sing-box项目中TUN模式下SSH连接中断问题的分析与解决

问题背景

在使用sing-box的TUN模式时，部分macOS用户遇到了SSH连接异常中断的问题。具体表现为：当SSH会话空闲超过1秒时，客户端会收到"client_loop: send disconnect: Broken pipe"错误提示，导致连接意外终止。而在关闭TUN模式后，SSH连接则能保持稳定。

技术分析

现象特征

1. 时间敏感性：问题仅在SSH连接空闲1秒后触发
2. 模式相关性：仅出现在TUN模式启用时
3. 系统特异性：主要影响macOS系统（测试版本15.1.1）
4. 协议表现：TCP连接保持机制失效

潜在原因

经过技术分析，这个问题可能涉及以下几个层面：

1. 网络栈处理差异：macOS系统默认网络栈对TUN设备的包处理可能存在特殊机制
2. TCP保活机制冲突：SSH客户端设置的TCPKeepAlive与TUN模式的包处理产生交互问题
3. MTU设置影响：配置中设置的9000字节MTU可能在某些网络环境下导致分片问题
4. 系统缓冲区处理：macOS对虚拟网络接口的数据缓冲策略可能不同于物理接口

解决方案

已验证的有效方案

使用"gvisor"网络栈替代默认系统栈：

1. 修改TUN配置中的stack参数：

"stack": "gvisor"

2. 保持其他参数不变，特别是：

• 维持原有MTU设置（9000）
• 保持auto_route和strict_route配置
• 保留原有的DNS设置

方案优势

1. 兼容性更好：gvisor作为用户态网络栈，对macOS系统有更好的适配性
2. 性能影响小：在实际测试中未观察到明显的性能下降
3. 配置简单：只需修改一个参数即可解决问题
4. 稳定性提升：解决了SSH连接的中断问题，同时不影响其他网络功能

深入技术原理

gvisor网络栈的特点

gvisor是Google开发的一种用户态网络协议栈，具有以下特性：

1. 跨平台一致性：在不同操作系统上提供统一的行为
2. 安全隔离：通过沙箱机制运行网络协议处理
3. 完整TCP/IP实现：包含完整的协议处理逻辑
4. 精细控制：提供更细粒度的网络包处理控制

问题根本原因

在macOS系统上，当使用默认系统栈时：

1. 系统对TUN设备的空闲连接有特殊的超时处理
2. SSH的保活包可能被系统网络栈优先处理或丢弃
3. 内核网络子系统与用户态代理之间存在同步问题

而gvisor网络栈：

1. 完全在用户态实现协议处理
2. 不受系统内核网络策略的影响
3. 可以更精确地控制连接保持机制

最佳实践建议

1. macOS用户：建议默认使用gvisor栈以获得更好的稳定性
2. 性能敏感场景：可以对比测试系统栈和gvisor栈的性能差异
3. 混合环境：在不同操作系统间保持一致的网络栈配置
4. 监控设置：即使问题解决后，仍建议保持SSH的保活配置

配置示例

以下是经过优化的完整配置参考：

{
  "inbounds": [
    {
      "type": "tun",
      "tag": "in-tun",
      "stack": "gvisor",
      "mtu": 9000,
      "auto_route": true,
      "strict_route": false,
      "sniff": true
    }
  ],
  "outbounds": [
    {
      "type": "direct",
      "tag": "out-direct"
    }
  ]
}

总结