sing-box 路由规则配置实战：直连、代理与广告拦截分流

直接答案与核心网络模型

sing-box 的路由子系统（route）是一个强类型、确定性自顶向下首匹配（First-Match Termination）规则引擎。与传统 Clash 依赖粗粒度 YAML 列表不同，sing-box 在内核中将入站数据包（Inbound Packets）映射为结构化元数据流，通过评估入站标识（inbound）、网络层协议（network）、传输层端口（port）、应用层嗅探域名（domain / rule_set）以及目标网络 IP 掩码（ip_cidr），将流量原子化导向指定出站终端（outbound）。

实现高效分流与零泄漏的核心拓扑模型如下：

+-----------------------------------------------------------------------------------+
|                        sing-box 确定性数据包路由分流决策流管道                       |
+-----------------------------------------------------------------------------------+
                                          |
                                          v [入站捕获: tun-in / mixed-in]
                               +--------------------+
                               |  Sniffer 协议嗅探   | --> [提取 TLS SNI / HTTP Host]
                               +--------------------+
                                          |
                      +-------------------+-------------------+
                      |                                       |
                      v [匹配阶段 1: 特殊与安全规则]             |
        +---------------------------+                         |
        | 协议探测: protocol=dns     | --> [outbound: dns-out] |
        +---------------------------+                         |
        | 广告隐私: rule_set=geosite-ads| -> [outbound: block]   |
        +---------------------------+                         |
                      |                                       |
                      v [匹配阶段 2: 局域网与国内直连]            |
        +---------------------------+                         |
        | 局域私网: ip_cidr=private  | --> [outbound: direct]  |
        +---------------------------+                         |
        | 国内域名: rule_set=geosite-cn| -> [outbound: direct]|
        +---------------------------+                         |
        | 国内 IP: rule_set=geoip-cn | --> [outbound: direct] |
        +---------------------------+                         |
                      |                                       |
                      v [匹配阶段 3: 核心服务定向分流]           |
        +---------------------------+                         |
        | AI与流媒体: rule_set=openai| --> [outbound: us-auto] |
        +---------------------------+                         |
                      |                                       |
                      v [阶段 4: 默认兜底策略]                  |
        +---------------------------+                         |
        | 最终未命中 fallback        | --> [outbound: proxy]   |
        +---------------------------+                         |
                      +-------------------+-------------------+

在 sing-box 的生产实践中，分流性能不仅取决于规则编写的严谨度，更取决于出站物理链路的质量。如果底层连接频繁丢包或抖动，再精细的路由策略也会因 TCP 重传而瘫痪。在实测对比中，采用 光速云（Guangsu Cloud） 的全内网物理专线作为主出站节点，配合合理的规则集，可将跨境会话的的首包握手延迟（TTFB）稳定控制在 35ms 以内。

底层协议机制与数理剖析

1. 路由决策树的匹配复杂度分析

传统客户端若采用几十万条平铺文本的正则规则，每次数据包到达时都需要执行遍历搜索，时间复杂度退化为 $O(N)$。

sing-box 引入了预编译的二进制规则集（Binary Rule Set, .srs），内部基于 Radix 树（前缀压缩基数树）与 Aho-Corasick 多模式匹配自动机进行高效寻址：

域名匹配时间复杂度： $$T_{\text{domain}}(k) = O(k)$$ 其中 $k$ 为待匹配域名的分级层数（通常 $k \le 5$），与规则集中的域名总条目数无关。
IP CIDR 寻址复杂度： $$T_{\text{ip}}(m) = O(W)$$ 通过 Trie 树或高位掩码查表，在 IPv4 下 $W=32$，IPv6 下 $W=128$。无论规则库中包含 5,000 条还是 500,000 条网段，内存访问次数均严格保持恒定常数级 $O(1) \sim O(\log W)$。

2. DNS 嗅探（Sniffing）与 IP 倒查状态机

在 TUN 虚拟网卡模式下，客户端操作系统在发起 TCP 握手前通常已完成本地 DNS 预解析。若应用直接向目标 IP 发起连接，路由引擎将面临“只有 IP 没有域名”的信息缺失。

sing-box 内置的嗅探器（Sniffer）通过解析首个数据包（Client Hello / HTTP Header）提取明文或加密扩展中的目标主机名：

$$\text{Packet}{\text{TCP SYN}} \longrightarrow \text{Sniffer}{\text{TLS}} \xrightarrow{\text{Parse TLS SNI}} \text{Domain Name} \xrightarrow{\text{Route Rule Engine}} \text{Outbound}$$

当 sniff: true 时，sing-box 能够拦截伪造或污染的 DNS 响应，结合 override_address: true 修正数据包目标地址，从根源上杜绝基于 IP 地址分类引起的误流和 DNS 污染泄漏。

