Sing-box TUN 网卡 DNS 配置问题分析与解决方案

问题背景

在使用 Sing-box 的 TUN 网卡功能时，用户发现当启用 auto_route 选项后，系统会产生大量无效的 DNS 请求。这些请求不仅增加了不必要的网络流量，还可能导致性能问题和错误日志。

技术分析

TUN 网卡工作原理

TUN 设备是操作系统内核中的虚拟网络设备，工作在第三层（网络层）。当 Sing-box 创建 TUN 设备时，它会为虚拟网络接口分配 IP 地址并配置路由规则。

问题根源

通过对比测试发现，关键差异在于 auto_route=true 时，系统自动为 TUN 网卡配置了默认网关（172.18.0.2）。这个配置会导致：

1. 系统将所有未明确路由的流量（包括 DNS 查询）发送到 TUN 网卡
2. 由于 TUN 网卡实际上并不处理这些请求，导致大量无效连接
3. 如果配置了 outbound，这些 DNS 请求会被转发，产生错误

配置对比

• auto_route=false 时：

  • 仅配置 IP 地址和子网掩码
  • 无默认网关
  • 系统不会将默认流量路由到 TUN 网卡

• auto_route=true 时：

  • 自动添加默认网关（172.18.0.2）
  • 系统将所有未明确路由的流量（包括 DNS）发送到 TUN 网卡
  • 产生大量无效请求

解决方案

推荐方案

1. 保持 auto_route=true 但手动调整网关配置：

   • 启动 Sing-box 后，手动删除 TUN 网卡的默认网关
   • 保留其他路由规则，确保正常流量仍通过 TUN 网卡

2. 使用更精细的路由配置：

   • 在 Sing-box 配置中添加明确的 route 规则
   • 只将特定流量路由到 TUN 网卡
   • 避免使用全流量路由

配置示例

{
    "inbounds": [
        {
            "type": "tun",
            "address": ["172.18.0.1/30"],
            "auto_route": true,
            "route": {
                "rules": [
                    {
                        "outbound": "proxy",
                        "network": "tcp,udp",
                        "port": [80, 443]
                    }
                ]
            }
        }
    ],
    "outbounds": [
        {
            "type": "your_proxy_type",
            "tag": "proxy"
        }
    ]
}

深入理解

Windows 网络栈行为

Windows 系统在有默认网关配置时，会将所有未明确路由的 DNS 查询发送到该网关。这与 Linux 系统的行为有所不同，后者更依赖于 resolv.conf 配置。

最佳实践

1. 避免全流量路由：除非必要，不要将所有流量都路由到 TUN 网卡
2. 明确 DNS 配置：在系统或 Sing-box 中明确指定 DNS 服务器
3. 监控网络配置：定期检查网络接口配置，确保没有意外的路由规则

结论

Sing-box 的 auto_route 功能在 Windows 系统上可能导致意外的 DNS 路由行为。通过理解底层网络机制和适当调整配置，可以避免这些问题，同时保持 TUN 网卡的正常功能。建议用户根据实际需求选择最适合的路由策略，并在生产环境中充分测试配置变更。