sing-box Windows 配置教程 安装、订阅与路由规则完整指南

一 入站层（Inbounds）#

定义网络数据包如何进入 sing-box。除了支持传统的 HTTP、SOCKS5 混合代理端口外，其核心优势在于深度整合了自研的高性能 TUN 虚拟网卡驱动，能够在三层网络层透明捕获系统的所有 TCP、UDP 与 ICMP 数据包。

二 DNS 路由子系统（DNS Subsystem）#

在 sing-box 的设计规范中，DNS 不再是附属于主路由的简易开关，而是一个拥有独立规则树的子路由器。它允许用户为国内域名与海外域名配置截然不同的上游解析器，并原生支持高效的 Fake-IP 映射机制。

三 路由引擎与规则集（Route & Rule-Set）#

sing-box 彻底淘汰了冗长、臃肿且解析缓慢的内嵌规则条目，转向全新的二进制预编译规则集（.srs 格式）与 Headless Rule-Set 架构。路由引擎负责在微秒级内比对数据包的域名、目标 IP、出站网络协议与操作系统进程，决定出站流向。

四 出站层（Outbounds）#

定义流量如何流向目标目的地。涵盖原生节点协议（如 VLESS-Reality、Hysteria 2、Shadowsocks 2022）、自动化调度策略组（Selector、URLTest）以及底层的 Direct 直连和 Block 阻断出站。

一 极客形态 命令行 CLI 与 Windows 原生后台服务部署#

对于服务器、软路由、本地开发工作站或追求绝对纯净的用户，直接运行官方编译的原生二进制程序是效率最高的方式：

1. 访问 sing-box 官方 GitHub Releases 发布页，下载对应架构的发布包（现代 64 位 Intel / AMD 处理器选择 sing-box-x.y.z-windows-amd64.zip）；
2. 解压至系统非保护路径，例如 C:\Tools\sing-box；
3. 将解压出的可执行程序重命名为 sing-box.exe；
4. 在该目录下放置编写好的 config.json 配置文件；
5. 在终端中通过 sing-box.exe run 即可直接在控制台中启动核心。

二 桌面形态 现代化图形客户端选型#

若习惯直观的图形化界面与节点测速矩阵，推荐使用社区基于 sing-box 打造的开源图形壳：

1. GUI for sing-box：采用现代跨平台技术构建，完美契合 sing-box 原生字段模型，支持订阅管理、可视化规则覆写与实时拓扑；
2. NekoBox for Windows：基于 C++ / Qt 打造，性能极其卓越，深度集成 sing-box 内核，支持直观的节点测速与自定义策略组选择。