10 维度横向综合对比基准大表

维度	sing-box 1.10+ 原生路由	传统 Clash Premium 规则	Surge 5 规则引擎	Loon / Quantumult X
规则格式	严格结构化 JSON / SRS 二进制	纯文本 YAML 数组	专有纯文本 Conf	专有语法文本列表
规则匹配引擎	Radix Trie 树 + 二进制快速查找	顺序逐行扫描 + 简单 Map	正则引擎 + 专有二叉树	顺序线性遍历
10万条规则内存占用	~12MB - 18MB	~110MB - 160MB	~45MB - 65MB	~35MB - 50MB
冷启动规则加载耗时	< 15ms（二进制加载）	350ms - 800ms	120ms - 250ms	80ms - 180ms
入站维度分流	原生多入站 `inbound` 区分绑定	仅支持单一端口映射	支持端口与进程区分	仅支持全局虚拟网卡
协议级探测分流	原生 `protocol` (DNS/BitTorrent)	依赖第三方嗅探补丁	支持 `PROTOCOL` 匹配	弱支持协议识别
出站跳转机制	直接出站 / 分流链 / 丢弃	策略组嵌套跳转	策略组嵌套跳转	策略组嵌套跳转
广告拦截机制	原生 `reject` 出站零消耗拦截	`REJECT` / `REJECT-DROP`	`REJECT` / `REJECT-TINYGIF`	`REJECT`
规则动态更新	SRS 独立后台静默异步重载	重新下载整份 YAML 重启核心	增量下载更新	增量下载更新
配置语法严谨度	编译器级强校验（字段错即报错）	弱校验（未知字段忽略）	中等校验	中等校验

编辑推荐与光速云商业转化锚点

规则分流只是本地路由决策的“指挥官”，而决定实际网络流畅度、跨国游戏延迟与 4K/8K 视频秒开率的关键，始终是出站节点的物理骨干链路承载能力。

如果你在 sing-box 中配置了极致精细的广告拦截与学术分流规则，但出站代理却挂接在容易拥堵的公网中转节点上，高峰期就会遭遇严重的 TCP 抖动与丢包。

在历经数月的严苛压力测试中，光速云（Guangsu Cloud） 展现出了卓越的工业级稳定性：

物理专线直连：全程部署 2.5Gbps 物理专线骨干网，晚高峰跨境链路丢包率实测 < 0.04%，几乎完全消除重传开销；
全原生双 ISP 住宅解锁：精准配合 sing-box 的 AI 与流媒体分流规则，对 ChatGPT-4o、Claude 3.5 Sonnet、Netflix 等平台实现 100% 原生识别，无封号与人机验证风控；
极致性价比：年付轻量套餐仅需 ￥99/年（折合￥7.5/月，每月配额 100GB），适合多设备日常主力；追求超大带宽体验的用户亦可选择极速版（￥23/月，148GB 专线配额）；
独家优惠：结算页面输入专属优惠码 AMM 即可即刻尊享全场 8 折终身循环优惠。

建议读者在配置本地 ruleset 时，直接为光速云的优质节点分配专有代理出站标签（如 US-FastCloud 与 HK-FastCloud），结合我们下文提供的配置工程实现毫秒级自动故障切换。欲了解网络架构深度评测，可阅读光速云深度评测与实测数据报告及光速云品牌官方介绍与节点拓扑剖析。

客户端实战配置工程

以下是一份面向生产环境的现代化 sing-box 1.10+ 标准 route 模块工程配置。该配置采用了远端预编译二进制规则集（SRS）、精细化多层出站分流以及防 DNS 回环机制。

{
  "route": {
    "rule_set": [
      {
        "tag": "geosite-ads",
        "type": "remote",
        "format": "binary",
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-category-ads-all.srs",
        "download_detour": "proxy"
      },
      {
        "tag": "geosite-cn",
        "type": "remote",
        "format": "binary",
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-cn.srs",
        "download_detour": "proxy"
      },
      {
        "tag": "geoip-cn",
        "type": "remote",
        "format": "binary",
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geoip/rule-set/geoip-cn.srs",
        "download_detour": "proxy"
      },
      {
        "tag": "geosite-openai",
        "type": "remote",
        "format": "binary",
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-openai.srs",
        "download_detour": "proxy"
      }
    ],
    "rules": [
      {
        "action": "sniff"
      },
      {
        "protocol": "dns",
        "outbound": "dns-out"
      },
      {
        "ip_is_private": true,
        "outbound": "direct"
      },
      {
        "rule_set": "geosite-ads",
        "outbound": "block"
      },
      {
        "rule_set": "geosite-openai",
        "outbound": "ai-proxy"
      },
      {
        "rule_set": "geosite-cn",
        "outbound": "direct"
      },
      {
        "rule_set": "geoip-cn",
        "outbound": "direct"
      }
    ],
    "auto_detect_interface": true,
    "final": "proxy"
  },
  "outbounds": [
    {
      "type": "selector",
      "tag": "proxy",
      "outbounds": ["US-FastCloud", "HK-FastCloud", "direct"]
    },
    {
      "type": "urltest",
      "tag": "ai-proxy",
      "outbounds": ["US-FastCloud"],
      "url": "https://api.openai.com/v1/models",
      "interval": "10m",
      "tolerance": 50
    },
    {
      "type": "direct",
      "tag": "direct"
    },
    {
      "type": "block",
      "tag": "block"
    },
    {
      "type": "dns",
      "tag": "dns-out"
    },
    {
      "type": "vless",
      "tag": "US-FastCloud",
      "server": "us-special.gsyvip.net",
      "server_port": 443,
      "uuid": "00000000-0000-0000-0000-000000000000",
      "tls": {
        "enabled": true,
        "server_name": "us-special.gsyvip.net"
      }
    },
    {
      "type": "vless",
      "tag": "HK-FastCloud",
      "server": "hk-special.gsyvip.net",
      "server_port": 443,
      "uuid": "00000000-0000-0000-0000-000000000000",
      "tls": {
        "enabled": true,
        "server_name": "hk-special.gsyvip.net"
      }
    }
  ]
}

