sing-box 通用客户端与通用配置指南：全能通用代理平台

核心参数规格卡片#

综合评级雷达与一句话选型结论#

青云宗评测实验室从六大核心工程指标对 sing-box 进行了工业级量化评估：

• 协议前沿与演进速度：★★★★★（10/10，新协议落地的行业领头羊，对 QUIC 与 TLS 扩展的跟进速度全网第一）
• 内核轻量与性能调优：★★★★★（10/10，内存控制极其严苛，满载千兆吞吐 CPU 消耗全行业最低）
• 多端官方生态完整度：★★★★★（9.9/10，全平台全部提供官方第一方原生维护的图形客户端，苹果端完全免费）
• 服务端与网关通用性：★★★★★（9.8/10，单一工具搞定个人 VPS 搭建与家庭软路由旁网关部署）
• 手动编写配置门槛：★★☆☆☆（4.5/10，纯 JSON 嵌套极深、无容错空格，小白手动编写极易崩溃）
• 第三方传统机场适配：★★★☆☆（6.5/10，多数传统机场只提供 Clash 订阅，需依赖 Sub-Store 转换为通用配置）

青云宗实验室一句话选型结论： 如果你是一名追求极致吞吐与低开销的系统工程师、自建 VPS 极客，或者希望在 苹果 iOS 平台上不花一分钱（免 2.99 美元买小火箭） 获得原生的前沿协议体验，那么 sing-box 是当今地球上技术纯度最高、架构最统一的终极通用平台；如果你是追求所见即所得、依赖现成机场订阅的普通大众，则更推荐选用生态更成熟的 Clash Verge Rev。

软件全能通用架构与数据流向拓扑图#

为了清晰展现 sing-box 内部高度抽象的模块化流水线，下方绘制了其入站、路由、DNS 与出站调度流向图：

1. 传统代理生态的三大结构性撕裂#

1. 角色之间的割裂（Client vs Server）： 在过去，用户在自己的境外 VPS 上部署服务端，通常使用 Xray-core、v2ray-core 或单独的 Hysteria 守护程序；但在自己的手机和电脑上，又不得不换用完全不同的 Clash 客户端。服务端与客户端的配置逻辑南辕北辙，技术栈分裂严重；
2. 格式规范的巴尔干化（YAML vs JSON）： Clash 圈子使用 YAML，V2Ray 圈子使用旧版 JSON，各家协议字段命名各行其是，导致订阅转换脚本极其臃肿脆弱，稍有字段变更就会全网报错；
3. 平台客户端的“二道贩子”现象： 在过去，内核开发者通常只负责写无头控制台代码，图形界面全部依赖第三方社区作者凭业余爱好开发。一旦前端作者退坑，客户端就陷入停更（如 CFW、原版 Clash Verge 的悲剧），用户不得不一次次经历阵痛迁移。

2. SagerNet 团队的“大一统”革命性突围#

面对碎片化的行业现状，以 nekohasekai 为核心的 SagerNet 团队立项了 sing-box。他们的核心设计抱负就是实现三个维度的绝对统一：

• 第一重统一：全能架构大一统（All-in-One Architecture） sing-box 彻底抹平了客户端与服务端的物理界限。同一个可执行文件，修改一下 inbounds 和 outbounds 的配置，它在境外服务器上就是一台吞吐强悍的 Hysteria 2 / VLESS-Reality 高性能服务端；在家庭软路由上就是一座全自动的 TUN 透明网关；在个人电脑上就是一枚灵活的代理内核。
• 第二重统一：官方第一方客户端大一统（Official Multi-platform GUIs） SagerNet 团队没有将 GUI 前端的重任甩给社区，而是由官方核心团队直接使用各平台的原生技术开发第一方图形客户端！在 iOS 上采用纯正的 SwiftUI 原生编译，在 Android 上采用原生 Kotlin + Material 3 开发，在桌面端提供原生控制台与面板。官方团队的亲自下场，保障了当底层内核发布新协议的当天，全平台图形客户端能够在零秒内实现无缝同步！
• 第三重统一：拥抱严密强类型的纯 JSON 规范 与 Clash 采用对格式缩进极其脆弱的 YAML 不同，sing-box 坚定地拥抱了纯 JSON 树形结构。JSON 具备严格的数据类型边界（字符串、布尔值、数组、对象边界分明），能够以极高的吞吐性能被计算机自动化脚本进行抽象语法解析与批量渲染，彻底终结了因为一个空格导致全盘崩溃的低级错误。