一 完整的生产级 config.json 配置范式#

1
{
2
  "log": {
3
    "level": "info",
4
    "timestamp": true
5
  },
6
  "dns": {
7
    "servers": [
8
      {
9
        "tag": "dns-remote",
10
        "address": "https://1.1.1.1/dns-query",
11
        "address_resolver": "dns-direct",
12
        "strategy": "ipv4_only",
13
        "detour": "select-proxy"
14
      },
15
      {
16
        "tag": "dns-direct",
17
        "address": "223.5.5.5",
18
        "strategy": "ipv4_only",
19
        "detour": "direct"
20
      },
21
      {
22
        "tag": "dns-fakeip",
23
        "address": "fakeip"
24
      }
25
    ],
26
    "rules": [
27
      {
28
        "outbound": "any",
29
        "server": "dns-direct"
30
      },
31
      {
32
        "rule_set": "geosite-cn",
33
        "server": "dns-direct"
34
      },
35
      {
36
        "query_type": ["A", "AAAA"],
37
        "server": "dns-fakeip"
38
      }
39
    ],
40
    "fakeip": {
41
      "enabled": true,
42
      "inet4_range": "198.18.0.0/15"
43
    },
44
    "strategy": "ipv4_only"
45
  },
46
  "inbounds": [
47
    {
48
      "type": "mixed",
49
      "tag": "mixed-in",
50
      "listen": "127.0.0.1",
51
      "listen_port": 2080,
52
      "sniff": true
53
    },
54
    {
55
      "type": "tun",
56
      "tag": "tun-in",
57
      "interface_name": "singbox-tun",
58
      "inet4_address": "172.19.0.1/30",
59
      "auto_route": true,
60
      "strict_route": true,
61
      "stack": "system",
62
      "sniff": true
63
    }
64
  ],
65
  "outbounds": [
66
    {
67
      "type": "selector",
68
      "tag": "select-proxy",
69
      "outbounds": [
70
        "auto-urltest",
71
        "香港 01 专线",
72
        "日本 01 专线",
73
        "direct"
74
      ],
75
      "default": "auto-urltest"
76
    },
77
    {
78
      "type": "urltest",
79
      "tag": "auto-urltest",
80
      "outbounds": [
81
        "香港 01 专线",
82
        "日本 01 专线"
83
      ],
84
      "url": "http://cp.cloudflare.com/generate_204",
85
      "interval": "3m",
86
      "tolerance": 50
87
    },
88
    {
89
      "type": "vless",
90
      "tag": "香港 01 专线",
91
      "server": "hk01.example.com",
92
      "server_port": 443,
93
      "uuid": "e9b8b0e6-8c8f-4d3b-8211-1a2b3c4d5e6f",
94
      "flow": "xtls-rprx-vision",
95
      "tls": {
96
        "enabled": true,
97
        "server_name": "gateway.icloud.com",
98
        "reality": {
99
          "enabled": true,
100
          "public_key": "YOUR_REALITY_PUBLIC_KEY_HERE",
101
          "short_id": "0123456789abcdef"
102
        },
103
        "utls": {
104
          "enabled": true,
105
          "fingerprint": "chrome"
106
        }
107
      }
108
    },
109
    {
110
      "type": "direct",
111
      "tag": "direct"
112
    },
113
    {
114
      "type": "block",
115
      "tag": "block"
116
    },
117
    {
118
      "type": "dns",
119
      "tag": "dns-out"
120
    }
121
  ],
122
  "route": {
123
    "rule_set": [
124
      {
125
        "tag": "geosite-cn",
126
        "type": "remote",
127
        "format": "binary",
128
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-cn.srs",
129
        "download_detour": "select-proxy"
130
      },
131
      {
132
        "tag": "geoip-cn",
133
        "type": "remote",
134
        "format": "binary",
135
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geoip/rule-set/geoip-cn.srs",
136
        "download_detour": "select-proxy"
137
      }
138
    ],
139
    "rules": [
140
      {
141
        "protocol": "dns",
142
        "outbound": "dns-out"
143
      },
144
      {
145
        "ip_is_private": true,
146
        "outbound": "direct"
147
      },
148
      {
149
        "rule_set": "geosite-cn",
150
        "outbound": "direct"
151
      },
152
      {
153
        "rule_set": "geoip-cn",
154
        "outbound": "direct"
155
      }
156
    ],
157
    "auto_detect_interface": true,
158
    "final": "select-proxy"
159
  }
160
}

一 为什么废弃传统的内联规则#

在早期代理软件中，配置文件内部通常写满了成百上千行 DOMAIN-SUFFIX 或 IP-CIDR。这导致两大致命缺陷：

1. 配置极其臃肿：单个配置文件往往达到数万行，人工审阅极其困难；
2. 内存膨胀与解析卡顿：每次启动核心，程序需要逐行解析文本字符串并转换为内存对象。在低功耗设备上，仅规则解析就需要消耗数百兆内存与长达十余秒的时间。

二 SRS 二进制规则集的工程优势#

sing-box 团队定义了一套二进制规则集规范：

1. 预编译序列化：开源社区维护的规则集在云端 CI 流水线中提前完成了二叉树或 Radix 树的编译，输出为精炼的 .srs 二进制文件；
2. 极速内存直读：客户端下载 .srs 文件后，通过底层内存映射技术直读，省去了所有的反序列化过程；
3. 独立自动更新：在 route.rule_set 中声明 type: remote 并配置更新周期。sing-box 会在后台独立静默拉取规则集，完全不需要重启核心或重新加载主配置文件。

一 TUN 核心参数深度优化要点#

在 inbounds 的 TUN 配置中，以下几个关键参数的设置直接决定了网络的稳定性与吞吐上限：

1. stack: "system"：强烈推荐使用系统原生网络协议栈，在 Windows 10/11 上能带来极致的零拷贝吞吐与极低 CPU 占用；
2. auto_route: true：指示内核自动修改操作系统的全局路由表，将默认网关重定向至虚拟网卡；
3. strict_route: true：启用严格路由防护，彻底封死因多物理网卡、IPv6 漏探引发的流量穿透泄漏；
4. auto_detect_interface: true：在 route 中必须开启该项，内核会自动识别承载物理公网流量的真实网卡，避免加密握手流量再次卷入 TUN 虚拟网卡形成毁灭性的死锁环路。

