Sing-box中TUN入站解析动作导致路由错误问题分析

问题背景

在Sing-box网络工具的使用过程中，用户报告了一个关于TUN入站配置与DNS解析相关的路由异常问题。具体表现为：当配置了"action": "resolve"规则后，对one.one.one.one域名的解析结果会被错误地匹配到"ip_cidr": "2.2.2.2/32"的路由规则上。

技术细节分析

配置结构解析

从用户提供的配置文件可以看出，这是一个典型的Sing-box TUN模式配置，主要包含以下关键组件：

1. DNS配置：使用223.5.5.5作为上游DNS服务器
2. TUN入站：配置了系统栈的TUN设备
3. 路由规则：包含多个优先级的路由规则，包括：
   • DNS处理规则
   • TUN入站流量处理规则
   • 2.2.2.2/32的特定规则
   • one.one.one.one域名的解析规则
   • 1.1.1.1/32和1.0.0.1/32的直接出站规则

问题复现流程

1. 当客户端尝试访问one.one.one.one时，首先触发DNS解析
2. DNS服务器正确返回1.1.1.1和1.0.0.1两个IP地址
3. 建立TCP连接时，路由系统错误地将流量匹配到2.2.2.2/32的特定规则

根本原因

从日志分析可以看出，问题出在路由规则的执行顺序上：

1. 首先匹配了TUN入站的处理规则
2. 然后正确识别了TLS流量和one.one.one.one域名
3. 触发了域名的解析动作
4. 但随后错误地匹配了2.2.2.2/32的IP规则

这表明在解析动作执行后，系统没有正确地将解析结果与后续的路由规则进行关联，导致虽然DNS解析正确，但路由决策时却忽略了之前的域名上下文。

解决方案

Sing-box开发团队在1.11.0-alpha.12版本中修复了这个问题。修复的核心在于改进了路由规则的执行逻辑，确保：

1. 解析动作执行后，系统会保留域名上下文信息
2. 后续的路由决策会考虑完整的请求链路信息
3. 确保域名解析结果与IP路由规则的匹配更加精确

最佳实践建议

为了避免类似问题，建议用户：

1. 在配置复杂的路由规则时，注意规则的执行顺序
2. 对于关键域名，可以同时配置域名规则和IP规则
3. 使用最新版本的Sing-box以获得最稳定的路由功能
4. 在调试路由问题时，充分利用日志功能分析匹配过程

总结

这个案例展示了网络工具中DNS解析与路由决策之间复杂的交互关系。Sing-box团队通过快速响应和修复，确保了工具在复杂网络环境下的可靠性。对于用户而言，理解路由规则的执行逻辑和优先级，有助于构建更加稳定和高效的配置。