特性一：业界最强原生前沿协议跟进与自研协议生态#

在整个代理开源生态中，很多客户端往往扮演着“搬运工”的角色：等某个新协议在社区火了一年半载、有了成熟的 Go 语言第三方库之后，才慢吞吞地将其集成进客户端。

而 sing-box 自身就是整个网络加密与抗封锁技术演进的领航旗舰：

特性二：高度模块化的独立二进制规则集（Rule-Set & SRS 格式）#

在流量路由分流这一代理工具的核心战场上，sing-box 掀起了一场席卷全行业的性能革命。

特性三：极度硬核的原生 TUN 虚拟网卡堆栈（Independent TUN Engine）#

虚拟网卡（TUN 模式）是检验一款代理工具能否在软路由、高负载服务器以及多网卡生产环境中长期服役的关键底牌。

特性四：全平台第一方原生 GUI 客户端生态矩阵#

在很多代理工具的生命周期中，“前端客户端的停更”往往是整个生态走向瓦解的导火索。 而 sing-box 展现出了全球顶尖开源团队极其罕见的战略定力与工程担当：SagerNet 官方亲自接管了所有操作系统的第一方图形化界面研发。

特性五：独立的 DNS 路由引擎与 Fake-IP 架构#

在绝大多数传统代理软件中，DNS 模块仅仅是一个依附于主分流逻辑的被动辅助部件。 而在 sing-box 的系统设计中，DNS 被正式擢升为了一座与底层网络路由（Route）平起平坐的“一级独立战略中枢”。

特性六：出站代理链（Proxy Chaining / 链式跳板嵌套）#

对于需要从事网络安全渗透测试、金融数据抓取或极端隐私保护的高阶用户而言，单一节点无论如何加密，在落地服务器端依然会暴露该节点的出口 IP。

sing-box 创造性地将“出站代理链（Proxy Chaining）”作为原生第一等公民纳入了核心调度引擎：

1
{
2
  "tag": "Swiss-Final-Node",
3
  "type": "vless",
4
  "server": "swiss.privacy.net",
5
  "port": 443,
6
  "detour": "HK-Transit-Node"
7
}

生产级健壮完整基准配置模板 (Production JSON)#

下方这份配置文件由青云宗技术实验室精心编写，完全符合 2026 年最新的 sing-box 官方规范，集成了原生 TUN 虚拟网卡、Fake-IP 零延迟 DNS 架构、二进制 SRS 规则集与主流现代协议节点，可直接作为跨平台运行或软路由网关的基线：