一 开启 experimental.clash_api 模块配置#

在 config.json 的顶层增加以下控制块声明：

1
{
2
  "experimental": {
3
    "clash_api": {
4
      "external_controller": "127.0.0.1:9090",
5
      "external_ui": "metacubexd",
6
      "external_ui_download_url": "https://github.com/MetaCubeX/metacubexd/archive/refs/heads/gh-pages.zip",
7
      "external_ui_download_detour": "select-proxy",
8
      "secret": "MySuperSecretKey2026",
9
      "default_mode": "rule"
10
    }
11
  }
12
}

二 体验极客级 Web 仪表大屏#

配置生效后，sing-box 会在后台自动下载解压优秀的开源 Web 控制台。用户只需在日常浏览器中输入 http://127.0.0.1:9090/ui，在登录窗口输入此前配置的 Secret 密钥，即可拥有一个与商业级防火墙无异的可视化控制中心：

1. 实时流量与吞吐曲线：直观监控每一秒的上下行网络带宽，精准捕捉后台异常大流量下载；
2. 节点延迟并发测速：点击测速按钮，仪表盘并发探测所有可用节点的往返时延，并以色块直观区分优质与故障节点；
3. 活动连接实时追踪：全面洞悉当前系统的每一个出站连接来源，支持一键掐断恶意偷跑流量的连接会话。

一 基于 process_name 的精准进程匹配#

sing-box 能够通过 Windows 底层网络钩子，在数据包进入虚拟网卡的首帧精确嗅探出所属的系统进程名（可执行文件名称）。在 route.rules 中可以编写如下高阶规则：

1
[
2
  {
3
    "process_name": ["git.exe", "ssh.exe", "curl.exe"],
4
    "outbound": "select-proxy"
5
  },
6
  {
7
    "process_name": ["WeChat.exe", "QQ.exe", "DingTalk.exe"],
8
    "outbound": "direct"
9
  },
10
  {
11
    "process_name": ["steam.exe", "cs2.exe", "ApexLegends.exe"],
12
    "outbound": "香港 01 专线"
13
  }
14
]

二 进程级路由对系统性能的优化价值#

传统的基于域名反查与 IP 归属的路由匹配，需要先经历完整的 DNS 解析与庞大的 IP 网段二叉树检索，在极高并发连接时会产生轻微的时延开销。而进程级路由在数据包离开应用套接字的瞬间便直接完成了出站判定，极大地提升了游戏与高频网络请求的数据包吞吐效率。

一 编写源代码 JSON 规则集文件#

在本地新建一个名为 my-company-rules.json 的文本文件，采用标准的规则定义规范：

1
{
2
  "version": 1,
3
  "rules": [
4
    {
5
      "domain": [
6
        "corp.internal.net",
7
        "gitlab.dev.local"
8
      ],
9
      "domain_suffix": [
10
        ".internal.cloud",
11
        ".devcluster.com"
12
      ],
13
      "ip_cidr": [
14
        "10.200.0.0/16",
15
        "172.28.0.0/14"
16
      ]
17
    }
18
  ]
19
}

二 命令行编译为高性能 SRS 二进制#

在 Windows 终端中调用 sing-box 内置的 rule-set compile 子命令，一键将人类可读的 JSON 文件编译为硬件级优化的二进制文件：

1
# 将 JSON 规则集编译为二进制 .srs 文件
2
C:Toolssing-boxsing-box.exe rule-set compile --output my-company-rules.srs my-company-rules.json
3
Write-Host "私有二进制规则集已成功完成预编译构建！" -ForegroundColor Green

随后在生产配置中的 route.rule_set 内通过 type: local 直接引用编译好的 my-company-rules.srs，即可享受微秒级极速规则判定。

一 Fake-IP 模式的工作闭环与加速原理#

当启用 Fake-IP 模式时，内核会在本地维护一个高优先级的保留地址池（通常为 198.18.0.0/15）。当浏览器或操作系统发起域名查询时，sing-box 立即从池中分配一个虚拟 IP 应答，同时在内存哈希表中牢牢绑定该虚拟 IP 与原始域名的对应关系：

