Sing-box中fakeip域名匹配问题的分析与解决

问题背景

在Sing-box 1.12.alpha8版本中，用户报告了一个关于fakeip功能与域名规则匹配的问题。具体表现为：当使用fakeip DNS服务器时，配置的domain_suffix等域名规则无法正确匹配到fakeip解析出的域名，导致流量被错误地路由到默认出站(out1)而非预期的direct出站。

问题现象

用户提供的配置文件中，设置了以下路由规则：

1. 将baidu.com域名的DNS查询设置为resolve(解析真实IP)
2. 将baidu.com域名的流量路由到direct出站

然而在实际运行中，pan.baidu.com的流量却被路由到了out1出站。从日志中可以看到，虽然系统正确识别了fakeip对应的域名"pan.baidu.com."，但域名规则匹配失败。

技术分析

1. 域名格式问题

从日志中可以观察到，系统获取到的fakeip域名格式为"pan.baidu.com."（末尾带有点号），而用户在路由规则中配置的是"baidu.com"（不带点号）。这种格式差异导致了域名后缀匹配失败。

在DNS系统中，完全限定域名(FQDN)通常以点号结尾，表示这是一个绝对域名。而用户在配置中使用的相对域名格式与系统获取的绝对域名格式不一致，导致匹配失败。

2. fakeip工作机制

Sing-box的fakeip功能会：

1. 为域名分配一个虚假IP地址（如198.18.0.0/15范围内的地址）
2. 建立域名与虚假IP的映射关系
3. 在路由时通过虚假IP反查出原始域名

当流量通过虚假IP进入时，系统需要正确识别原始域名并应用相应的路由规则。

解决方案

1. 修改路由规则格式

最简单的解决方案是在路由规则的domain_suffix值中添加点号，使其与系统识别的域名格式一致：

{
  "domain_suffix": "baidu.com.",
  "outbound": "direct"
}

2. 使用嗅探功能

从Sing-box 1.12.alpha3版本开始，建议在使用fakeip时启用嗅探功能：

{
  "route": {
    "rules": [
      {
        "domain_suffix": "baidu.com",
        "outbound": "direct",
        "action": "sniff"
      }
    ]
  }
}

嗅探功能可以更可靠地识别应用层协议中的真实域名，特别是在使用fakeip时。

版本更新

该问题在Sing-box 1.12.0-alpha9版本中得到了修复。更新日志中提到修复了fakeip域名匹配的相关问题。

最佳实践建议

1. 在使用fakeip功能时，建议同时启用嗅探功能
2. 在配置domain_suffix等域名规则时，考虑使用FQDN格式（带点号）
3. 保持Sing-box版本更新，以获取最新的bug修复和功能改进
4. 对于重要的域名规则，可以同时配置带点号和不带点号两种格式，确保兼容性

总结

Sing-box中的fakeip功能与域名规则匹配问题主要源于域名格式的差异。通过调整配置格式或启用嗅探功能，可以确保域名规则正确匹配。这个问题也提醒我们，在使用高级网络功能时，需要注意系统内部处理的各种细节，特别是涉及DNS和域名处理的场景。