sing-box Android 配置教程 安装、订阅与规则设置完整指南

现代化架构设计与内存零拷贝转发#

在过去十余年间，代理客户端往往建立在特定历史时期的协议基础之上，随着功能的不断追加，内部代码逐渐演化为庞大且耦合严重的单体系统。sing-box 从第一天起便采用现代 Go 语言进行模块化重构，其核心设计哲学包含以下三项技术基石：

1. 统一的通用网络抽象层：无论是 Shadowsocks、VMess、Trojan，还是新一代的 VLESS Reality、Hysteria 2、TUIC v5 或 WireGuard，在 sing-box 内部均被抽象为对等的 Inbound（入站）与 Outbound（出站）接口，协议转换过程高度统一；
2. 内存零拷贝（Zero-copy）网络转发：在数据包进出虚拟网卡与加密隧道的过程中，sing-box 极力避免在内存中频繁进行无意义的数据复制与缓冲区申请，极大地降低了移动端芯片的 CPU 占用与瞬时发热；
3. 确定性声明式配置驱动：放弃一切模糊的暗箱猜测逻辑，全部行为严格遵从纯文本 JSON 配置文件中的显式声明，让每一个数据包的流向都有迹可循、绝对可预测。

TUN 入站与系统协议栈实现差异#

sing-box 官方 Android 客户端全面依托 Android 原生 VpnService 框架构建全局透明代理隧道。当用户在客户端主界面点亮总开关后，操作系统会在底层动态生成一个名为 tun0 的虚拟网络网卡，接管整机的出站默认路由。

在虚拟网卡底层，sing-box 提供了高度可配置的协议栈（Stack）选项：

1. System 原生协议栈（强烈推荐日常使用）：直接复用 Android 系统底层 Linux 内核的 TCP/IP 协议栈进行报文解包。这种模式享有手机芯片厂商提供的硬件级网络加速驱动支持，稳定性最高，功耗控制最为优秀；
2. gVisor 用户空间协议栈（高安全隔离环境）：在用户空间构建一个完整的独立虚拟网络栈。它不依赖 Android 系统的内核调用，具备极高的防指纹探测能力，但会略微增加手机 CPU 的瞬时处理开销；
3. Mixed 混合模式：结合不同场景自动协调，兼顾性能与兼容性。

架构辨识与安装包选择#

访问 sing-box 官方开源 Releases 页面或受信任的发行渠道时，用户会看到针对不同 CPU 架构编译的多个 APK 文件：

1. sing-box_*_android_arm64-v8a.apk（强烈推荐首选）：面向当今绝大多数现代 64 位 ARM 处理器的 Android 智能手机（如高通骁龙 8 系列、7 系列，联发科天玑 9000、8000 系列，华为麒麟旗舰芯片）。该版本拥有最高的编译级指令优化，运行效率最佳且极其省电；
2. sing-box_*_android_armeabi-v7a.apk：专为多年前的 32 位老旧设备准备，现代主流智能手机切勿安装，以免引起性能降级；
3. sing-box_*_android_universal.apk：通用全集成安装包，内含所有架构的二进制库，适合无法辨识芯片的用户应急使用；
4. sing-box_*_android_x86_64.apk：面向在 PC 电脑上运行的 Android 虚拟机。

权限初始化与系统授权#

1. 下载对应的 APK 文件并点击安装；若系统提示“禁止安装未知来源应用”，进入系统设置临时为浏览器或文件管理器授予安装权限；
2. 打开 sing-box 客户端，在首次点击连接开关时，Android 系统会弹出原生对话框提示“sing-box 想要设置 VPN 连接，以监控网络流量”，务必点击“确定”；
3. 允许应用发送通知，以便在通知栏常驻前台服务状态，防止被系统省电程序误杀；
4. 深入理解 APK 架构背后的指令集差异：现代 64 位 ARMv8-A 架构引入了高并发硬件加密指令集扩展（如 AES 与 SHA 扩展指令）。sing-box 编译链对这一底层特性进行了深度榨取。正确安装 arm64-v8a 架构版本，不仅能够使数据包加解密吞吐速度实现成倍跃升，还能有效压低处理器运行时的峰值核心温度，守护移动设备的电池健康。

