Clash梯子网

⚡ 30 秒快速理解 sing-box (Quick Answer)#

在开始配置前，请先掌握关于 sing-box 的三个核心认知：

1
┌───────────────────────────────────────────────────────────┐
2
│ 1. sing-box 是一个「底层代理核心 (Core)」，不等于单一客户端软件。 │
3
│ 2. sing-box 采用「JSON 格式」配置，原生不支持旧版 Clash YAML 语法。 │
4
│ 3. 普通用户既可以通过「命令行 Core」运行，也可以配合「图形 GUI 客户端」使用。 │
5
└───────────────────────────────────────────────────────────┘

• 数据流转简图：

  1
  [用户 / 应用程序] ──► [GUI 前端 / CLI] ──► [JSON 配置文件] ──► [sing-box Core 内核] ──► [DNS / Route / TUN] ──► [远端节点]

• 新手上手原则：不要一上来就手工编写数百行的复杂 JSON 配置。优先选用支持 sing-box 的跨平台图形客户端，直接导入服务商提供的标准订阅，待熟悉后再尝试定制分流规则。

💻 跨平台支持与使用形态对照表 (表 1)#

sing-box 在各大操作系统上的主流运行形态与上手门槛如下：

🚀 核心协议快速特性对比表 (表 2)#

sing-box 广受推崇的核心原因之一是对现代前沿协议的原生极速支持：

一、Sing-box 是什么？#

sing-box 是一个通用的网络代理框架与核心平台。

它并不是一个简单的浏览器插件或单一翻墙工具，而是一个集成了多种网络模块的强大引擎：

• 入站模块 (Inbounds)：支持 HTTP、SOCKS5、Mixed、TUN 虚拟网卡、Redirect、TProxy 等多种流量捕获方式。
• 出站模块 (Outbounds)：支持 Shadowsocks、VMess、VLESS、Trojan、Hysteria 2、TUIC、WireGuard、Tor、Direct（直连）、Block（拦截）等全协议转发。
• 路由分流引擎 (Route)：基于域名、IP、GeoIP、GeoSite、规则集（Rule-Set）执行微秒级精确流量判定。
• 内置 DNS 模块：具备分流 DNS 解析、Fake-IP 映射与防污染解析能力。

二、Sing-box 和 Clash / Mihomo 有什么区别？ (表 3)#

📌 技术结论：两者均为当前顶级的开源代理项目，并不存在谁淘汰谁的关系。追求新协议极速体验与轻量资源消耗可选 sing-box；追求成熟图形界面与丰富分流规则组可选 Clash Verge Rev。

三、Sing-box Core 与 GUI 客户端是什么关系？#

1
┌───────────────────────────────────────────────────────────┐
2
│                 图形化前端 (GUI Front-end)                 │
3
│  (提供可视化开关、订阅一键拉取、节点延迟测速、分流策略点击切换)    │
4
└─────────────────────────────┬─────────────────────────────┘
5
                              │ 生成 / 加载
6
┌─────────────────────────────▼─────────────────────────────┐
7
│                 sing-box 配置文件 (config.json)           │
8
│  (包含 log, dns, inbounds, outbounds, route 等核心数据结构)│
9
└─────────────────────────────┬─────────────────────────────┘
10
                              │ 解析并执行
11
┌─────────────────────────────▼─────────────────────────────┐
12
│                    sing-box Core 核心引擎                  │
13
│  (执行底层网络监听、虚拟网卡拦截、TLS 加解密、协议出站转发)   │
14
└───────────────────────────────────────────────────────────┘

• sing-box Core 相当于汽车的“发动机”；
• GUI 客户端 相当于汽车的“中控屏幕与方向盘”；
• config.json 相当于注入发动机的“行车电脑控制程序”。

普通用户日常操作的是 GUI 界面，GUI 负责将用户的点击转化为标准的 JSON 配置并指令 Core 执行。

四、下载或安装前需要确认什么？#

在配置 sing-box 前，请确认以下四项关键信息：

1. 客户端形态选择：决定是使用带界面的 GUI 客户端，还是使用终端纯命令行运行。
2. CPU 架构：Windows（x64 / ARM64）、Mac（Apple Silicon M 系列 / Intel x64）、Android（arm64-v8a）。
3. 节点协议类型：确认你的服务提供商节点是 Hysteria 2、TUIC、VLESS 还是传统 Shadowsocks。
4. 订阅格式支持：确认机场后台是否提供直接复制的 sing-box 专用订阅格式，或是否需要借助客户端内置的订阅转换。

