Приоритет правил: почему порядок решает всё

У движка правил один железный закон: сверху вниз, первое совпадение побеждает, стоп. Нет никакого «более точное правило главнее» — есть только «более раннее правило главнее».

Случай 1: широкое правило слишком рано

- DOMAIN-KEYWORD,google,Proxy
- DOMAIN,dl.google.com,DIRECT   # никогда не сработает

Хотели пустить обновления Chrome напрямую (у них локальный CDN), но KEYWORD выше заглатывает всё со словом google — вторая строка мертва. Поменяйте строки местами.

Случай 2: страховка в середине списка

- GEOIP,CN,DIRECT
- DOMAIN-SUFFIX,steamcommunity.com,Proxy  # может не сработать

Если steamcommunity разрешился в IP местного CDN, GEOIP срабатывает первым, и доменное правило ниже не выполняется. Геостраховки (GEOIP, MATCH) — строго в самый конец.

Надёжный шаблон порядка

1. Локальные/приватные диапазоны → DIRECT;
2. Явные исключения (конкретные домены принудительно DIRECT/Proxy/REJECT);
3. Массовые доменные правила (наборы правил);
4. GEOIP,CN,DIRECT;
5. MATCH.