从域名，到访问协议。
按完整域名、域名后缀或关键字匹配，也可按 IP 网段、GeoIP 国家、目标端口与网络协议选择动作。
公司业务走代理。日常访问可直连。
在 Surge 6、Mihomo 或 Shadowrocket 中按规则选择路径，让同一台设备的不同业务使用不同出口。
了解业务规则按访问目标，选择路径。
公司业务选择指定 Relay，常用服务可按规则包处理，需要拦截的目标选择拒绝。
一组服务，用规则包管理。
从规则包目录选择业务分类，查看包内目标，再设置统一动作。发布版本使用所选规则包版本。
具体规则，放在前面。
业务规则按顺序匹配，先命中决定访问方式。把公司业务放在通用规则之前，未命中则使用默认动作。
这类业务，
使用云脉出口。
为规则选择「到达 Connector 后通过云脉代理」，再选已购买或自带的 Cloud Pulse。匹配的访问沿 Relay 到最终 Connector，由节点使用 SOCKS5 服务。
代理凭据由节点使用，不放入员工客户端配置。这类规则使用 Relay，不能选择直连 Gateway。
了解 Cloud Pulse →发布新规则，刷新原订阅。
选择 Surge 6、Mihomo（Clash 格式）或 Shadowrocket 对应的订阅。管理员保存草稿时，设备继续使用已发布配置；发布后，员工刷新原链接，获取并启用新规则。
规则包目录出现新版，不会自动改写已经发布的配置。查看包内目标，选择需要的版本，再发布更新。
了解客户端订阅 →常见问题。
「直连」和「直连 Gateway」是一回事吗？
客户端的「直连」动作使用设备本地网络访问目标。具备本机 AnyTLS 能力并开启直连模式的 Gateway，仍是代理节点；选择它后，访问会经过这台 Gateway。
自定义规则能覆盖平台安全规则吗？
不能。客户端的平台安全规则排在业务规则之前：本机、私网、链路本地及明确的 AXVIA 控制域名使用直连，已知云元数据端点拒绝访问。其他业务规则按顺序匹配。
客户端分流和节点分流，怎么选？
需要 Surge 6、Mihomo 或 Shadowrocket 在设备上选择路径，使用客户端分流。需要入口或出口节点统一处理经过它的访问，使用节点分流。客户端的解析、启用及连接失败处理取决于所用软件，两类策略分别管理。