Sing-box中基于IP的路由规则失效问题解析

问题背景

在使用Sing-box网络工具时，用户发现配置文件中设置的基于IP的地理位置路由规则未能按预期工作。具体表现为：虽然配置了阻止特定地区IP访问的规则，但某些网站仍然可以正常访问。

技术分析

配置示例分析

用户提供的配置文件中包含以下关键部分：

1. 路由规则设置：

   • 从远程加载特定地区IP规则集(geoip-region.srs)
   • 设置规则：当流量来自mixed-in入站且匹配特定IP规则时，使用block出站

2. 出站设置：

   • 直连出站(direct)
   • 阻止出站(block)

问题本质

日志分析显示，当访问某些网站时，DNS解析返回了多个特定地区IP地址，但流量仍然通过direct出站而非预期的block出站。这表明IP路由规则未被正确应用。

根本原因

经过深入分析，发现这是Sing-box的设计行为而非bug。关键在于：

1. 纯域名请求的处理机制：当客户端直接使用域名发起请求时，Sing-box默认不会将其与IP规则匹配。

2. DNS解析时机：DNS解析发生在路由决策之后，导致基于IP的路由规则无法作用于初始的域名请求。

解决方案

要解决这个问题，需要启用domain_strategy选项，强制Sing-box在路由决策前将域名解析为IP地址。具体实现方式如下：

1. 修改路由配置：

"route": {
  "domain_strategy": "ipv4_only",  // 或"ipv6_only"、"prefer_ipv4"等
  "rules": [
    {
      "rule_set": "geoip-region",
      "inbound": "mixed-in",
      "outbound": "block"
    }
  ]
}

2. DNS策略调整：

"dns": {
  "servers": [
    {
      "address": "local",
      "strategy": "ipv4_only"  // 与路由策略保持一致
    }
  ]
}

最佳实践建议

1. 明确解析策略：根据网络环境选择适当的domain_strategy，IPv4环境下推荐使用"ipv4_only"。

2. 规则集组合使用：同时使用GeoIP和Geosite规则集可以获得更精确的路由控制。

3. 日志监控：保持trace级别日志，便于分析路由决策过程。

4. 版本兼容性：注意不同版本Sing-box在路由策略实现上的差异，新版本功能更完善。

总结

Sing-box作为一款功能强大的网络工具，其路由系统设计考虑了多种使用场景。理解域名解析与IP路由的交互时机对于正确配置至关重要。通过合理设置domain_strategy，用户可以确保基于地理位置的路由规则按预期工作，实现精细化的流量控制。