1
{
2
  "log": {
3
    "level": "info",
4
    "timestamp": true
5
  },
6
  "dns": {
7
    "servers": [
8
      {
9
        "tag": "dns_proxy",
10
        "address": "https://1.1.1.1/dns-query",
11
        "address_resolver": "dns_direct",
12
        "strategy": "ipv4_only",
13
        "detour": "🎯 节点选择"
14
      },
15
      {
16
        "tag": "dns_direct",
17
        "address": "https://223.5.5.5/dns-query",
18
        "strategy": "ipv4_only",
19
        "detour": "direct"
20
      },
21
      {
22
        "tag": "dns_fakeip",
23
        "address": "fakeip"
24
      }
25
    ],
26
    "rules": [
27
      {
28
        "outbound": "any",
29
        "server": "dns_direct"
30
      },
31
      {
32
        "rule_set": "geosite-cn",
33
        "server": "dns_direct"
34
      },
35
      {
36
        "query_type": [
37
          "A",
38
          "AAAA"
39
        ],
40
        "server": "dns_fakeip"
41
      }
42
    ],
43
    "fakeip": {
44
      "enabled": true,
45
      "inet4_range": "198.18.0.0/15"
46
    },
47
    "independent_cache": true
48
  },
49
  "inbounds": [
50
    {
51
      "type": "mixed",
52
      "tag": "mixed-in",
53
      "listen": "127.0.0.1",
54
      "listen_port": 20808
55
    },
56
    {
57
      "type": "tun",
58
      "tag": "tun-in",
59
      "interface_name": "singbox-tun",
60
      "inet4_address": "172.19.0.1/30",
61
      "auto_route": true,
62
      "strict_route": true,
63
      "stack": "system",
64
      "sniff": true
65
    }
66
  ],
67
  "outbounds": [
68
    {
69
      "type": "selector",
70
      "tag": "🎯 节点选择",
71
      "outbounds": [
72
        "⚡ 自动优选",
73
        "香港 01 | Hysteria2 高速专线",
74
        "美国 01 | VLESS-Reality 极速",
75
        "direct"
76
      ],
77
      "default": "⚡ 自动优选"
78
    },
79
    {
80
      "type": "urltest",
81
      "tag": "⚡ 自动优选",
82
      "outbounds": [
83
        "香港 01 | Hysteria2 高速专线",
84
        "美国 01 | VLESS-Reality 极速"
85
      ],
86
      "url": "https://www.google.com/generate_204",
87
      "interval": "3m",
88
      "tolerance": 50
89
    },
90
    {
91
      "type": "hysteria2",
92
      "tag": "香港 01 | Hysteria2 高速专线",
93
      "server": "hk.example.com",
94
      "server_port": 443,
95
      "password": "your_password",
96
      "up_mbps": 100,
97
      "down_mbps": 1000
98
    },
99
    {
100
      "type": "vless",
101
      "tag": "美国 01 | VLESS-Reality 极速",
102
      "server": "us.example.com",
103
      "server_port": 443,
104
      "uuid": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
105
      "flow": "xtls-rprx-vision",
106
      "tls": {
107
        "enabled": true,
108
        "server_name": "www.apple.com",
109
        "reality": {
110
          "enabled": true,
111
          "public_key": "AbCdEfGhIjKlMnOpQrStUvWxYz1234567890",
112
          "short_id": "0123456789abcdef"
113
        }
114
      }
115
    },
116
    {
117
      "type": "direct",
118
      "tag": "direct"
119
    },
120
    {
121
      "type": "block",
122
      "tag": "block"
123
    },
124
    {
125
      "type": "dns",
126
      "tag": "dns-out"
127
    }
128
  ],
129
  "route": {
130
    "rule_set": [
131
      {
132
        "tag": "geosite-cn",
133
        "type": "remote",
134
        "format": "binary",
135
        "url": "https://testingcf.jsdelivr.net/gh/MetaCubeX/meta-rules-dat@sing/geo/geosite/cn.srs",
136
        "download_detour": "direct"
137
      },
138
      {
139
        "tag": "geoip-cn",
140
        "type": "remote",
141
        "format": "binary",
142
        "url": "https://testingcf.jsdelivr.net/gh/MetaCubeX/meta-rules-dat@sing/geo/geoip/cn.srs",
143
        "download_detour": "direct"
144
      }
145
    ],
146
    "rules": [
147
      {
148
        "protocol": "dns",
149
        "outbound": "dns-out"
150
      },
151
      {
152
        "rule_set": "geosite-cn",
153
        "outbound": "direct"
154
      },
155
      {
156
        "rule_set": "geoip-cn",
157
        "outbound": "direct"
158
      },
159
      {
160
        "ip_is_private": true,
161
        "outbound": "direct"
162
      }
163
    ],
164
    "auto_detect_interface": true
165
  }
166
}

1. 苹果 iOS 平台：免付费官方正版上手#

1. 打开 iPhone 的 App Store，切换至非国区（美区/港区/日区）Apple ID；
2. 搜索 sing-box（认准官方开发者名称为 SagerNet 或 nekohasekai）；
3. 点击「获取」直接免费下载！（完全无需支付任何费用）；
4. 打开 App 后，点击底部的「Profiles（配置）」，点击右上角「+」号；
5. 选择「New Profile」，输入名称并将上述配置代码粘贴进去（或直接填入服务商提供的 sing-box 订阅链接）；
6. 返回主界面，拨动启动开关，在系统弹出的“添加 VPN 配置”中点击允许并验证 Face ID，iPhone 瞬间接入极速加密隧道！