1. 阻断本地污染：请求域名在本地网络中不触发实际的 DNS 递归查询，因此彻底免疫了本地 ISP 运营商的劫持与伪造应答；
2. 极速建立连接：应用程序无需等待耗时数十毫秒的远程 DNS 解析返回结果，即刻开始建立 TCP 握手握流，显著减少网页初次渲染的首包延迟；
3. 避免 IP 归属地穿透：对于具有严格风控策略的海外流媒体与 AI 服务，若本地 DNS 解析泄露了国内真实 IP，可能触发跨区风控封锁。Fake-IP 彻底切断了本地与远端的解析联动，确保了地理身份的纯粹性。

二 针对国内银行与企业内网的白名单豁免#

针对国内银行、国企办公系统等特殊内网系统，可以在配置文件中将特定域名加入 fakeip.rules 白名单，强制其走系统的原生 DNS 解析流程，实现极致的安全与兼容平衡。

一 Fallback 容灾回退组#

Fallback 策略组按顺序排列节点。正常情况下始终使用首选节点，仅当首选节点发生丢包或健康检查失败时，无缝切换至备用节点：

1
{
2
  "type": "urltest",
3
  "tag": "fallback-cluster",
4
  "outbounds": [
5
    "香港 01 专线 (首选)",
6
    "日本 01 专线 (备用)",
7
    "新加坡 01 专线 (容灾)"
8
  ],
9
  "url": "http://cp.cloudflare.com/generate_204",
10
  "interval": "3m",
11
  "tolerance": 50
12
}

二 负载均衡（Load-Balance）算法实战#

在高并发数据爬取或批量分片下载场景下，sing-box 支持配置基于哈希散列的负载均衡：

1. Round-Robin（轮询机制）：将进入内核的每一个新会话按顺序交替分发至节点池，实现多节点总带宽的聚合拉满；
2. Consistent-Hashing（一致性哈希）：根据请求的目标域名或 IP 进行哈希计算，将同一目的地的流量绑定在同一出口节点上，既分散了连接并发，又有效避免了因对外 IP 频繁变动触发网银或社交账号的风控异常。

一 借助 Windows 计划任务实现开机静默提权启动#

1. 按下快捷键 Win + R 打开 taskschd.msc 任务计划程序；
2. 点击“创建任务”，在“常规”选项卡中命名为 SingBox-Daemon；
3. 勾选“不管用户是否登录都要运行”以及“使用最高特权运行”（必须获取管理员权限以创建 Wintun 虚拟网卡）；
4. 在“触发器”选项卡中，新建触发器选择“在系统启动时”；
5. 在“操作”选项卡中，新建操作选择“启动程序”，程序路径填入 C:\Tools\sing-box\sing-box.exe，添加参数为 run -c C:\Tools\sing-box\config.json；
6. 在“条件”选项卡中，取消勾选“只有在计算机使用交流电源时才启动此任务”，保证笔记本电池供电下依然自动就绪。

二 睡眠唤醒后的网络健康探针脚本#

针对笔记本睡眠唤醒后网络套接字句柄失效的偶发情况，可以在桌面常备一个自动化修复探针：

1
# sing-box 唤醒自愈与网络健康测试脚本
2
$ServiceName = "SingBoxService"
3
try {
4
    $Status = (Get-Service -Name $ServiceName -ErrorAction Stop).Status
5
    if ($Status -ne "Running") {
6
        Write-Host "检测到服务异常中断，正在尝试拉起服务..." -ForegroundColor Yellow
7
        Restart-Service -Name $ServiceName -Force
8
    }
9
} catch {
10
    Write-Host "未找到后台服务，直接测试核心进程..." -ForegroundColor Cyan
11
}
12

13
# 刷新本地 DNS 缓存并验证网关连通性
14
Clear-DnsClientCache
15
$TestResult = Test-Connection -TargetName "172.19.0.1" -Count 2 -Quiet
16
if ($TestResult) {
17
    Write-Host "TUN 虚拟网卡通信健康，网络漫游通道就绪！" -ForegroundColor Green
18
} else {
19
    Write-Host "虚拟网卡网关响应异常，请检查 Wintun 驱动状态！" -ForegroundColor Red
20
}

