Sing-box 全平台客户端部署与配置完全手册：极简内核、新一代协议与多端联动实战

一、从碎片化走向统一：Sing-box 的诞生背景与技术革命

在网络科学上网与跨国网络互联的发展历程中，用户常常需要在繁多的客户端与内核之间来回权衡：有的内核速度快但协议过时，有的软件界面漂亮但底层内存泄漏严重，有的配置规则语法晦涩繁杂。更令人头痛的是，移动端（iOS / Android）与桌面端（Windows / macOS / Linux）往往使用完全不同的配置格式，导致跨设备同步维护成本极高。

正是在这一行业痛点催生下，Sing-box 诞生了。它是一款采用现代 Go 语言从零精心编写的高性能通用代理平台。Sing-box 在设计之初就确立了三大核心原则：

• 极致的运行性能与内存控制： 相比于老旧内核在长期运行数百个连接后容易出现内存膨胀的问题，Sing-box 拥有严苛的零内存拷贝（Zero-Copy）优化与内存池复用机制。即使全天候高并发传输数十吉字节数据，常驻内存占用通常仅在 30MB 至 50MB 之间，彻底消除了移动端被操作系统强杀后台的隐患；
• 现代化的全模块解耦 JSON 架构： 彻底告别了传统配置文件中杂乱无章的堆砌，将 DNS 模块、Inbounds 入站、Outbounds 出站以及 Route 路由规则全部标准化，可维护性与逻辑严密性达到了全新的高度；
• 多平台一体化原生支持： 无论是 iOS、tvOS、Android、Windows、macOS 还是嵌入式 Linux 软路由，其底层内核逻辑与规则语法完全一致。

二、Sing-box 核心配置架构深度拆解

理解 Sing-box 的运作方式，核心在于理清其标准的四大顶级 JSON 模块：

模块化逻辑说明：

1. DNS 模块： 定义了国内直连 DNS 与境外加密 DNS，根据域名的地理标签智能分流，从源头上杜绝了 DNS 污染与泄露；
2. Inbounds（入站）： 无论是开启混合代理端口（Mixed HTTP/SOCKS），还是创建系统的 TUN 虚拟网卡，入站模块负责接管来自本机的流量；
3. Outbounds（出站）： 包含了用户添加的 Candytally 糖果云 专属专线节点，以及手动/自动测速选择器；
4. Route（路由规则）： 相当于交警指挥中心，依据 GeoIP 与 GeoSite 数据库，自动分流国内流量走 direct，海外受限资源走 proxy。

三、新一代传输协议全景：为什么 VLESS 与 Hysteria2 能碾压旧协议？

随着防火墙深度包检测系统引入了高维度机器学习与统计学指纹分析，老旧的原始协议（如纯 Shadowsocks 或未伪装的 VMess）由于其数据包熵值与长度分布规律过于明显，极易遭到精准封锁。Sing-box 原生整合了目前抗审查能力与吞吐性能最强的两大新一代协议：

1. VLESS + Reality 伪装机制

传统的 TLS 伪装方案需要服务商自行购买境外合法域名并申请真实的 SSL 证书，这不仅容易在证书透明度日志（CT Log）中暴露服务器 IP，一旦域名被阻断整组节点就会瘫痪。而 Reality 协议采用了革命性的借牌伪装机制：它借用海外顶级互联网大厂（如 Apple、Microsoft、Amazon、Cloudflare）真实、权威的 TLS 证书。外部防火墙无论如何发起主动探测，得到的回包全部是完全合规的大厂签名应答，因此彻底解决了节点被主动嗅探识别的历史难题。

2. Hysteria2 极速抗拥塞协议

基于魔改的 QUIC（UDP）协议打造。传统的 TCP 协议存在致命的拥塞窗口机制，当国际公网出口遭遇 5% 的丢包时，TCP 会误以为带宽不足而自动将传输速度削减为原来的四分之一。而 Hysteria2 引入了智能丢包检测与主动跳频技术，专为恶劣的弱网环境设计，在丢包率高达 20% 的极端公网环境下依然能够跑满上百兆带宽，被称为公网环境下的“重型破冰船”。

