sing-box 教程：导入机场订阅、配置文件结构与 TUN 模式（2026）

sing-box 是什么，和 Clash 有什么不同

sing-box 是近几年发展很快的代理内核，设计目标是用一套统一的 JSON 配置跨平台运行，Windows、macOS、Linux、安卓、iOS、Apple TV 都有官方或社区的图形壳。与 Clash（Mihomo）相比，它们解决的是同一类问题——按规则把流量分发到不同节点，但在几个方面有差别：

一句话总结：想少折腾选 Clash 系客户端（见Clash Verge Rev 教程），想要统一配置、跨平台一致、愿意看 JSON 的用户选 sing-box。协议层面的区别可以读协议科普。

用 sing-box 之前要准备的订阅与客户端

推荐选择的机场最好在用户中心明确提供 sing-box 格式订阅，这类订阅通常已经分好了策略组和规则。本站收录的 17 家品牌资料大多只写「支持第三方客户端订阅导入」，没有逐一列出 sing-box，是否提供 sing-box 专用链接要到用户中心看或问客服；协议明确为 VLESS 的几家（光速云、SOGO 云、宇宙云、二猫云等）在 sing-box 上实现最成熟，即使只有 Clash 订阅也容易转换。

分步操作：从安装到联网

第一阶段：安装客户端

1. Windows / macOS / Linux：到 sing-box 项目的官方站点或 GitHub Releases 下载图形客户端安装包。Windows 选 x64 安装版，macOS 按芯片选 Apple 芯片或 Intel 版本，Linux 按发行版选包。安装后首次启动，macOS 会要求授权网络扩展，Windows 会要求管理员权限，都要同意，否则 TUN 用不了。
2. 安卓：在 GitHub Releases 下载 arm64 的 APK，或在 Google Play 搜索官方客户端。首次启动需要同意 VPN 连接请求。
3. iOS / Apple TV：用非国区 Apple ID 在 App Store 安装官方客户端。
4. 各平台界面大体一致：「仪表盘」看状态与流量，「配置」管理订阅，「组」选节点，「日志」排错。

第二阶段：导入订阅（远程配置）

1. 登录机场用户中心，复制 sing-box 订阅链接。若只有 Clash 链接，先按订阅转换教程得到 sing-box 格式链接，或者使用内置转换的客户端。
2. 在客户端的「配置」页点新建，类型选「远程」（Remote），名称填机场名，URL 粘贴链接，自动更新间隔填 12–24 小时。
3. 保存后客户端会立即拉取配置。如果提示解析失败，大概率不是 sing-box 格式，回到第 1 步。
4. 选中该配置，回到仪表盘点启动。桌面端会弹出权限请求，安卓弹出 VPN 连接请求，确认即可。

第三阶段：选节点并验证

1. 进入「组」页面，机场一般会提供「节点选择」「自动选择」以及按地区、按用途的分组。先点测速，对所有节点测一次延迟。
2. 在「节点选择」里挑一个延迟低、线路为专线的节点，比如香港或日本节点。
3. 浏览器访问一个国外网站确认能打开，再访问一个国内网站确认速度正常。

看懂 sing-box 配置文件的四大块

机场下发的 sing-box 配置是一个 JSON 文件，不管多长，骨架都是下面几部分。理解它们是后面自己改分流、排查问题的基础。

inbounds：流量从哪里进来

最常见两种：tun 入站创建虚拟网卡接管系统全部流量；mixed 入站在本地监听一个端口，同时提供 HTTP 与 SOCKS 代理给浏览器等程序用。机场配置通常同时包含两者，图形客户端会按你的选择启用其中一种。tun 入站里的 auto_route 控制是否自动设置系统路由，strict_route 用来防止流量绕过 TUN 泄露，排查「开 TUN 后部分程序没网」时常要看这两个开关。

outbounds：节点与策略组

每个机场节点就是一个 outbound，类型是 shadowsocks、vless、hysteria2 等，带服务器地址、端口和凭据。策略组也是 outbound：selector 是手动选择组，urltest 是自动测速组，它们的 outbounds 字段列出成员的 tag。另外必有两个特殊出站：direct（直连）和 block（拦截）。路由规则最终都是把流量交给某个 outbound 的 tag。