一 使用 NSSM 将 sing-box 注册为 Windows 原生系统服务#

NSSM（Non-Sucking Service Manager）是 Windows 平台极为优秀的后台服务包装神器。通过 NSSM 可以将 sing-box 封装为开机无需登录即可静默自启的后台守护服务：

1
# 下载并调用 nssm.exe 注册 sing-box 后台服务
2
nssm install SingBoxService "C:Toolssing-boxsing-box.exe" "run -c C:Toolssing-boxconfig.json"
3
nssm set SingBoxService AppDirectory "C:Toolssing-box"
4
nssm set SingBoxService Start SERVICE_AUTO_START
5
nssm set SingBoxService AppStdout "C:Toolssing-boxstdout.log"
6
nssm set SingBoxService AppStderr "C:Toolssing-boxstderr.log"
7

8
# 启动该系统服务
9
Start-Service SingBoxService
10
Write-Host "sing-box 已成功注册为 Windows 系统后台自愈服务！" -ForegroundColor Green

二 验证配置语法有效性#

在每次修改 config.json 后，切勿直接盲目重启服务。先在控制台中执行语法检测指令：

1
# 验证 sing-box 配置语法与规则合法性
2
C:Toolssing-boxsing-box.exe check -c C:Toolssing-boxconfig.json

如果终端输出 configuration check successful，即代表 JSON 结构、协议参数与规则集声明完全合规，方可安全重启生效。

案例一 启动服务时提示 panic json syntax error#

故障现场：某技术人员在手工编辑完 config.json 后，通过命令行启动客户端，程序瞬间崩溃闪退，控制台高频打印 fatal error: failed to parse config: invalid character '}' looking for beginning of value。
根本原因：JSON 规范对格式有着极严苛的语法要求（不允许在对象或数组的最后一个元素末尾多写逗号）。该用户在 outbounds 数组末尾添加完新节点后，多保留了一个逗号，导致 JSON 解析器语法树构建失败。
处置流程：

1. 使用 VS Code 打开该 config.json 文件；
2. 观察编辑器右下角的语法检测报警，定位到第 84 行红线标注处；
3. 删除末尾多余的英文逗号；
4. 在终端运行 sing-box check -c config.json，控制台返回检查通过；
5. 重新启动服务，核心毫秒级正常加载。

案例二 开启 TUN 模式后出现死循环且网络瞬间断联#

故障现场：用户在配置文件中开启了 TUN 虚拟网卡入站，并设置 auto_route: true。启动程序后，所有国内国外网页全部断连，物理网卡流量瞬间被跑满，CPU 单核占用飙升至 100%。
根本原因：用户在 route 配置段中遗漏了 auto_detect_interface: true 这一关键参数。当 sing-box 将系统默认路由接管至虚拟网卡后，客户端自身向海外代理服务器发起的加密握手流量，由于缺乏物理网卡出口绑定，被再次卷入虚拟网卡中，形成了致命的“数据包无限自循环转发”。
处置流程：

1. 强制终止 sing-box.exe 进程以解除死循环；
2. 在 route 配置块中加入 "auto_detect_interface": true 参数；
3. 确保直连规则中加入了针对节点服务器 IP 的豁免；
4. 重新启动核心，加密握手流量精准绑定物理以太网卡出网，死循环彻底消失，全网畅通。

案例三 二进制规则集 SRS 下载超时导致核心阻塞#

故障现场：首次在新机器上启动 sing-box 时，控制台持续打印 downloading rule-set: geosite-cn，随后因 GitHub 网络波动提示 context deadline exceeded，整个核心迟迟无法进入正常监听状态。
根本原因：配置中引用的远程规则集 URL 直接指向了公网 raw.githubusercontent.com，而在机器尚未建立代理通道的初次启动阶段，直连访问 GitHub 容易发生连接超时，而规则集又被标记为启动前必须下载。
处置流程：

1. 在规则集声明中增加 download_detour: "select-proxy" 参数，指示规则集的拉取允许经由已建立的代理节点进行；
2. 或者在无网络环境下，通过离线方式提前在本地下载好 geosite-cn.srs 与 geoip-cn.srs 二进制文件，将规则集类型由 remote 修改为本地 local 并指定本地文件路径；
3. 再次启动，核心直接内存映射本地 SRS 文件，耗时不足 20 毫秒即完成加载。

