Aegis 包含哪些内容
- ThoseYearsBrian
- Concepts
- 07 Jan, 2026
Aegis 是一个基于 Surge 的个人数字防火墙规则集，
帮助用户在 iOS 与 macOS 本地实现流量的精准识别与分类，并根据自身需求自主设定流量策略。
Aegis 并不是传统意义上的防护软件，也不会自动替你做出安全决策。
它是一套用于识别和呈现网络通信行为的规则集。
在实际使用中，Aegis 会对网络通信进行识别和分类，
帮助你更清楚地理解不同应用和服务的通信行为。
规则命中仅表示通信被识别，用于描述其类型和行为特征，本身不承担风险判定的职责。
基于这些可见的信息，用户可以根据自身的使用场景和需求，自主设定对应的流量策略。
这一过程并不复杂，也不依赖频繁调整，而是随着长期使用，逐步建立起一套稳定、可持续的判断方式。
在此基础上，Aegis 规则集也可以作为流量分流的依据使用。
通过对不同通信行为的识别与分类，用户可以将流量路由到不同的策略、节点或处理方式，而不再局限于简单的放行或拦截。
Aegis 包含哪些内容
Aegis 并不是一个单一功能的规则集合，而是一组围绕网络通信可见性、可理解性与可控性构建的规则体系。它所包含的内容，主要体现在以下几个方面。
全面采用加密 DNS，拒绝明文请求
在网络通信中，DNS 查询往往是最容易被忽视、却又高度敏感的一环。
Aegis 的规则设计默认假设：明文 DNS 请求不应成为常态。
因此，相关规则会优先引导或约束通信行为使用加密 DNS 方式，从而避免域名解析过程被明文暴露或被中间节点篡改。这一设计并不是为了“强制封锁”，而是为用户提供一个更安全、更符合现代网络环境的默认通信前提。
专注于识别应用层与传输层的潜在通信威胁
Aegis 的识别重点并不局限于单一协议或单一场景，而是聚焦于应用层与传输层中真实发生的通信行为。
通过规则匹配，Aegis 会尝试识别不同应用、服务或组件在通信过程中的行为特征，例如是否涉及第三方服务、是否存在异常的请求模式，或是否与已知的跟踪、统计、分发机制相关。
这些识别结果并不直接等同于风险判断，而是为用户提供理解通信行为的基础信息。
10+ 预置规则模块，用于网络流量的识别与分类
为了更好地组织与维护规则，Aegis 将规则集划分成多个模块:
| 模块编号 | 模块名称 | 文件名 | 模块说明 | 判定标准 |
|---|---|---|---|---|
| ① | 不受信任的证书机构 | CA_Block.list | 标记存在滥发或吊销记录的 CA 根证书、OCSP 接口与吊销列表（CRL）域名，适用于强化数字信任链场景（高级模块-默认不启用） | 存在证书滥发、伪造签发或被吊销的行为记录 |
| ② | 广告域名识别 | AdDomain.list | 涵盖商业广告投放、社交像素追踪、行为分析与第三方统计 SDK 等域名识别（识别模块-默认不启用） | 依据投放行为特征与数据收集模式进行识别，区分于遥测监听类通信 |
| ③ | 成人内容识别 | AdultDomain.list | 涵盖全球主流成人平台相关域名识别（识别模块-默认不启用） | 与成人内容传播直接关联的域名 |
| ④ | PCDN 通信识别 | PCDNDomain.list | 疑似“共享带宽”架构的链路通信行为，涉及设备转发、缓存中继与分布式分发节点识别（识别模块-默认不启用） | 依据通信路径与节点分布模式，涉及多级链路的中继、缓存与转发特征 |
| ⑤ | 监听与节点识别 | InspectionDomain.list | 链路层或出口级别的主动干预行为，包括 DPI 探测、DNS 污染、HTTP 注入与中间人监听等识别（识别模块-默认不启用） | 依据通信异常特征识别流量篡改、重定向与注入行为，常见于链路干预环境 |
| ⑥ | 行为分析 / 遥测节点识别 | BehaviorDomain.list | 具备行为指纹特征的云服务节点，包含遥测 SDK、分析平台及行为建模服务。依据 DNS 模式、TLS 握手、CDN 请求等特征识别（识别模块-默认不启用） | 聚焦行为分析型 SDK 的通信特征，依据 DNS/TLS 报文与行为模式判断识别，排除广告类与后台上传类 SDK。 |
| ⑦ | 后台回连与静默通信节点拦截 | Background_Block.list | 识别 IoT、NAS 或 SDK 中具备配置上传、设备回连等特征的域名，协助识别监听类静默通信（拦截模块-默认启用） | 聚焦监听型 SDK 的后台连接行为，依据通信频率、回连路径与数据上传特征识别，排除广告与行为建模类 SDK。 |
