sing-box TUN模式下的DNS请求拦截问题分析与解决方案

问题背景

在使用sing-box的TUN透明代理功能时，用户遇到了局域网设备DNS请求无法被正确拦截的问题。具体表现为：当Ubuntu主机(192.168.6.11)作为网关，Windows客户端(192.168.6.10)通过该网关上网时，sing-box无法拦截Windows发出的DNS请求。

技术分析

TUN模式工作原理

sing-box的TUN模式通过创建虚拟网络接口实现透明代理。当配置了auto_route参数时，sing-box会自动设置路由规则，将流量重定向到TUN设备。然而，这些自动生成的路由规则存在一些局限性：

1. 默认情况下，自动路由规则仅适用于本机发出的流量
2. 对于来自其他网络接口(如局域网)的流量，需要额外配置
3. strict_route参数会强制所有流量通过TUN设备，可能导致某些网络问题

问题根源

根据日志分析，问题主要源于以下几个方面：

1. 路由规则不完整：自动生成的路由规则未能覆盖来自局域网接口的流量
2. DNS请求未被正确拦截：Windows客户端直接使用8.8.8.8作为DNS服务器，请求未经过TUN设备
3. 网络状态变化后路由失效：当网络连接断开重连后，路由规则可能丢失

解决方案

方案一：使用nftables配置防火墙规则

通过nftables可以精确控制网络流量的转发规则：

1. 添加规则将来自局域网的DNS请求重定向到TUN设备
2. 配置NAT规则确保响应能正确返回
3. 设置连接跟踪保持网络状态的连续性

方案二：使用ip rule手动配置路由

更推荐使用ip rule命令手动配置路由表：

# 为网关流量添加直连路由
ip rule add from 192.168.6.0/24 lookup 9001

# 为WAN接口流量添加直连路由
ip rule add from all iif eth0 lookup 9001

# 为LAN接口流量添加TUN路由
ip rule add from 192.168.6.0/24 iif eth1 lookup 9000

这种方法更加灵活，可以针对不同网络接口和IP范围设置不同的路由策略。

最佳实践建议

1. 移除strict_route参数：除非有特殊需求，否则不建议使用
2. 完善路由配置：确保覆盖所有网络接口和IP范围
3. 监控路由状态：网络变化后检查路由规则是否仍然有效
4. 考虑使用systemd服务：确保sing-box重启后路由规则能自动恢复

总结

sing-box的TUN模式虽然提供了自动路由功能，但在复杂网络环境下仍需手动配置才能确保所有流量(特别是来自局域网的DNS请求)被正确拦截和处理。通过结合nftables或ip rule的灵活配置，可以构建更加稳定可靠的透明代理环境。