Sing-box DNS规则死循环问题分析与解决方案

问题概述

在Sing-box项目的1.11.x版本中，用户报告了一个关于DNS解析的严重问题：当DNS规则配置中包含多个地址筛选规则(ip_cidr)时，系统会进入死循环状态，导致DNS无法正确解析并可能最终引发程序崩溃。这个问题在Android和Windows平台上均能复现，但在1.10.6稳定版中不存在。

问题重现条件

要重现这个问题，需要满足以下配置条件：

1. DNS服务器配置中包含fakeip和localdns两种类型
2. DNS规则中包含两条或以上相同的ip_cidr规则
3. 使用fakeip作为默认DNS解析方式

典型的问题配置示例如下：

"dns": {
    "servers": [
        {
            "tag": "localdns",
            "address": "local",
            "detour": "direct"
        },
        {
            "tag": "fakedns",
            "address": "fakeip"
        }
    ],
    "rules": [
        {
            "ip_cidr": "3.3.3.3/32",
            "rule_set_ip_cidr_accept_empty": true,
            "server": "localdns"
        },
        {
            "ip_cidr": "3.3.3.3/32",
            "rule_set_ip_cidr_accept_empty": true,
            "server": "localdns"
        },
        {
            "inbound": null,
            "invert": true,
            "server": "fakedns"
        }
    ]
}

问题现象分析

当用户尝试解析如"www.baidu.com"这样的域名时，系统会进入以下循环：

1. 首先匹配到fakeip规则尝试解析
2. 生成的fakeip地址触发了ip_cidr规则
3. 系统转而使用localdns解析
4. 但localdns的解析结果又被ip_cidr规则匹配
5. 系统再次尝试fakeip解析
6. 如此循环往复，无法跳出

从日志中可以看到大量重复的"response rejected"和"route(localdns)"记录，表明系统在不断重复相同的决策过程。

技术原理分析

这个问题本质上是一个规则匹配优先级和循环检测机制的缺陷。在1.11.x版本中：

1. DNS规则引擎对ip_cidr规则的匹配逻辑发生了变化
2. 当存在多条相同ip_cidr规则时，匹配结果会被多次处理
3. 系统缺乏有效的循环检测机制来终止这种重复匹配
4. fakeip和真实IP之间的转换没有做好状态隔离

解决方案

对于遇到此问题的用户，可以采取以下解决方案：

1. 临时解决方案：

   • 移除重复的ip_cidr规则，只保留一条
   • 或者降级到1.10.6稳定版本

2. 长期解决方案：

   • 等待官方修复版本发布
   • 在规则配置中避免使用重复的ip_cidr规则

3. 配置优化建议：

   • 检查并合并重复的DNS规则
   • 为ip_cidr规则添加更精确的匹配条件
   • 考虑使用domain规则替代ip_cidr规则

最佳实践建议

为了避免类似问题，建议用户在配置Sing-box的DNS规则时：

1. 保持规则简洁，避免不必要的重复
2. 为不同类型的规则添加明确的注释
3. 分阶段测试配置变更，每次只修改少量规则
4. 在复杂规则配置前，先在测试环境验证
5. 定期检查日志中的异常匹配模式

总结

Sing-box 1.11.x版本中的DNS规则处理逻辑存在缺陷，特别是在处理多条ip_cidr规则时会导致死循环。用户应当注意避免在配置中使用重复的地址筛选规则，或者等待官方修复版本。这个问题提醒我们在配置网络代理规则时需要谨慎，复杂的规则组合可能会产生意想不到的交互效应。