2. Android 移动端：原生 Material 3 安装#

1. 从 Google Play 商店搜索 sing-box，或者直接从官方 GitHub Releases 页面下载原生构建安装包 SFA-arm64-v8a.apk；
2. 安装后授予创建 VPN 连接权限，在「Profiles」中点击添加订阅链接或扫描屏幕二维码即可极速就绪。

3. Linux 生产环境：Systemd 自动化托管#

在 Ubuntu / Debian 服务器上，一条命令即可完成全局自动化常驻：

1
# 下载官方构建的预编译二进制包
2
curl -fsSL https://github.com/SagerNet/sing-box/releases/latest/download/sing-box-linux-amd64.tar.gz | sudo tar -xz -C /usr/local/bin/ --strip-components=1
3

4
# 给予网络特权能力，免 root 运行 TUN 虚拟网卡
5
sudo setcap 'cap_net_admin,cap_net_bind_service=+ep' /usr/local/bin/sing-box
6

7
# 启动并托管
8
sudo systemctl enable --now sing-box

四大核心代理平台全维度工程指标对比表#

评测实验室专家选型深度总结#

1. sing-box 的王牌统治领域：
   • 全能通用性：如果你需要同时在自己的境外 VPS 上部署服务端、在家庭软路由上跑透明网关、在 iPhone 上进行免付费代理连接，sing-box 能够让你用完全同一套知识体系与核心代码搞定所有环节，技术统一感无与伦比；
   • 极致的能效强迫症：在 CPU 资源与内存极其受限的千兆嵌入式网关（如斐讯 N1、树莓派）上，sing-box 的线速转发能力与超低内存消耗处于绝对霸主地位。
2. 为什么 Clash / Mihomo 依然在大众市场更受欢迎？ 对于 90% 以上不折腾自建 VPS、完全依赖机场商业订阅的普通用户而言，Mihomo 生态在 YAML 策略组可视化、第三方美学客户端（如 Mihomo Party、Clash Verge Rev）以及现成机场订阅的开箱即用度上，依然拥有更宽阔的护城河。

案例一：Linux 云端极简单文件部署 Hysteria 2 高性能服务端#

案例二：苹果 iOS 平台零成本免付费科学上网方案#

案例三：高可用链式代理（Proxy Chaining）构建金融级高匿名爬虫出口#

Q1: 为什么在 sing-box 中导入机场的 Clash 订阅链接提示 “invalid json”？#

这是因为绝大多数商业机场提供的订阅格式默认为 YAML 格式（以纯文本键值对和缩进组织），或者 Base64 编码的节点清单：

• sing-box 的官方规范严格只识别结构化的 JSON 语法！
• 如果你直接把以 proxies: 开头的 Clash YAML 链接塞进 sing-box，内核反序列化器在第一行扫描时就会因为不是合法的 { 或 [ 字符而直接报错抛出 invalid character 'p' looking for beginning of value。 解决方案：

1. 使用开源的 Sub-Store 订阅中枢，将你的 Clash 订阅转换为标准的 sing-box 目标格式；
2. 或者在你的机场后台，寻找是否直接提供原生格式的「sing-box 订阅」链接导出。

Q2: 什么是 .srs 规则集？如何将第三方的域名列表编译为 sing-box 的 .srs 格式？#

.srs（sing-box Rule Set）是 sing-box 独创的专用二进制编译型规则集文件：

• 它不是普通的文本，而是经过预处理的二进制 Radix 树索引文件，运行时直接映射进内存，匹配速度比普通文本规则快 10 倍以上。 编译与自制方法： sing-box 官方提供了专门的命令行编译工具。你可以准备一个包含纯域名的 JSON 规则源文件 rules.json，在终端中直接执行编译：