五、Sing-box 官方下载渠道#

请始终认准官方开源仓库与文档发布渠道：

• 🌐 GitHub 官方开源仓库：SagerNet/sing-box Releases
• 📖 官方配置手册与开发文档：sing-box.sagernet.org

🔒 【安全防坑提醒】：绝不要从第三方未经验证的博客网盘或网上传播的“魔改汉化包”下载 Core 二进制程序，防止被注入后门盗取账号密码与加密流量。

六、Windows 平台安装与使用指引#

1. 下载官方程序包：在 GitHub Release 页面下载对应的 sing-box-x.x.x-windows-amd64.zip。
2. 解压至纯英文目录：解压至如 D:\Program Files\sing-box\ 目录，解压后得到 sing-box.exe。
3. 放置配置文件：将你的 config.json 放在同级目录下。
4. 命令行运行测试：

   1
   # 检查配置语法是否正确
   2
   .\sing-box.exe check -c .\config.json
   3
   # 启动核心
   4
   .\sing-box.exe run -c .\config.json

5. 图形界面推荐：小白用户更建议使用集成了 sing-box 内核的第三方 GUI 客户端，免去手动维护 JSON 的繁琐。

七、macOS 平台安装与使用指引#

1. 芯片架构选择：M1/M2/M3/M4 芯片选择 darwin-arm64；Intel 芯片选择 darwin-amd64。
2. 官方 App 安装：可直接安装官方发布的 macOS 图形客户端，拖入 Applications 文件夹。
3. 授予系统权限：首次开启 TUN 模式或系统扩展时，Mac 会弹出“添加 VPN 配置”或“系统扩展已阻止”提示，需进入 「系统设置」 $\rightarrow$ 「隐私与安全性」 点击允许。

八、Android 平台安装与使用指引#

1. 获取 APK 安装包：在官方 Release 页面下载 sing-box-x.x.x-android-arm64-v8a.apk。
2. 导入配置/订阅：
   • 打开 App，点击底部 「Profiles (配置)」。
   • 点击右上角 「+」，选择 「New Profile」 $\rightarrow$ 类型选择 「Remote」（输入订阅 URL）或 「Local」（导入本地 json 文件）。
3. 开启 VPN 服务：
   • 回到主界面，点击中央启动大按钮。
   • 弹出系统网络连接请求时点击“确定”，状态栏出现钥匙图标即代表 VPN 启动成功。
4. 后台保活设置：在系统电池设置中将 sing-box 设置为“无限制/允许后台高耗电”，防止被系统杀后台断网。

九、iOS / iPadOS 平台使用指引#

• 官方客户端获取：使用非中国大陆地区的 Apple ID，登录 App Store 搜索下载 sing-box 官方 App。
• 兼容客户端生态：除官方 App 外，iOS 上著名的网络工具（如 Shadowrocket、Loon、Surge 等）在新版本中亦深度集成了对 Hysteria 2 与 VLESS Reality 协议的支持。
• 配置导入：打开 App 后点击 Profiles，粘贴订阅链接拉取配置，开启主开关并允许添加 VPN 配置即可。

十、Linux 平台安装与 Systemd 守护进程部署#

在 Linux 服务器、NAS 或软路由上部署：

1
# 1. 赋予执行权限并移动到系统路径
2
sudo cp sing-box /usr/local/bin/
3
sudo chmod +x /usr/local/bin/sing-box
4

5
# 2. 创建配置目录与配置文件
6
sudo mkdir -p /etc/sing-box
7
sudo nano /etc/sing-box/config.json
8

9
# 3. 创建 Systemd 服务文件
10
sudo nano /etc/systemd/system/sing-box.service

写入以下标准服务定义：

1
[Unit]
2
Description=sing-box service
3
Documentation=https://sing-box.sagernet.org
4
After=network.target nss-lookup.target
5

6
[Service]
7
CapabilityBoundingSet=CAP_NET_ADMIN CAP_NET_BIND_SERVICE CAP_NET_RAW
8
AmbientCapabilities=CAP_NET_ADMIN CAP_NET_BIND_SERVICE CAP_NET_RAW
9
ExecStart=/usr/local/bin/sing-box run -c /etc/sing-box/config.json
10
Restart=on-failure
11
RestartSec=5s
12
LimitNOFILE=infinity
13