案例四 电脑系统时钟偏慢导致 Reality 协议握手静默丢包#

故障现场：用户配置了基于 VLESS-Reality 的高性能出口节点，运行 sing-box.exe 没有任何报错，但只要通过本地代理端口发起任何请求，连接均卡死在握手阶段，最终返回超时错误。
根本原因：双系统切换导致 Windows 本地系统时钟比北京基准时间慢了 4 分钟。Reality 协议内嵌的时间戳校验算法判定客户端握手包无效，直接丢弃。
处置流程：

1. 在 PowerShell 管理员模式下执行时钟同步指令：w32tm /resync /force；
2. 确认系统时间已完全精确对齐标准网络时间；
3. 再次发起网络请求，Reality 节点在 80 毫秒内完成 TLS 伪装握手，海外网络秒级畅通。

Q1 sing-box 相比 Clash 和 Xray，最大的核心优势是什么#

A1：最大的优势在于其全新架构的极简度、极低的系统常驻资源占用以及二进制规则集（SRS）带来的超凡匹配速度。sing-box 没有任何历史包袱，统一了全协议抽象模型，同时在 Windows 平台上提供了对 Wintun 虚拟网卡的原生级深度调优，特别适合追求极致性能与稳定性的极客用户。

Q2 为什么编辑 config.json 时总是报错，有什么好的工具推荐#

A2：JSON 格式不允许尾部多余逗号，且对双引号、括号匹配有着严苛要求。强烈推荐使用 Visual Studio Code 或 Sublime Text 编辑 JSON 文件，并安装官方提供的 sing-box schema 校验插件，插件能够在你输入参数时提供实时的字段自动补全和红线语法纠错，极大降低排错成本。

Q3 可以在同一个配置文件中同时配置混合代理端口和 TUN 模式吗#

A3：完全可以。在 inbounds 数组中，你可以同时定义一个 mixed 类型的入站（例如监听 127.0.0.1<2080> 用于兼容旧版浏览器或第三方软件代理）和一个 tun 类型的入站（用于操作系统全量流量接管）。两者在内核内部共享相同的 DNS 与路由引擎，互不干扰、相得益彰。

Q4 怎么把机场提供的 Clash 订阅链接转换成 sing-box 能用的配置#

A4：你可以使用支持 sing-box 格式的开源订阅转换工具（如本地搭建的 Subconverter 最新版），在转换参数中指定 target=singbox 即可一键生成标准的 JSON 配置；或者直接使用支持直接导入 Clash 订阅并自动在底层转译为 sing-box 运行的现代图形客户端（如 GUI for sing-box 或 NekoBox）。

Q5 为什么开启 TUN 模式后，国内某些网银或办公软件提示网络环境异常#

A5：部分对安全性极度敏感的国内金融软件会在系统底层检测活动网络适配器。一旦检测到存在 Wintun 等虚拟网络接口，可能触发防御报警。遇到此类场景，可临时在终端或服务管理器中暂停 sing-box 服务，待金融业务办理完毕后再行开启。

Q6 远程规则集（remote rule-set）多长时间会自动更新一次#

A6：如果在配置中未明确声明 interval，sing-box 默认会在启动时比对 ETag 或根据默认策略刷新。建议在 remote 规则集对象中显式加上 "update_interval": "24h"，指示核心每隔 24 小时在后台静默检查并增量更新一次，既保证规则新鲜，又避免了频繁请求。

Q7 为什么关闭控制台窗口后代理就立刻停止了#

A7：在 CMD 或 PowerShell 中直接运行 sing-box.exe run 时，核心进程是作为当前控制台的前台子进程运行的。一旦关闭终端窗口，操作系统会向子进程发送终止信号。若想让其在后台长期静默运行，建议使用本文第六节介绍的 NSSM 工具将其注册为 Windows 原生系统服务。

Q8 sing-box 支持打游戏加速（UDP 报文转发）吗#

A8：原生完美支持。只要在 inbounds 中启用了 tun 模式，所有的游戏 UDP 流量都会被虚拟网卡截获。随后在出站策略中为游戏选择低延迟的 IPLC 专线节点，即可实现媲美专业商业游戏加速器的低延迟联机表现。

