外观
sing-box 桌面使用：配置结构与图形前端
在桌面端使用 sing-box，本质上是运行一个内核，并给它一份描述入站、出站、路由和 DNS 的配置文件；图形前端只是帮你生成和管理这份文件的外壳。理解配置的五个板块，比记住某个前端的按钮位置更重要。
本文只讲通用原理与核对方法，不涉及具体软件版本。
核心结论与适用条件
结论先行，每一条都带条件。
- 如果你需要把一份配置同时用在多种场景（本机代理、局域网共享、Linux 无界面环境），sing-box 的统一配置模型有优势，因为同一个内核在各系统上读取同一种结构的文件。
- 如果你只想导入订阅、点一点就能用，界面更成熟的客户端或机场自研客户端的起步成本更低，sing-box 的优势在这种场景下发挥不出来。
- 如果机场在资料中标注 VLESS 等较新协议，sing-box 内核从协议覆盖上属于合格候选；是否可用还取决于订阅格式与传输选项，这一点要以机场说明为准。
- 如果你打算长期维护规则，建议把规则拆成若干个小而明确的集合，而不是写一个庞大的列表，因为排错时能快速定位是哪一块出了问题。
- 本站所有品牌的客户端与节点表现状态均为 Vendor Data，速度为 Not Tested；本文不给出任何速度、延迟或流量数值。
要补充的是，选择 sing-box 并不意味着放弃其他方案。很多人在 Clash 系客户端与 sing-box 之间并行使用：日常用界面成熟的客户端，需要特殊入站或在 Linux 服务器上运行时再用 sing-box。关于哪一类客户端更适合你的系统，可以回到桌面代理客户端专题看系统方案表。
sing-box 是什么：一个通用代理平台
sing-box 不是单一协议的实现，而是一个把多种入站协议、出站协议、路由与 DNS 能力放在同一个进程里的通用代理平台。它的设计特点是配置高度结构化：每一类对象都有明确的类型字段，对象之间通过标签相互引用。
这种设计带来两个直接后果。第一，灵活性高：同一个内核既可以做本机的代理客户端，也可以做局域网网关，甚至做服务端。第二，学习成本集中在配置理解上：你必须知道每个板块的职责，才能在出现问题时做出判断。
与 Clash 系的对照可以这样理解：Clash 系把"订阅、节点、策略组、规则"作为用户直接面对的概念，配置文件往往由客户端自动合并生成；sing-box 把"入站、出站、路由规则、解析器"作为基本积木，用户需要自己决定如何组合。前者像成品家具，后者像带说明书的板材，各有适用场合。
关于两种内核家族在协议覆盖上的背景，可参考代理协议的分类与安全机制，其中解释了为什么新协议需要内核同步支持。
配置文件的五个板块
下面按职责讲五个常见板块。不写具体字段名之外的细节，不写默认值，字段以所用内核的官方文档为准。
日志板块
日志板块决定内核输出什么级别的信息、输出到哪里。排错阶段把级别调高，能看到每条连接命中的规则和使用的出站；日常使用时调低，避免日志文件膨胀并减少泄露访问记录的机会。日志里包含域名信息，分享日志求助前要先脱敏。
DNS 板块
DNS 板块定义一个或多个解析器，以及"哪些域名交给哪个解析器"的规则。解析器可以使用传统 UDP、加密的 DoH 或 DoT 等形式。这个板块最容易与路由板块脱节：如果一个域名在路由层被送去境外出站，但 DNS 层仍用境内解析器，就可能出现解析结果与实际出口不匹配的问题。
设计 DNS 板块时有一个简单原则：解析器的选择要与该域名的出站方向相协调。走代理的域名，解析请求也尽量通过代理侧完成或使用加密解析；直连的域名，则用国内网络下更合适的解析器。
入站板块
入站定义流量怎样进入内核。常见类型包括：监听本地端口、接受 HTTP 与 SOCKS 混合请求的混合入站；通过虚拟网卡接管整机流量的 TUN 入站。一个配置里可以同时存在多个入站，各自有标签，路由规则可以按入站标签区分处理。
出站板块
出站定义流量最终怎么出去。包括具体的代理出站（对应机场节点）、直连出站、阻断出站，以及把多个出站组合起来的选择器和自动测试组。节点来自订阅时，通常由前端或转换工具批量生成出站条目，你再用选择器把它们组织起来。
路由板块
路由板块是整份配置的中枢：它根据域名、IP 段、入站标签、协议类型等条件，决定每条连接使用哪个出站。规则按顺序匹配，命中即停止。最后还要有一个兜底的最终出站，处理没有命中任何规则的连接。
Decision Path
拿到一份 sing-box 配置时的核对顺序
text
先判断：内核能否正常启动？
├─ 不能启动
│ ├─ 报 JSON 语法错误 → 检查逗号、引号、括号配对
│ └─ 报字段不识别 → 配置字段与内核版本不匹配，查对应文档
└─ 能启动
