非 fake-ip 透明代理的情况下，规则中的 no-resolve 的行为

[kery]

在透明代理的情况下，客户端是直接使用被请求服务器的 IP 地址访问的，也就是说，mihomo 一开始就知道 IP 地址。在匹配流量时，如果遇到一条加了 no-resolve 的 IP 规则，按理说是可以直接进行匹配的（fake-ip 模式除外）。但据我测试发现，视乎不是这样，mihomo 会跳过这条规则。这是故意这样设计的吗？

[Dv2Corn]

IP 规则本身不是这样设计的；被跳过，基本是因为开了 sniffer：默认的 override-destination: true 会在嗅探到域名后把目标 IP 清空，no-resolve 的 IP 规则就没有 IP 可比了。

过程是这样的：

1. 透明代理进来的连接只有 IP、没有域名。sniffer 默认 parse-pure-ip: true，这种连接也会去嗅探（dispatcher.go#L64-L66，默认值见 config.go#L590-L599）。
2. 从 TLS SNI / HTTP Host / QUIC 里拿到域名后，如果 override-destination 为 true，就把 Host 换成这个域名，并把 DstIP 置空（dispatcher.go#L169-L181）。嗅探发生在规则匹配之前（tunnel.go#L530 先嗅探，L554 再匹配规则）。
3. IP-CIDR 规则只比较 metadata.DstIP，IP 无效就不匹配；不带 no-resolve 时会先解析一次再比（ipcidr.go#L38-L48）。所以带 no-resolve 的规则直接被跳过；不带的话，拿来比的是重新解析出来的 IP，不一定是客户端原来连的那个。

没被嗅探到的连接（非 TLS/HTTP/QUIC，或者端口不在 sniffer 的 ports 里）IP 一直保留，no-resolve 规则照常能匹配。所以看起来会像是“有时生效、有时不生效”。

我用 1.19.31 测过：规则 IP-CIDR,192.0.2.0/24,REJECT,no-resolve + MATCH,DIRECT，用 IP 目标连 192.0.2.1:443 并发带 SNI 的 ClientHello：

• 不开 sniffer：match IPCIDR(192.0.2.0/24) using REJECT
• 开 sniffer（默认）：replace domain []-->[www.example.com]，然后 match Match/ ... --> www.example.com:443
• 开 sniffer + override-destination: false：又变回 match IPCIDR(192.0.2.0/24) using REJECT

解决办法，按需选一个：

sniffer:
  enable: true
  # 1. 嗅探到的域名只用于域名规则（记在 SniffHost 里），不覆盖目标，IP 规则照常可用
  override-destination: false
  # 也可以只对某个协议关掉：sniff: { TLS: { ports: [443, 8443], override-destination: false } }

  # 2. 或者这些网段不嗅探，IP 保持原样
  skip-dst-address:
    - 192.0.2.0/24

  # 3. 或者干脆不嗅探纯 IP 连接（透明代理下大部分连接就不再有域名了）
  # parse-pure-ip: false

override-destination: false 时，域名规则仍然用嗅探到的域名匹配（RuleHost() 优先取 SniffHost，metadata.go#L270-L276），只是发给节点的仍是原始 IP。如果你是靠 sniffer 让节点按域名连接（比如避免 DNS 污染的 IP），就用第 2 种，只对需要按 IP 分流的网段跳过嗅探。

开 log-level: debug 看日志，出现 [Sniffer] ... replace domain 的连接就是这种情况。

[kery]

感谢！解释得很清楚。