14
[Install]
15
WantedBy=multi-user.target

1
# 4. 启动并设置开机自启
2
sudo systemctl daemon-reload
3
sudo systemctl enable --now sing-box
4
sudo systemctl status sing-box

十一、JSON 配置文件基础概念#

sing-box 放弃了 YAML 而全面采用 JSON (JavaScript Object Notation) 格式：

• 优势：语法严谨、机器解析性能极高、无缩进歧义。
• 编写注意事项：所有的键名与字符串值必须使用双引号 ""，数组元素之间用英文逗号 , 分隔，最后一个元素末尾严禁多留逗号。

十二、最小可用 JSON 配置结构拆解#

以下是一份标准且安全的 sing-box 客户端基础配置框架（所有凭据与域名均采用占位符，仅供结构理解）：

1
{
2
  "log": {
3
    "level": "info",
4
    "timestamp": true
5
  },
6
  "dns": {
7
    "servers": [
8
      {
9
        "tag": "dns-remote",
10
        "address": "tls://8.8.8.8",
11
        "detour": "proxy-out"
12
      },
13
      {
14
        "tag": "dns-local",
15
        "address": "223.5.5.5",
16
        "detour": "direct-out"
17
      }
18
    ],
19
    "rules": [
20
      {
21
        "outbound": "any",
22
        "server": "dns-local"
23
      },
24
      {
25
        "rule_set": "geosite-cn",
26
        "server": "dns-local"
27
      }
28
    ]
29
  },
30
  "inbounds": [
31
    {
32
      "type": "mixed",
33
      "tag": "mixed-in",
34
      "listen": "127.0.0.1",
35
      "listen_port": 2080
36
    }
37
  ],
38
  "outbounds": [
39
    {
40
      "type": "hysteria2",
41
      "tag": "proxy-out",
42
      "server": "example.com",
43
      "server_port": 443,
44
      "password": "example-password",
45
      "tls": {
46
        "enabled": true,
47
        "server_name": "example.com"
48
      }
49
    },
50
    {
51
      "type": "direct",
52
      "tag": "direct-out"
53
    },
54
    {
55
      "type": "block",
56
      "tag": "block-out"
57
    }
58
  ],
59
  "route": {
60
    "rules": [
61
      {
62
        "protocol": "dns",
63
        "outbound": "dns-out"
64
      },
65
      {
66
        "rule_set": "geosite-cn",
67
        "outbound": "direct-out"
68
      },
69
      {
70
        "rule_set": "geoip-cn",
71
        "outbound": "direct-out"
72
      }
73
    ],
74
    "auto_detect_interface": true
75
  }
76
}

十三、Inbound 与 Outbound 核心概念#

• Inbound（入站）：定义 sing-box 如何在本地接收流量。例如开启本地 127.0.0.1:2080 端口监听浏览器 HTTP/SOCKS 代理，或者创建 tun 虚拟网卡接管整机流量。
• Outbound（出站）：定义流量如何离开 sing-box 发往目的地。例如发往自建的 Hysteria 2 节点、发往专线 VLESS 节点、发往 direct（本地直连）、或者发往 block（广告拦截屏蔽）。

十四、Route（路由分流系统）#

Route 是 sing-box 的智能大脑，负责决定每一个连接应该命中哪一个 Outbound：

• 域名规则匹配：如 domain_suffix: ["google.com", "github.com"] $\rightarrow$ 走 proxy-out。
• 地理位置匹配：如 rule_set: "geoip-cn" $\rightarrow$ 走 direct-out 直连，避免国内流量绕道海外。
• 规则优先级：路由规则自上而下逐条匹配，一旦命中立即执行对应出站，后续规则不再扫描。

十五、DNS 模块在 sing-box 中的联动作用#

sing-box 内置了独立的 DNS 解析系统，直接与路由模块绑定：

• 国内域名：分配由国内阿里 DNS (223.5.5.5) 通过 direct-out 解析，获得最近的国内服务器 IP。
• 国外域名：分配由安全加密 DNS (tls://8.8.8.8) 通过 proxy-out 代理通道解析，从根源上杜绝本地运营商的 DNS 污染与劫持。

十六、订阅链接 vs JSON 配置文件 (表 4)#

🔒 安全提醒：订阅与配置凭据严禁泄露#

WARNING

切勿将包含真实节点信息的 JSON 文件、UUID、Hysteria 2 连接密码、Reality 共有密钥（Public Key）或订阅链接发布在公开网络平台！
任何获取到上述凭据的第三方均可直接盗用您的服务器流量配额，甚至通过恶意连接引发您的服务器 IP 被机房风控封停。