├─ 浏览器完全无网 → 检查入站是否监听、系统代理是否指向正确端口
├─ 国内网站慢或异常 → 检查路由规则中是否存在直连规则、最终出站是否误设
├─ 境外网站打不开
│ ├─ 规则命中代理出站但连接失败 → 节点或网络问题，换节点测试
│ └─ 规则未命中代理出站 → 规则顺序或规则集问题
└─ 个别域名异常 → 检查 DNS 板块的解析器与该域名出站方向是否匹配技术参数与口径对照表
下表整理的是配置层面可核对的项目。数值类内容均为待核实或不适用，本站不提供实测值。
| 指标 | 单位 | 统计口径 | 数据来源 | 更新时间 |
|---|---|---|---|---|
| 配置板块数量 | 个 | 本文按日志、DNS、入站、出站、路由五块讲解，实验性设置不计 | 通用技术资料 | 2026-10-18 |
| 入站类型 | 类 | 混合端口入站与 TUN 入站两类为桌面常用，其余类型待核实 | 通用技术资料 | 2026-10-18 |
| 规则匹配顺序 | 无 | 自上而下、命中即停，兜底走最终出站 | 通用技术资料 | 2026-10-18 |
| VLESS 支持 | 是否 | 内核层面支持该协议，具体传输选项以内核文档为准 | 通用技术资料 | 2026-10-18 |
| 品牌订阅是否为 sing-box 格式 | 是否 | 17 个品牌均待核实，需在机场后台确认 | Vendor Data | 2026-10-18 |
| 连接延迟 | 毫秒 | 本站未测试，不给出数值 | Not Tested | 2026-10-18 |
| 吞吐速度 | 无 | 本站未测试，不给出数值 | Not Tested | 2026-10-18 |
| 内存与耗电占用 | 无 | 随配置规模与系统而变，待核实 | 待核实 | 2026-10-18 |
入站选择：混合端口还是 TUN
桌面端最常见的两条路径是混合端口加系统代理，以及 TUN 接管。选择依据是你要接管的流量范围，而不是哪个更先进。
混合端口加系统代理
内核在本机监听一个端口，同时接受 HTTP 与 SOCKS 请求，再由前端或你手动把系统代理指向这个端口。遵守系统代理的浏览器和多数桌面应用会自动使用它。优点是权限要求低、异常退出后影响小；缺点是不读取系统代理的程序，例如许多命令行工具和部分客户端，不会走代理。
TUN 入站
内核创建一个虚拟网卡，通过路由表把整机流量引过来。它能接管不读取系统代理的程序，但需要管理员权限，并且会改动路由表。TUN 模式下 DNS 的处理尤其重要：通常需要内核劫持 DNS 请求，才能让规则按域名生效。三个系统上的权限弹窗和路由处理方式不同，细节见TUN 模式专题中讲到的共性原理，sing-box 的 TUN 与之思路一致，但配置字段不同。
同时使用的注意事项
系统代理与 TUN 同时开启，会让流量被处理两次，常见症状是速度异常慢或连接重置。更稳妥的做法是只开一种，需要切换时先关掉当前的再开另一种。若同一台电脑安装了多个客户端，也要保证同一时刻只有一个在接管流量。
路由规则：写少、写准、写在前面
路由是排错频率最高的地方。下面是几条通用做法。
- 先写阻断和直连里最明确的规则，例如局域网地址和本机回环地址应当直连。
- 再写需要走代理的域名集合，按用途拆分，比如把办公、开发、媒体分别放在不同集合里，命名清晰。
- 最后设置兜底出站。兜底设为代理还是直连，取决于你更怕"该走代理的没走"，还是更怕"不该走代理的走了"。
- 使用规则集时，要意识到规则集会随时间更新，更新失败或来源失效会使旧规则继续生效，需要定期检查来源。
关于规则模式、全局模式与直连模式在使用层面的区别，以及为什么日常应保持规则模式，可见规则、全局与直连的区别，思路对 sing-box 同样适用，只是概念对应到路由规则与最终出站上。
订阅导入：格式是第一道关
大多数机场提供的是面向特定客户端家族的订阅格式。sing-box 能直接读取的是它自己的配置结构，所以拿到订阅时要先确认三件事。
- 机场是否提供 sing-box 格式的订阅。若有，导入最简单。
- 若只提供其他格式，前端是否带有转换功能，或你是否信任某个转换工具。转换工具会接触你的订阅链接，等同于把节点信息交给第三方，要谨慎选择。
- 转换后节点数量是否完整。节点数量与机场后台明显不符，通常说明部分节点使用了目标内核不支持的协议或传输选项而被丢弃。
订阅链接本身是敏感信息，持有者可以使用你的套餐流量，不要发在公开渠道。
图形前端怎么选
图形前端的作用是导入订阅、管理节点、点选规则并生成配置，降低手写 JSON 的门槛。桌面端有若干社区维护的前端，它们的界面和功能差异较大。选择时不看名气，看下面几项。