1
sing-box rule-set compile rules.json -o rules.srs

生成的 rules.srs 即可上传至 GitHub 或个人服务器，供客户端在 route.rule_set 中远程挂载调用。

Q3: 为什么在 iOS 上运行官方 sing-box App，开启后无法连接或没有流量？#

如果在 iPhone 上启动 sing-box 后状态栏出现了 VPN 图标，但所有网页转圈打不开，通常由两点引起：

1. 未配置任何 dns 板块：sing-box 架构高度严谨，如果配置文件中缺失了 dns 解析服务器或 dns.rules，客户端将无法解析任何境外域名，表现为所有网络直接超时；
2. 节点证书时间戳校验失败：检查 iPhone 系统时间是否准确。基于 TLS 架构的 Reality、Hysteria 2 协议对时间同步要求极严，偏差超过 60 秒将直接导致连接阻断。

Q4: sing-box 启动报错 “inbound/tun: configure tun interface: access denied” 怎么解决？#

在 Windows 或 Linux 操作系统中运行 TUN 虚拟网卡模式，必须在内核层操作底层网络设备树，该操作属于系统超级特权：

• 在 Windows 上：必须右键点击客户端或控制台，选择 「以管理员身份运行」；
• 在 Linux 服务器上：要么以 sudo 超级用户权限运行，要么执行能力赋能命令赋予二进制执行特权：

  1
  sudo setcap 'cap_net_admin,cap_net_bind_service=+ep' /usr/local/bin/sing-box

Q5: sing-box 的 Fake-IP 模式下，如何防止某些特定的国内域名被误分配假 IP？#

如果某些国内特殊应用（如米家智能家居、特定内网 OA、金融证券交易终端）在分配到 198.18.x.x 假 IP 时发生异常： 对策： 在 dns.rules 板块的最顶端，配置域名排除规则，将这些特定域名显式指向真实的本地 DNS 解析器：

1
{
2
  "rule_set": "geosite-cn",
3
  "server": "dns_direct"
4
},
5
{
6
  "domain_suffix": [
7
    "mi.com",
8
    "cmbchina.com"
9
  ],
10
  "server": "dns_direct"
11
}

凡是命中上述规则的域名，将直接由 dns_direct 返回真实的国内物理 IP，彻底规避假 IP 兼容性问题。

Q6: 为什么我的 sing-box 配置文件每次保存后，格式校验总提示某个字段类型错误？#

这是许多从 Clash 迁移过来的老玩家最容易遭遇的挫败感：

• Go 语言的强类型 JSON 反序列化解析器极其严苛，对字段类型采取“零容忍”态度；
• 例如：listen_port 必须是整型数字 7890，如果你不小心加上了双引号写成字符串 "7890"，解析器会立刻抛出 cannot unmarshal string into Go struct field of type uint16 并拒绝启动；
• 数组字段（如 query_type: ["A", "AAAA"]）必须是方括号包裹的数组，不能写成单一标量。 解决神技：在启动前，在命令行中执行 sing-box check -c config.json，内核会精确打印出出错的行号与字段原因，方便针对性修复。

Q7: sing-box 未来是否会推出支持 YAML 配置语法的兼容模式？#

官方团队在多次社区公开讨论中明确重申：不会支持 YAML。 nekohasekai 及 SagerNet 核心团队坚信，YAML 规范中模糊的缩进规则、对布尔值的弱类型解释（如 no 和 yes 容易被误识别为布尔值）、以及极其低效的反序列化吞吐，严重违背了 sing-box 追求高可靠工业级平台的初衷。因此，纯净、严格、通用的 JSON 是其唯一的官方官方标准语法。

Q8: 普通用户从 Clash Verge Rev 迁移到 sing-box，最大的使用门槛是什么？#

最大的门槛在于**“生态心智模型的转换”**：

• 在 Clash 中，你习惯了有现成的机场订阅一键导入，界面上有现成的策略组卡片让你像挑西瓜一样随手点选；
• 而在 sing-box 中，你面对的是一个高度工业化的通用平台。如果没有现成的订阅转换工具（如 Sub-Store），从零手写一份完美的 JSON 配置对非技术人员而言是一项极为繁琐的工程。 因此，如果你追求极致好看与开箱即用，继续使用 Clash Verge Rev 或 Mihomo Party 是更惬意的选择；但如果你追求底层性能极限、或需要搭建服务端，sing-box 则无可替代。