十七、Hysteria 2 协议深度解析#

Hysteria 2 是当前对抗网络丢包最强悍的下一代协议：

• QUIC/UDP 底层：彻底摆脱传统 TCP 的三次握手延迟与队头阻塞（Head-of-Line Blocking）问题。
• Brutal 动态拥塞控制：即便在跨洋公网丢包率高达 15%~30% 的极端晚高峰恶劣网络下，依然能跑满用户的物理带宽。
• 标准 TLS 1.3 混淆：流量特征与标准 HTTPS/HTTP3 完全一致，具备极强的抗封锁伪装能力。

十八、TUIC v5 协议深度解析#

TUIC 同样是基于 QUIC 的前沿代理协议：

• 0-RTT 极速建连：利用 QUIC 的会话恢复机制，实现零延迟快速握手，开启网页即时响应。
• 原生多路复用：单个 UDP 链路上承载成百上千个并发数据流，大幅降低移动端电量与 CPU 开销。
• 高并发稳定性：特别适合配合智能手机在 Wi-Fi 与 5G 信号之间频繁切换时的网络无感漫游。

十九、VLESS (Reality) 协议深度解析#

VLESS 是轻量、高效的无状态传输协议，配合 Reality 实现了划时代的抗封锁能力：

• 无状态设计：去除多余的校验开销，传输吞吐性能接近物理极限。
• Reality 证书借用伪装：不需要自建域名和申请 SSL 证书，直接“借用”海外大型正规公司（如 Yahoo、Apple、Microsoft）的真实 TLS 证书作为伪装外壳。
• 主动探测免疫：审查防火墙在发起主动探测时，服务端会原封不动转发目标伪装站的真实证书，使探测器完全无法识别代理特征。

二十、Hysteria 2 vs TUIC vs VLESS 怎么选？ (表 5)#

二十一、高频协议连接故障排查指南#

二十二、TUN 模式与 System Proxy 深度解析#

二十三、TUN 模式开启后无法上网怎么办？#

1. 检查管理员权限：确保是以“管理员身份运行”客户端或赋予了 CAP_NET_ADMIN Linux 内核能力。
2. 排查路由表死循环：确认在配置中开启了 auto_detect_interface: true，防止发往代理服务器的数据包被错误路由回虚拟网卡自身形成死循环。
3. 排查 DNS 污染：参考 Clash 节点全红与网络排障教程 刷新本地网络。

二十四、Logs（运行日志）排错速查表 (表 7)#

观察终端或客户端的日志输出，可秒级定位问题根因：

二十五、常见故障快速入口导航 (表 8)#

二十六、新手常见 10 大错误避坑#

1. ❌ 直接将 Clash YAML 配置文件重命名为 .json：两者结构完全不同，会导致内核解析崩溃。
2. ❌ 混用不同协议参数：在 VLESS 出站配置中填写 Hysteria 2 独有的 Brutal 速率参数。
3. ❌ 未赋权强开 TUN：在非管理员权限下开启 TUN 导致虚拟网卡创建失败并断网。
4. ❌ JSON 格式留有多余逗号：数组或对象最后一个字段末尾留有逗号 , 导致语法校验失败。
5. ❌ DNS 正常时盲目套用复杂脚本：引入不可信的远程规则集导致域名解析异常缓慢。

❓ 常见问题解答 (FAQ)#

📚 官方参考资料与来源说明#

本文技术规范与配置标准依据以下官方项目文档整理：

1. sing-box 官方 GitHub 仓库：SagerNet/sing-box
2. sing-box 官方文档中心：sing-box.sagernet.org
3. Hysteria 2 官方文档：v2.hysteria.network

🏁 总结与进阶实践指南#

sing-box 以其极致的性能、模块化解耦架构以及对 Hysteria 2、TUIC、VLESS 等新一代协议的顶级支持，已成为高阶代理技术生态的核心基石。

对于广大新手用户：

1. 先用 GUI，后折腾 CLI：优先借助图形化客户端熟悉订阅导入与节点切换流程。
2. 循序渐进定制分流：在掌握基础连接后，再深入研究 rule_set 规则集与 DNS 调优。
3. 定期备份与校验：在修改 JSON 配置前养成使用 sing-box check 校验的好习惯，轻松构建安全稳定的跨境网络通道！