远程订阅（Remote Profile）导入实操#

绝大多数商业机场均已原生支持交付 sing-box 专属订阅链接或兼容的通用订阅链接：

1. 启动 sing-box Android 客户端，在底部或侧边导航栏点击“Profiles（配置文件）”；
2. 点击右上角的加号（+）或“New Profile”新建配置；
3. 参数配置规范：
   • Name（配置名称）：输入便于记忆的名字，如“主力高速机场”；
   • Type（配置类型）：选择“Remote（远程）”；
   • URL（订阅地址）：长按输入框，完整粘贴机场客户中心提供给你的专属 sing-box 订阅链接；
   • Auto Update（自动更新间隔）：开启并设定为 1440 分钟（24 小时）。设定合理的自动刷新周期，既保证掌握机场最新节点动态，又避免对手机电池造成无谓消耗；
4. 点击右上角对勾保存。此时客户端会在后台发起标准的 HTTPS 请求拉取远程 JSON 配置文件；
5. 拉取成功后，返回配置列表，勾选并激活刚刚导入的 Profile；
6. 切换至“Dashboard（仪表盘）”主界面，点击连接大开关，状态栏亮起 VPN 钥匙图标，即代表网络接管成功。

在深入实践中，sing-box 的 Remote Profile 展现出了极其纯粹的现代化声明式配置优势。不同于部分传统客户端在本地强行对远程订阅进行不可控的二次拼装篡改，sing-box 严格忠实于远程 JSON 文本的语法结构。无论服务端推送了最新的 VLESS Reality 证书指纹、动态调整了出站节点端口，还是迭代了外部规则集的外链路由拓扑，客户端均能在后台静默完成全量热替换与重编译，全程无需中断正在进行的长连接通讯，给用户带来极致的稳定感。

两大主流策略组机制对比#

1. selector（手动选择组）：
   • 完全遵循用户在手机界面上的手动点击选择；
   • 稳定性最高，出站 IP 绝对固定，不会因为偶发的网络波动而在不同国家机房之间频繁漂移，是访问带登录态金融与生产力站点的首选；
2. urltest（自动测速延迟优化组）：
   • 核心会根据设定的 interval（探测间隔，如 300 秒）定期向指定的轻量探测地址发包；
   • 配合 tolerance（容差参数，如 50ms），自动在候选节点列表中挑选延迟最低的最佳节点；
   • 适合用于日常无状态网页浏览、追求极致打开速度的轻量场景。

在调度容差（tolerance）与探测周期（interval）的权衡设计上，建议用户根据自身的网络偏好进行科学微调。如果容差设置过小（例如设置在 10ms 至 20ms 的极窄区间），轻微的移动基站信号波动就会导致出站节点在香港、日本与新加坡之间频繁跳跃，不仅极易触发部分境外安全服务（如银行、Google、ChatGPT）的异地登录风控告警，还会造成 TCP 会话的反复重建。通常将容差放宽至 50ms 左右，探测周期设为 300 秒，既能保证在主力节点彻底离线时迅速无感切入备用机房，又能锁定绝大多数工作会话的物理稳定性。

规则集（Rule-Set）的工程化优势#

在传统的代理客户端中，一份完整的去广告、国内直连与海外分流规则往往包含数万行域名与 IP CIDR 文本。这不仅会导致主配置文件极其臃肿（动辄数兆大小），而且每次客户端启动解析该大文件时，都会造成严重的内存膨胀与界面掉帧。

sing-box 引入了预编译的二进制规则集（.srs 文件格式）：

• 机场或开源维护团队在云端预先将数十万条规则编译为紧凑的二进制二叉搜索前缀树；
• 手机客户端只需在配置中简单声明规则集的外链下载地址；
• 运行时直接将规则集以内存映射方式载入，不仅内存占用直接锐减 80% 以上，而且模式匹配速度提升了近百倍，做到了真正的微秒级瞬时命中。

此外，sing-box 的规则树还具备极高的语法表现力。用户可以在同一条规则中任意组合多个判定维度，例如结合入站端口、出站协议、应用进程包名、域名通配符以及目标 IP 网段进行复合判定（AND 条件）。相较于传统代理工具僵硬死板的单一维度列表匹配，这种高度灵活的逻辑拓扑能够让资深极客用仅仅十几行精悍的代码，构建起极其复杂的全场景网络分流工作流。