四、在全平台客户端中极速使用 Candytally 糖果云专属订阅

为了让广大用户轻松享受 Sing-box 带来的极速体验，Candytally 糖果云官网 控制台已经原生支持一键导出适配 Sing-box 的标准化订阅配置：

1. 登录 Candytally 糖果云用户中心，在控制台首页选择“导出 Sing-box 订阅链接”并复制；
2. Android 用户： 在 Google Play 或官方 GitHub 下载 Sing-box 官方客户端，点击顶部“Profiles -> Add”，选择“Remote Profile”，粘贴订阅链接，保存后点击启用即可；
3. iOS 用户： 在外区 App Store 搜索下载 Sing-box 官方 App，点击右上角添加配置，选择从 URL 导入并开启后台自动更新；
4. Windows / macOS 用户： 推荐使用集成了 Sing-box 内核的图形化客户端（如 Nekoray、Sing-box GUI 或搭载 Meta 内核的 Clash Verge Rev），导入订阅后开启 TUN 模式，即可在全系统范围内享受到纯内网物理专线的极致丝滑体验。

五、从 Clash 迁移至 Sing-box 核心配置语法对照

很多熟悉 Clash 语法的老玩家在初次接触 Sing-box 时，容易被其严格的 JSON 结构搞混。以下是两大核心生态的关键规则映射对照：

• 域名匹配规则： 在 Clash 中使用 DOMAIN-SUFFIX,google.com,Proxy，在 Sing-box 的 route 规则中对应为 { "domain_suffix": ["google.com"], "outbound": "proxy" }；
• IP 归属地分流： 在 Clash 中为 GEOIP,CN,DIRECT，在 Sing-box 中对应为 { "geoip": ["cn"], "outbound": "direct" }；
• Fake-IP 模式定义： 在 Clash 中定义在 dns.enhanced-mode: fake-ip，而在 Sing-box 中则在 DNS 模块内部定义专用的 fakeip 地址池对象，并在 Inbound 的 TUN 模块中配置 inet4_address。

六、软路由系统（OpenWrt / iStoreOS）部署 Sing-box 核心实战

对于追求全屋智能设备（包括电视盒子、游戏主机、智能音箱）免客户端自动科学上网的用户而言，在家庭软路由中部署 Sing-box 是最优雅的终极方案：

1. 在 OpenWrt 路由器后台，安装官方 luci-app-homeproxy 或 luci-app-sing-box 插件；
2. 将 Candytally 糖果云生成的专属 Sing-box 订阅链接填入订阅节点管理面板，点击同步，系统会自动将所有 IEPL 专线节点导入本地路由列表；
3. 开启“自动故障转移 (Failover)”策略，将主选节点设置为“中国香港 01 专线”，备用节点设置为“日本东京 01 专线”。一旦遇到上游网络波动，软路由会在毫秒级完成热切换；
4. 开启透明代理与 DNS 劫持防护，全屋局域网内的所有手机、平板、电脑无需开启任何客户端，开机即可自动享受自营纯物理专线带来的极速畅连体验。

七、日常运行性能监控与排错日志查看技巧

在日常高强度使用 Sing-box 时，掌握其内置的日志排错命令能帮助您在几秒钟内快速定位网络瓶颈：

• 日志级别动态调整： 在配置文件的 log 字段中，默认建议设置为 "level": "warn" 以节省磁盘 I/O 写入。如果您在调试特定网站分流时遇到阻碍，可临时调整为 "level": "trace"，此时终端会实时打印出每一个网络包的 DNS 解析耗时、规则命中链条以及出站节点握手耗时；
• 内存常驻监测： 您可以在 Linux 或 macOS 终端中运行 top -pid $(pgrep sing-box) 观察其内存表现。得益于 Go 语言优秀的 GC 回收机制与对象池设计，Sing-box 无论连续运行多少天，内存曲线始终稳定在平稳的水平线上，绝对不会发生老旧客户端常见的内存泄漏崩溃问题。