| ⑧ | 后门控制与植入通信节点拦截 | Backdoor_Block.list | 默认拦截具有远控、反连、心跳等恶意特征的通信行为，如 RAT、Sliver、Metasploit 等基础设施（拦截模块-默认启用） | 明确具备恶意通信模式或与植入攻击行为直接关联 |
| ⑨ | 僵尸网络与控制节点拦截 | Botnet_Block.list | 默认拦截已知 Botnet 控制源、DDoS 节点、批量控制基础设施等通信路径（拦截模块-默认启用） | 来源于公开报告，具备明确归属与可验证情报链 |
| ⑩ | APT 攻击源拦截 | APT_Block.list | 默认拦截已知 APT 攻击组织的 C2 基础设施，附带归属国编号与 IOC 来源（拦截模块-默认启用） | 来源于公开报告，具备明确归属与可验证情报链 |
| ⑪ | Pegasus 间谍软件通信节点拦截 | Pegasus_Block.list | 收录 Amnesty 公布的 Pegasus 控制器与命令节点，用于识别极高风险监听通信（拦截模块-默认启用） | 基于 Amnesty 公开披露的 Pegasus 控制节点，具监听风险 |
| ⑫ | 网络钓鱼拦截 | Phishing_Block.list | 默认拦截网络钓鱼攻击相关域名，涵盖假冒登录页面、伪装官网、钓鱼邮件链接等典型社会工程攻击行为（拦截模块-默认启用） | 来源于公开报告，具备明确归属与可验证情报链 |
| ⑬ | 网络欺诈拦截 | Scam_Block.list | 默认拦截声誉极低、存在欺诈、虚假服务或用户举报的可疑网站域名（拦截模块-默认启用） | 来源于公开报告，具备明确归属与可验证情报链 |
| ⑭ | 风险通信观察列表 | Quarantine_Block.list | 用于纳入尚未确认恶意、但具备异常通信特征的域名与 IP，涵盖用途不透明或使用非公开协议、非常规端口的通信行为，并采取防御性阻断策略以降低潜在风险（观察模块-默认启用） | 基于异常通信行为特征识别，风险尚未完全确认，采取隔离观察策略以便后续分析与校验 |
通过预置的多个规则模块，Aegis 将不同类型的通信识别需求进行拆分，使每一组规则都具备相对明确的关注点。用户可以根据自身的使用场景，选择启用或停用特定模块，而不必一次性接受全部规则内容。
这种结构使规则体系既保持整体一致性，又具备可选择性与可扩展性。
扩展对全球主流广告、行为追踪与成人内容平台的域名识别
在实际网络环境中，许多通信并非直接来自应用本身，而是来自广告平台、统计服务、行为追踪系统或特定内容平台。
Aegis 的规则集覆盖了大量全球范围内常见的此类域名，用于识别这些通信在网络中的出现频率与行为特征。这种识别并不等同于默认拦截，而是为用户提供一个判断依据，使其能够清楚知道某次通信的来源与用途。
是否进一步限制、分流或观察这些通信，始终由用户自行决定。
采用可选区域分流等模块化设计,支持根据自身需求自主设定流量策略
在通信被识别并分类之后，Aegis 并不会预设统一的处理方式，而是为用户提供制定流量策略的基础条件。
基于规则命中的结果，用户可以按照通信的来源、类别或用途，自行设计不同的分流逻辑。例如，将不同类型的流量交由不同策略处理，或针对特定区域、服务类型设定更符合自身网络环境的路由方式。
这种分流能力并非强制启用，而是作为一种可选工具存在。用户可以在充分理解通信行为的前提下，逐步引入可选区域分流策略，而不必一次性对所有流量做出复杂配置。
通过这种方式，网络策略不再局限于简单的“允许或阻断”，而是能够根据实际使用场景进行更细致、更可控的调整，同时保持整体规则体系的清晰与可维护性。
适合什么样的用户
Aegis 并非面向所有人，但对于那些重视网络行为理解与自主控制的用户，它具有独特价值。如果你符合以下情况之一，Aegis 很可能适合你：
- 希望掌握设备上的流量结构与行为类型，而不是盲目允许或屏蔽
- 想构建更细粒度、更符合自身场景的流量策略
- 重视规则透明、可审计与可持续维护
- 希望避免黑盒式判断，而是基于规则与事实做出决策
对于只是追求“默认上网体验顺畅”的用户来说，Aegis 也不会破坏正常的网络访问行为，但深入使用 Aegis 能更好地掌握网络通信的细节。
下一步可以做什么
当你阅读完这篇文章之后，可以根据自己的目标继续探索：
- 查看《如何使用 Aegis 规则集》，了解实际使用方法
- 观看针对 iOS 视频教程 与 macOS 视频教程，加深理解
- 在 GitHub 上查阅完整规则与模块说明
结合这些资源，你可以从理论理解逐步过渡到实际应用，并在自己的设备上制定更符合场景需求的策略。
