切换后立即生效：黑洞 = NXDOMAIN，0.0.0.0 = 返回空地址，仅记录 = 放行但写日志（先侦察再加规则）。

通配 *.xxx.com 同时匹配 xxx.com 本身；放行优先级高于拦截，用于保住 CDN 避免 App 打不开。