Q9 如何在日常运行中查看 sing-box 的实时吞吐与当前活动连接#

A9：可以在配置中开启 experimental.clash_api 模块，声明开放本地控制端口（如 9090）和安全 Secret。随后在浏览器中打开任何主流的 Clash 外部仪表盘 Web 面板（如 Yacd 或 Metacubexd），连接本地控制端口即可获得极其酷炫的可视化流量看板与实时连接审计大屏。

Q10 升级 sing-box 版本时需要备份哪些文件#

A10：sing-box 本身是纯绿色单文件设计。升级时只需前往官方 GitHub 下载新版的压缩包，停止当前服务，将新版的 sing-box.exe 覆盖替换旧文件即可，原有的 config.json 与下载缓存的 .srs 规则集完全不受影响，实现真正的秒级平滑升级。

一 开启 mixed 混合端口与局域网放行#

在入站配置中，将监听地址由 127.0.0.1 修改为 0.0.0.0，指示内核接受来自局域网任意内网 IP 的网络连接：

1
{
2
  "type": "mixed",
3
  "tag": "mixed-lan-in",
4
  "listen": "0.0.0.0",
5
  "listen_port": 2080,
6
  "sniff": true,
7
  "users": []
8
}

二 Windows 防火墙入站规则一键放行#

为了防止 Windows Defender 防火墙拦截局域网内其他设备的数据包，需在管理员终端中添加防火墙放行策略：

1
# 在 Windows 防火墙中放行 sing-box 混合代理端口入站连接
2
New-NetFirewallRule -DisplayName "SingBox LAN Inbound" -Direction Inbound -LocalPort 2080 -Protocol TCP -Action Allow
3
Write-Host "局域网入站代理端口 2080 已成功放行！" -ForegroundColor Green

此时，局域网内的手机、iPad、Nintendo Switch 或开发板，只需在 Wi-Fi 高级设置中将 HTTP / SOCKS5 代理填入电脑的局域网 IP（例如 192.168.1.150）与端口 2080，即可全员无感共享高速出海通道。

一 uTLS 模拟大厂浏览器指纹#

如果客户端使用 Go 语言原生的标准库进行 TLS 握手，其指纹特征极为明显，很容易被审查探针标记为“疑似自动化代理爬虫”。sing-box 深度集成了 uTLS 库，能够在二进制层面精确伪装为真实主流浏览器的握手特征：

1. fingerprint: "chrome"：精确模拟全球市场份额最大的 Google Chrome 浏览器的 TLS 握手特征，完全混杂在数以亿计的常规网民流量中；
2. fingerprint: "ios"：模拟 Apple iOS Safari 浏览器的握手签名，适合在移动协同或特定的苹果生态网络中隐匿特征；
3. 安全效益：从根本上杜绝了因客户端指纹单一被审查防火墙定点识别丢包的隐患，大幅延长了自建 VPS 节点或机场专线节点的存活周期。

一 私有 Git 仓库托管与敏感变量隔离#

1. 结构拆分：将通用的路由分流规则、DNS 配置与私有节点凭据进行解耦存储；
2. 凭据脱敏防泄露：严禁将包含真实 UUID 或密码密钥的配置文件提交至公开 GitHub 仓库。通过私有仓库或借助环境变量（如 .env 文件）在部署时动态渲染生成最终配置文件；
3. 自动化提交钩子（Pre-commit Hook）：在本地 Git 仓库中配置 pre-commit 钩子，每次执行 git commit 前自动调用 sing-box check -c config.json。只有通过了语法校验的配置才被允许提交，从代码源头上消除了低级语法错误导致生产服务崩溃的风险。

二 跨端无缝拉取与热重载流水线#

在 Windows 工作站中编写轻量级的同步脚本，配合计划任务每日自动从私有 Git 仓库执行 git pull。若检测到配置发生变动，脚本自动触发服务热重载，实现跨设备多终端规则配置的永续自动漫游与高度协同。

一 生产级日志级别动态切换#

在 config.json 的 log 块中支持配置不同的输出级别：

1. warn 或 error（日常生产推荐）：仅在发生严重握手异常或配置错误时记录日志，日常静默无感运行，最大限度减少磁盘写入和日志文件膨胀；
2. debug 或 trace（排障联调模式）：打印每一个进入内核的数据包来源、DNS 嗅探结果以及命中的具体规则集名称。在新机场节点调试、排查特定网站无法分流时，开启 debug 级别能够让你以毫米级的颗粒度洞悉数据流向。