route：分流规则

route.rules 是一组按顺序匹配的规则，每条用 rule_set、domain_suffix、ip_cidr、process_name 等条件匹配流量，再用 outbound 指定去向。route.rule_set 定义远程规则集，比如国内域名列表、国内 IP 段、广告域名列表、各流媒体与 AI 服务的域名列表，由客户端定期下载。final 是兜底出站，一般指向「节点选择」组。想深入可读分流规则教程。

dns：域名解析怎么走

sing-box 的 DNS 是独立配置的：dns.servers 列出若干 DNS 服务器并各自带 tag，dns.rules 决定哪些域名用哪个服务器。典型做法是国内域名走国内 DNS 直连，其余域名走海外 DNS 并经代理查询。这一块配错是「连上了但打不开网页」的头号原因。

关键设置解释：TUN 模式怎么用才稳

sing-box 的特色是默认走 TUN，这意味着游戏、终端、不读系统代理的程序都会被接管，不用再像 Clash 那样纠结系统代理与 TUN 二选一。但要注意几个点：

• 权限。Windows 需要管理员权限运行或安装服务；macOS 需要批准网络扩展；Linux 需要 root 或 CAP_NET_ADMIN。权限不足时日志会有 operation not permitted 类报错。
• 不要再开系统代理。如果你之前用过其他客户端留下了系统代理设置，先清掉，否则流量会在本机绕圈。
• 协议栈选择。tun 入站的 stack 有 system、gvisor、mixed 几种。默认即可，遇到特定游戏或软件兼容问题再换。
• 严格路由。strict_route 开启后更能防止泄露，但在部分 Windows 环境会导致局域网设备访问异常，按需取舍。
• Windows 下专门的坑（防火墙、虚拟网卡驱动冲突等）我们单独写在Windows TUN 教程里。

怎么确认 sing-box 已经接管流量

1. 仪表盘状态：显示运行中、上下行流量有数字变化。
2. 出口 IP：浏览器打开「查我的 IP」类网站，地区应与所选节点一致。
3. 连接面板：客户端的连接或日志页面能看到每条连接匹配到的规则名和出站 tag，国内域名应显示 direct，国外域名显示节点组名。
4. DNS 检查：访问一个带 DNS 泄露检测的网站，解析服务器应为海外，不应出现国内运营商 DNS。
5. TUN 覆盖：打开一个不读系统代理的程序（如终端里 curl 一个国外地址），能通就说明 TUN 接管生效。
6. 流媒体 / AI：切到对应分组后验证，解锁情况以机场品牌资料标注为准，建议先月付观察，相关排查见Netflix 检测代理。

sing-box 的常见问题速查

进阶：在不改订阅的前提下定制规则

多数图形客户端提供了「覆写」或「合并配置」机制：你单独写一小段 JSON，客户端在每次加载远程配置时自动叠加。常见用法：

• 加一条 domain_suffix 规则，把公司内网或某个国内 CDN 域名强制直连；
• 加一条 process_name 规则，让某个游戏或下载工具直连以节省流量；
• 把 AI 服务相关的规则集指向一个固定节点，避免自动测速切换导致反复验证，具体可参考ChatGPT 机场推荐；
• 更换 DNS 服务器，或为特定域名指定解析服务器。

如果你的客户端没有这类功能，可以用自建或可信的订阅转换服务把自定义规则写进订阅链接里。转换服务会看到你的订阅内容，隐私风险与自建方案在订阅转换教程里有详细讨论。

哪些机场用 sing-box 最顺手

衡量标准很简单：协议为 VLESS 等 sing-box 实现成熟的新协议、专线线路减少重连、有自研客户端可以在 sing-box 折腾不顺时兜底。本站 17 家没有一家在品牌资料里单独写明 sing-box，是否提供 sing-box 订阅以用户中心为准。下表按评分列出协议与客户端情况：

月付 ¥14.9 的宇宙云（VLESS + IEPL，自研客户端）是不想年付的用户里协议最明确的一家，设备数以官网为准。更多客户端层面的比较见sing-box 客户端页。

常见问题