sing-box TUN 模式配置优化指南

问题背景

在使用 sing-box 的 TUN 模式时，用户遇到了一个常见但令人困惑的问题：当开启 TUN 模式后，命令行工具（如 curl）可以正常访问各类网站，但浏览器却无法访问国内网站（如 baidu.com）。这种现象表明 TUN 模式的流量分流配置存在问题。

原因分析

经过对配置文件的深入分析，发现问题主要出在以下几个方面：

1. DNS 解析不完整：原始配置中缺少对私有 IP 地址的处理规则，导致部分流量被错误路由。

2. 路由规则不完善：没有明确指定私有 IP 地址（如局域网地址）应该直接连接，导致这些流量可能被错误地发送到代理。

3. DNS 解析策略：原始配置中 DNS 解析策略不够完善，可能导致某些情况下的解析失败。

解决方案

以下是经过优化的配置文件，解决了上述问题：

{
    "log": {
        "level": "error",
        "timestamp": true
    },
    "dns": {
        "servers": [
            {
                "tag": "dns_proxy",
                "address": "https://1.1.1.1/dns-query",
                "address_resolver": "dns_resolver",
                "strategy": "ipv4_only",
                "detour": "proxy"
            },
            {
                "tag": "dns_direct",
                "address": "https://dns.alidns.com/dns-query",
                "address_resolver": "dns_resolver",
                "strategy": "ipv4_only",
                "detour": "direct"
            },
            {
                "tag": "dns_resolver",
                "address": "223.5.5.5",
                "detour": "direct"
            }
        ],
        "rules": [
            {
                "outbound": "any",
                "server": "dns_resolver"
            },
            {
                "rule_set": "proxy_domains",
                "server": "dns_proxy"
            }
        ],
        "final": "dns_direct"
    },
    "route": {
        "rule_set": [
            {
                "tag": "proxy_domains",
                "type": "inline",
                "rules": [
                    {
                        "domain_suffix": [
                            "example.com",
                            "gitlab.com",
                            "gitlabusercontent.com"
                        ]
                    },
                    {
                        "process_name": [
                            "VideoApp"
                        ]
                    }
                ]
            }
        ],
        "rules": [
            {
                "protocol": "dns",
                "outbound": "dns-out"
            },
            {
                "ip_is_private": true,
                "outbound": "direct"
            },
            {
                "rule_set": "proxy_domains",
                "outbound": "proxy"
            }
        ],
        "final": "direct",
        "auto_detect_interface": true
    },
    "inbounds": [
        {
            "type": "tun",
            "tag": "tun-in",
            "inet4_address": "172.16.0.1/30",
            "inet6_address": "fd00::1/126",
            "mtu": 1492,
            "auto_route": true,
            "strict_route": true,
            "stack": "system",
            "sniff": true,
            "sniff_override_destination": false
        }
    ],
    "outbounds": [
        {
            "tag": "proxy",
            "type": "socks",
            "server": "127.0.0.1",
            "server_port": 1095
        },
        {
            "type": "direct",
            "tag": "direct"
        },
        {
            "type": "block",
            "tag": "block"
        },
        {
            "type": "dns",
            "tag": "dns-out"
        }
    ],
    "experimental": {
        "cache_file": {
            "enabled": true,
            "path": "cache.db"
        }
    }
}

关键改进点

1. DNS 配置优化：

   • 增加了 dns_resolver 作为基础 DNS 解析器
   • 为代理和直连 DNS 都配置了 address_resolver
   • 使用阿里 DNS 的 DoH 服务作为直连 DNS

2. 路由规则完善：

   • 添加了 ip_is_private: true 规则，确保私有 IP 地址直接连接
   • 优化了 DNS 解析规则，确保基础解析使用 dns_resolver

3. 新增功能：

   • 添加了 block 出站选项
   • 启用了实验性的缓存文件功能

技术原理

TUN 模式的工作原理是将所有网络流量通过虚拟网卡重定向到 sing-box 处理。这种模式下，DNS 解析和路由规则的配置尤为重要：

1. DNS 处理：浏览器通常会使用系统 DNS 设置，而命令行工具可能使用不同的解析方式。优化后的配置确保所有 DNS 查询都经过统一处理。

2. 私有 IP 处理：局域网地址和私有 IP 地址应该直接连接，否则会导致内部网络访问问题。ip_is_private: true 规则确保了这一点。

3. DNS 缓存：启用 DNS 缓存可以减少重复查询，提高响应速度。

最佳实践建议

1. 对于国内用户，建议使用可靠的国内 DNS 服务（如阿里 DNS）作为直连 DNS。

2. 定期更新规则集，确保需要代理的域名列表是最新的。

3. 监控日志中的错误信息，及时调整配置。

4. 对于高级用户，可以考虑添加更多的路由规则，如基于地理位置或 IP 段的规则。

通过以上优化，sing-box 的 TUN 模式可以更可靠地工作，既能确保需要代理的流量正确路由，又能保证国内流量的正常访问。