独立 DNS 路由架构工作机理#

sing-box 将 DNS 查询与常规 TCP/UDP 流量放在完全对等的层级进行规则分流：

1. 国内查询分流：当应用程序发起的域名查询命中国内域名规则时，DNS 路由器会强制将该查询交由国内直连 DNS（如腾讯公共 DNS 119.29.29.29 或阿里公共 DNS 223.5.5.5）解析，秒级拿到最优的国内机房 CDN 节点 IP；
2. 海外查询防投毒：当域名判定属于受限海外服务时，DNS 路由器会通过加密隧道将查询转发给海外节点的远程 DoH 服务器代为解析，彻底屏蔽国内移动运营商基站的恶意投毒；
3. 开启 Fake-IP 模式：在 DNS 模块中声明启用 fakeip，sing-box 在本地保留网段（如 198.18.0.0/15）中毫秒级签发虚拟 IP 返回给浏览器，将实际的远程解析彻底推迟到海外节点，大幅消除了移动端首包往返延迟。

应用级分流配置实操#

在 sing-box 的路由规则（route.rules）中，用户可以直接显式声明特定应用程序的专属流向：

1
{
2
  "route": {
3
    "rules": [
4
      {
5
        "package_name": [
6
          "com.tencent.mm",
7
          "com.eg.android.AlipayGphone",
8
          "com.cmbchina.ccd.pluto.cmbActivity",
9
          "com.chinamworld.main"
10
        ],
11
        "outbound": "direct"
12
      },
13
      {
14
        "package_name": [
15
          "com.android.chrome",
16
          "com.google.android.youtube",
17
          "org.telegram.messenger",
18
          "com.twitter.android"
19
        ],
20
        "outbound": "proxy"
21
      }
22
    ]
23
  }
24
}

通过这一层面的精准规约，微信、支付宝与招商银行等国内日常高频工具会在系统底层无条件走本地直连，完全不产生跨洋绕路的延迟，同时海外生产力与影音软件则精准走代理，两全其美。

更为关键的是，这种基于 Android 官方系统包名（Package Name）的硬核过滤机制，是在 Linux 内核虚拟网卡驱动层级执行的。它完全无视应用程序内部是否采用了特殊的网络库或自定义的 DNS 逻辑，只要数据包被打上了对应应用的 UID 标识，sing-box 就能在第一时间内将其引流至指定的直连出口。这不仅能有效化解各大手机银行的“检测到代理”报错，更能避免海外大模型服务因国内偶发的后台通信探测而误判用户物理属地。

开启局域网共享实战#

1. 在配置文件的 inbounds 数组中，声明一个 mixed 类型的局域网监听入站：

   1
   {
   2
     "type": "mixed",
   3
     "tag": "mixed-in",
   4
     "listen": "0.0.0.0",
   5
     "listen_port": 2080
   6
   }

2. 手机打开“便携式 Wi-Fi 热点”，让周围的 iPad、Switch 掌机或超极本连接该热点；
3. 查看手机在热点网段中分配的本地 IP（通常为 192.168.43.1）；
4. 在 Switch 或笔记本的 Wi-Fi 高级设置中，将 HTTP/SOCKS 代理主机设置为 192.168.43.1，端口填写 2080；
5. 外部设备即可立即共享手机上的高速加密网络通道，实现单机加速整个数码矩阵。

这种轻量级的混合入站（Mixed Inbound）机制在实际使用中具备极高的通用性。不同于部分客户端要求分别配置复杂的 SOCKS5 与 HTTP 双端口，sing-box 的 Mixed 入站在同一端口上能够智能探测流入数据包的初始握手字节。如果是 SOCKS5 握手，则自动以 SOCKS 协议处理；如果是 HTTP CONNECT 报文，则无缝以 HTTP 代理姿态响应。这种高智能的统一监听模式，极大地简化了各类外设掌机与便携笔记本的连接配置工作量。

CLI 实战 1 ADB 命令行探查虚拟网卡与系统属性#

将手机连接至电脑并在终端执行：

1
# 1. 探查当前 tun0 虚拟网卡接口是否正常处于 UP 激活状态
2
adb shell ip addr show tun0
3

4
# 2. 查看当前 Android 系统底层的全局路由表与默认网关跃点
5
adb shell ip route show
6

7
# 3. 检查 sing-box 核心当前正在监听的本地代理端口状态
8
adb shell "netstat -tlpn | grep 2080"
9

10
# 4. 测试通过手机网络向 Google 探测服务器发送 HTTP 请求
11
adb shell curl -I -s --connect-timeout 5 http://www.google.com/generate_204 | head -n 5

