因

1. 虚拟网卡路由抢占：公司内网 VPN（如 Cisco AnyConnect、Pulse Secure、EasyConnect）与 Clash 的 TUN 模式同时争夺系统的默认路由网关。
2. 内网域名被 Fake-IP 劫持：Clash 的 Fake-IP 机制将公司内网域名（如 *.corp.mycompany.com）解析为了虚拟 IP 198.18.x.x，导致系统无法向公司内网 DNS 服务器发起真实解析。

二、三步实现完美协同分流

第一步：在 Clash 中添加公司私有域名 Fake-IP 过滤名单

打开 Clash Verge Rev -> 设置 -> DNS（或在扩展配置中编辑），将公司的内部主域名加入 fake-ip-filter：

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-filter:
    - "*.corp.mycompany.com"
    - "*.internal.local"
    - "*.oa.mycompany.com"
    - "10.0.0.0/8"
    - "172.16.0.0/12"
    - "192.168.0.0/16"

这样 Clash 遇到公司内网域名时将直接透传，由本地或内网 DNS 服务器负责解析。

第二步：在规则顶部添加 DIRECT 强制直连规则

在您的规则集最前列，加入针对公司内网 IP 段与域名的强制放行规则：

rules:
  # 公司内网域名直接放行
  - DOMAIN-SUFFIX,corp.mycompany.com,DIRECT
  - DOMAIN-SUFFIX,mycompany.local,DIRECT
  - DOMAIN-KEYWORD,internal-oa,DIRECT

  # 公司专用私有网段直连
  - IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
  - IP-CIDR,172.16.0.0/12,DIRECT,no-resolve
  - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve

  # 其余常规海外流量走代理
  - GEOIP,CN,DIRECT
  - MATCH,节点选择

第三步：优先启动内网 VPN，再启动 Clash

若公司使用的是深信服 EasyConnect 或 Cisco AnyConnect：

1. 先连接公司内网 VPN，让其建立底层虚拟网卡。
2. 然后启动 Clash Verge，并确认运行模式为 Rule (规则模式)。
3. 此时访问内网 OA 自动走直连，访问 Google 与海外 API 自动走专线加速，两者互不影响。