Sing-box 作为旁路网关时 Android 设备 DNS 解析异常问题分析

问题现象

在使用 Sing-box 作为家庭网络旁路网关时，发现了一个有趣的现象：当 Apple TV 设备运行 Sing-box 作为网关时，iPhone 和 Windows PC 能够正常访问所有网站，但 Android 设备却出现了部分网站和应用无法访问的情况。经过排查，发现将 Android 设备的 DNS 设置为公共 DNS（如 8.8.8.8 或 223.5.5.5）后，问题得到解决。

技术背景

在典型的家庭网络环境中，旁路网关（如本例中的 Apple TV 运行 Sing-box）负责处理所有网络流量。当设备将网关指向旁路设备时，不仅流量会经过该设备转发，DNS 请求也会默认发送到该网关处理。

Sing-box 的配置中包含了完整的 DNS 处理逻辑，包括：

1. 多组 DNS 服务器配置（本地 DNS 和代理 DNS）
2. 基于域名的 DNS 分流规则
3. DNS 缓存机制
4. 客户端子网设置

问题原因分析

经过深入分析，Android 设备出现访问异常的原因可能有以下几点：

1. DNS 处理机制差异：Android 系统对 DNS 处理有特殊实现，可能在某些情况下不遵循标准的 DNS 解析流程。与 iOS 和 Windows 系统相比，Android 对 DNS 超时和重试的处理更为敏感。

2. DNS 缓存行为：Android 系统有自己的 DNS 缓存机制，可能与 Sing-box 的 DNS 缓存产生冲突，导致某些域名解析结果被错误缓存或无法更新。

3. DNS 查询方式：部分 Android 版本会同时发起 IPv4 和 IPv6 的 DNS 查询，而 Sing-box 配置中设置了 "strategy": "ipv4_only"，可能导致部分查询无法得到响应。

4. 客户端子网设置：配置中的 "client_subnet": "221.1.81.13" 固定了客户端子网，可能影响 DNS 服务器的响应，特别是对于使用 EDNS 客户端子网的公共 DNS 服务。

解决方案

针对这一问题，可以采取以下几种解决方案：

1. 修改 Android 设备 DNS 设置（临时方案）：

   • 在 Android 网络设置中手动指定公共 DNS 服务器地址
   • 优点：简单快速
   • 缺点：每台设备需要单独设置

2. 调整 Sing-box DNS 配置（推荐方案）：

   • 增加 DNS 查询超时时间
   • 禁用或调整 DNS 缓存设置
   • 移除固定的客户端子网设置
   • 添加备用的 DNS 服务器

3. 网络层解决方案：

   • 在路由器层面设置 DHCP 选项，为 Android 设备分配不同的 DNS 服务器
   • 使用策略路由为 Android 设备分流 DNS 查询

技术建议

对于希望深入解决此问题的技术人员，建议考虑以下配置调整：

1. 在 Sing-box 的 DNS 配置中增加冗余：

"servers": [
  {"tag": "defaultDns", "address": "223.5.5.5", "detour": "🎯 全球直连"},
  {"tag": "backupDns", "address": "8.8.4.4", "detour": "🎯 全球直连"},
  {"tag": "localDns", "address": "https://223.5.5.5/dns-query", "detour": "🎯 全球直连"}
]

2. 调整 DNS 查询参数：

"dns": {
  "timeout": "10s",
  "disable_cache": true,
  "disable_expire": true
}

3. 对于企业或高级用户环境，可以考虑部署本地 DNS 中继服务，专门处理 Android 设备的 DNS 查询。

总结

Android 设备在通过 Sing-box 旁路网关访问网络时出现的 DNS 解析问题，主要源于系统实现差异和 DNS 处理流程的特殊性。通过理解不同操作系统对 DNS 处理的实现差异，并相应调整 Sing-box 的 DNS 配置，可以有效解决此类兼容性问题。对于网络管理员而言，在部署旁路网关方案时，应当充分考虑不同客户端平台的特性，设计更具包容性的网络架构。