CLI 实战 2 Termux 本地环境出口公网 IP 测试#

在手机端打开 Termux 命令行工具验证代理出海链路：

1
# 1. 验证终端访问 Google 主页返回的状态码
2
curl -I -s --connect-timeout 5 https://www.google.com | head -n 5
3

4
# 2. 查询当前终端出口呈现给外部互联网的真实公网 IP 与地理归属
5
curl -s http://ip-api.com/json/ | jq '{query: .query, country: .country, isp: .isp}'

案例一 导入订阅提示 JSON Decode Error 或 Config Invalid 报错#

• 故障现象：在新建 Remote Profile 并粘贴机场订阅 URL 点击保存时，客户端弹出红字报错“JSON decode error: invalid character”或“Profile compile failed”，无法生成可用的配置文件。
• 原因剖析：第一，订阅链接尾部不小心多复制了空格或换行符号；第二，当前机场返回的是传统的 Clash YAML 格式或 Base64 纯文本，而非合规的 sing-box JSON 格式；第三，机场订阅服务器对请求的 User-Agent 进行了拦截阻断。
• 解决方案：
  1. 仔细检查并去除订阅 URL 前后的隐藏空格；
  2. 在机场后台明确寻找带有“sing-box 订阅”字样的专属链接，或借助正规的订阅转换服务将其转写为标准 sing-box JSON 配置；
  3. 在客户端设置中，将 User-Agent 修改为常见浏览器或 clash-verge 标识后重新拉取。

案例二 开启连接后所有节点测速超时或显示 -1ms#

• 故障现象：配置导入顺利，列表中能够看到全部节点，但点击测速按钮后，所有节点全部标红超时，无法打开任何海外网页。
• 原因剖析：第一，手机系统时间与互联网授时中心存在超过 60 秒的显著误差，导致现代加密握手协议中的时间戳校验失败被服务器拒绝；第二，手机当前所连接的局域网 Wi-Fi 封锁了非标准高位端口；第三，节点配置中的协议参数存在失效（如 Reality 密钥过期或 Hysteria 2 认证密码错误）。
• 解决方案：
  1. 打开手机“设置”->“系统”->“日期与时间”，开启“自动使用网络时间”，毫秒级对准时钟；
  2. 尝试关闭 Wi-Fi，切换至手机纯 5G 移动蜂窝网络重新测速；
  3. 登录机场客户中心查看是否有突发线路维护公告，或者点击更新 Profile 拉取最新节点参数。

案例三 连接成功后国内微信或淘宝卡顿缓慢甚至断连#

• 故障现象：点击连接后，访问 Google、YouTube 速度飞快，但在使用国内办公软件（飞书、微信、钉钉）或打开淘宝、美团时，频繁出现重连卡顿，甚至国内银行客户端提示“检测到代理环境拒绝服务”。
• 原因剖析：第一，配置中的 final 兜底规则直接指向了代理节点，而规则集（Rule-Set）中缺少针对国内域名（geosite-cn）或国内 IP（geoip-cn）的 direct 直连放行声明；第二，DNS 模块缺少对国内域名的直连解析规则，导致国内域名被送往海外远程 DoH 查询，得到被严重污染的迟缓 IP。
• 解决方案：
  1. 检查配置文件中的 route.rules，确认是否存在对 geosite-cn 与 geoip-cn 的 direct 放行规则；
  2. 确认 dns.rules 中存在将 geosite-cn 路由至国内快速 DNS（223.5.5.5）的声明；
  3. 或者直接在规则中使用 package_name 字段将国内特定 App 强制绑定至 direct 出站。

案例四 锁屏一段时间后网络自动断开且无法唤醒#

• 故障现象：手机亮屏使用时一切正常，锁屏放入口袋十多分钟后，海外消息完全收不到。重新解锁点亮屏幕后，才发现 VPN 状态图标重新亮起，消息扎堆弹出。
• 原因剖析：手机厂商系统的电池管家在熄屏待机阶段将 sing-box 进程强制冻结休眠，并阻断了后台虚拟网卡的数据包收发。
• 解决方案：
  1. 在手机系统设置的电池管理中，为 sing-box 开启“电池无限制/不优化”；
  2. 在多任务管理界面将 sing-box 预览卡片手动加锁；
  3. 确认客户端内部的“前台服务通知”保持点亮，防止被系统 OOM 机制强杀。