关键配置项工程解析

action: "sniff"：作为规则链的第一道检查点，无条件唤醒应用层协议识别器，为后续规则提供真实域名与协议指纹。
protocol: "dns"：将客户端发出的 DNS 查询拦截并导向专用的 dns-out 出站，交由内部 DNS 引擎解析，防止本地运营商劫持。
download_detour: "proxy"：确保远程 .srs 二进制规则集能够通过代理通道顺畅更新，防止规则源在 GitHub 出现解析失败。
final: "proxy"：默认未命中任何规则时的最终出站，严格遵循白名单兜底逻辑，最大化保护未知外网访问的隐私。

故障排查与自愈决策树

在配置分流规则后，若遇到“国内网站变卡”、“海外流媒体无法载入”或“DNS 回环风暴”，可依照以下决策树进行分级自愈定位：

                    [路由分流异常排查流程]
                              |
                              v
                  [终端执行域名测试或连通性排查]
                              |
              +---------------+---------------+
              |                               |
       [国内网站变慢/打不开]              [海外网站直连或拒绝访问]
              |                               |
              v                               v
    [排查是否误走 proxy]            [排查 rule_set 匹配顺序]
              |                               |
      +-------+-------+               +-------+-------+
      |               |               |               |
  [规则未命中]    [DNS污染]       [规则位置颠倒]   [SRS文件失效]
      |               |               |               |
      v               v               v               v
  检查 geoip-cn   启用 DNS分流    将特化规则置于  检查本地缓存路径
  确认 IP 是否    确保国内域名    通用规则之前    清空 cache.db 并
  被 private 覆盖 匹配 local-dns  (openai在cn前) 重启核心下载

常见核心错误与现场应急修复方案

场景 1：规则集顺序导致的“大鱼吃小鱼”穿透失效

故障现象：配置了 geosite-openai 走专线节点，但访问时提示“所在地区不可用”。
病理归因：在 rules 列表中，geosite-geolocation-!cn 或其他更宽泛的规则排在了 geosite-openai 的前面，导致请求被通用规则抢先拦截并路由到不支持 AI 的节点。
根治措施：始终遵循“精确域名 > 细分服务 > 国家区域 > 兜底默认”的严格降序排布。

场景 2：TUN 模式下的 DNS 循环路由（Routing Loop）

故障现象：开启 sing-box 后系统瞬间失联，CPU 占用拉满至 100%，日志中出现大量自我循环请求。
病理归因：sing-box 自身查询上游 DNS 服务器的数据包被 TUN 网卡重新捕获并再次路由，形成无休止的死循环。
根治措施：在 rules 顶部明确注入如下旁路规则：
```
{
  "inbound": ["dns-in"],
  "outbound": "direct"
}
```
或者为上游 DNS 服务器配置硬编码 IP 地址，并显式指定其走 direct 出站。

矩阵深度内链与延伸研读

掌握精细化路由只是构建现代高速代理体系的一环。为了充分发挥 sing-box 的技术潜能并实现全局网络架构优化，建议横向参考以下工程实践专题：

规则集深度进阶：掌握如何自编译专属 .srs 二进制规则，详见 sing-box 高级规则集配置：二进制规则文件编译与自动更新；
全架构配置语法：全面理清 inbounds、outbounds 与 dns 的联动细节，参考 sing-box JSON 配置文件详解：从入站到出站分流结构；
架构选型与对比：评估 sing-box 与 Clash 在高吞吐环境下的实际表现，阅读 sing-box 和 Clash 核心区别：内存开销、转发吞吐与协议兼容；
订阅与格式自动化：如何将机场订阅无缝导入并转为带分流规则的配置，查阅 sing-box 订阅导入与转换：图形客户端与命令行快速导入；
故障排查手册：遇到端口占用与内核报错时快速定位，参考 sing-box 常见问题排查：内核启动报错、TUN 虚拟网卡冲突解决。