Q1 为什么官方 sing-box Android 客户端界面如此简洁#

因为 sing-box 的核心设计哲学就是“保持核心的绝对纯粹与高性能”。它摒弃了第三方客户端常见的大量花哨动效、冗余广告与复杂浮夸的皮肤，将宝贵的计算资源与手机电量 100% 倾注于底层网络数据包的毫秒级转发与加密上。这种克制的设计使得客户端不仅体积小巧，而且长期运行极其稳定。

Q2 sing-box 会大幅度消耗手机电量吗#

在合理配置的前提下，sing-box 的电量开销处于整个行业的最低梯队。得益于内存零拷贝技术与极速规则树算法，在后台待机息屏状态下，其全天消耗的电量通常不足整机总电量的 1% 至 2%。在电池消耗排行中往往处于最末端，完全可以放心 24 小时常驻后台。

Q3 什么是 SRS 规则集 为什么它比传统规则集好#

SRS（Sing-box Rule Set）是 sing-box 专属的预编译二进制规则集格式。传统的规则集是包含数万行明文字符的文本文件，每次加载需要手机 CPU 耗费数秒时间去逐行解析字符串；而 SRS 则是预先在编译期构建好的二叉搜索树，手机可以直接将其映射进内存使用，解析时间降至微秒级，内存占用降低近 80%，运行极其轻快。

Q4 为什么有些机场节点在 sing-box 里显示不支持#

这通常是因为机场提供的节点包含了过时或非标准的协议参数，或者机场生成的 JSON 配置不符合官方规范。sing-box 严格遵循国际标准与现代密码学安全规范，对于存在重大安全漏洞的历史老旧协议（如不安全的弱加密算法）会主动进行语法拦截。建议联系机场客服获取最新的官方标准订阅。

Q5 使用 sing-box 翻墙上网 是否存在个人账号安全风险#

完全不存在。所有流经 sing-box 隧道的通信报文均受到现代工业级加密算法（如 TLS 1.3、ChaCha20-Poly1305 或 AES-128-GCM）的严密保护。即便在公共场所的开放 Wi-Fi 下，中间任何第三方嗅探者也只能看到乱码，无法解密或窥探你的个人密码与聊天隐私。

Q6 多个机场的订阅可以在 sing-box Android 中合并使用吗#

完全支持。你可以在“Profiles”面板中创建多个不同的 Remote Profile，分别输入不同机场的订阅 URL。每个 Profile 独立更新、互不干扰。你可以随时在不同 Profile 之间自由切换，也可以手动将多个节点整合进同一个主配置文件中实现混合分流。

Q7 为什么在开启 Fake-IP 后部分联机游戏无法正常游戏#

某些对网络环境有特殊苛刻要求的手游，或者采用硬编码 IP 绕过 DNS 的网络游戏，在拿到虚拟保留 IP（198.18.x.x）后可能会因为格式校验严格而拒绝建立对等连接。解决方法是：在配置文件的 route.rules 中使用 package_name 字段将该游戏明确指定为 direct 直连出站，或者在 DNS 配置中将其域名加入 fakeip.rules 过滤名单。

Q8 卸载 sing-box 之前需要注意什么 以免导致手机断网#

在卸载或退出应用之前，务必先在客户端主界面上点击关闭主连接开关，等待通知栏的 VPN 钥匙小图标彻底消失后，再执行卸载操作。如果直接强杀进程或直接卸载，系统的网络重定向机制可能发生短暂残留导致整机所有应用无法打开网页。若不慎发生，只需重启一次手机即可恢复正常网络。

Q9 sing-box Android 支持在车机或智能电视上使用吗#

只要车机中控屏幕或智能电视运行的是标准 Android 系统，sing-box 的 APK 均可正常安装运行。但由于其界面针对触控屏优化，在电视端配合遥控器使用时，建议连接蓝牙飞鼠或鼠标进行更精准的光标点击操作。

Q10 为什么节点测速只有 50ms 但看视频依然缓冲#

测速数值测量的是微小数据包的往返时间（RTT）。低延迟只代表物理距离近或握手快，并不代表该节点服务器拥有充裕的下行带宽与算力冗余。在高峰期骨干网拥堵时，建议手动切换至拥有独立跨境专线的大带宽节点，以获得高码率 4K/8K 视频的丝滑播放。