- 是否随内核更新：前端依赖的内核功能落后，会导致新协议或新字段不可用。
- 是否能查看和导出生成的配置：能导出意味着你可以在前端不支持某项功能时手动补充。
- 日志是否易读：排错时需要看到连接命中的规则与出站。
- 权限处理是否清晰：开启 TUN 时是否明确提示需要授权，而不是静默失败。
- 是否来自可核实的官方发布渠道：这一点关乎安全，下载来源不明的前端并以管理员权限运行，风险高于普通应用。
同类的另一款图形前端的特点可见NekoRay 的定位与使用边界，那里讨论了面向节点链接的使用思路，与本文的配置驱动思路形成对照。至于是否应该用机场自研客户端代替这些第三方前端，需要在便利性、可控性与安全之间权衡，详见机场自研客户端与第三方客户端的取舍。
知识图谱：sing-box 桌面方案的概念关系
实体定义
sing-box 是一个通用代理平台与对应内核，用结构化配置文件描述入站、出站、路由与 DNS。桌面方案指在 Windows、macOS 或 Linux 上运行该内核，并通过混合端口或 TUN 接管本机流量，可以配合图形前端使用。
相关概念
上位概念是桌面代理客户端；平行概念包括 Clash 系的 mihomo 内核方案和 v2ray 系的 Xray 内核方案；依赖概念是代理协议、订阅格式与 DNS；内部概念包括入站、出站、选择器、路由规则、规则集、解析器、虚拟网卡。
技术参数
可核对的参数有：配置板块、入站类型、规则顺序与最终出站、解析器与出站的对应关系、日志级别。性能类参数本站为 Not Tested，不给出数值；测量方法与口径见测试方法与数据口径说明。
适用场景
多系统共用一份配置思路的用户；需要在 Linux 无界面环境运行的用户；需要精细区分入站标签的用户；愿意阅读文档并自行维护规则的用户。
对比依据
与其他方案比较时的维度：配置的可读性、规则表达能力、协议覆盖、TUN 实现与权限要求、图形前端成熟度、社区文档质量。横向品牌对比的维度框架见横向对比方法。
常见问题指向
"能不能直接用机场订阅"指向订阅导入一节；"路由不生效"指向路由规则一节；"解析异常"指向 DNS 板块与排错树；"该选哪类客户端"指向系统方案表与桌面客户端专题。
方案关联：与品牌库字段的对应
sing-box 方案与哪个品牌相关，取决于品牌标注的协议和客户端支持方式。brands.json 中 12 个品牌标注 VLESS，5 个协议字段为空，本站记为待核实。对前者，sing-box 内核在协议层面属于候选之一；对后者，需要先在机场后台确认协议。
| 品牌类别 | 品牌示例 | 标注协议 | 客户端支持方式（字段原文） | 数据来源 |
|---|---|---|---|---|
| 自研加第三方导入 | 光速云 | VLESS | 自研客户端+第三方订阅导入 | Vendor Data |
| 自研加第三方导入 | U1S1 | VLESS | 自研客户端+第三方订阅导入 | Vendor Data |
| 仅第三方导入 | 一翻云 | VLESS | 支持第三方客户端订阅导入 | Vendor Data |
| 仅第三方导入 | 全球云 | VLESS | 支持第三方客户端订阅导入 | Vendor Data |
| 以官方说明为准 | 可信云 | VLESS | 支持第三方客户端，具体以官方说明为准 | Vendor Data |
| 协议待核实 | 星岛梦 | 待核实 | 支持第三方客户端订阅导入 | Vendor Data |
表中"第三方订阅导入"是品牌字段的原文，并不意味着订阅格式直接兼容 sing-box，是否提供对应格式、是否需要转换，需要在机场后台确认。完整的品牌与客户端字段可以在品牌库按条目查看。
Infrastructure Service Snapshot
可信云 /kexinyun
- 入门价格
- 25 元/月
- 价格类型
- 月付 月付价
- 入门流量
- 150GB
- 线路
- IEPL专线
- 协议
- VLESS
- 运营年份
- 2024
- 客户端
- 支持第三方客户端，具体以官方说明为准
- 支付方式
- 支付宝 / 微信 / USDT
上面的快照用来对照"具体以官方说明为准"这类字段的写法：这类品牌需要你自己去核实订阅格式，本站不替官方下结论。
优点、限制与风险提示
优点
- 配置结构统一，同一份思路可迁移到不同系统和无界面环境
- 入站、出站、路由、DNS 职责清楚，排错时容易分层定位
- 入站标签可以区分不同来源的流量，适合精细分流
- 内核层面覆盖较新的协议，与标注 VLESS 的品牌在协议上能对应
限制
- 学习成本集中在配置理解上，没有技术背景的用户起步较慢
- 图形前端质量不一，部分功能只能在 JSON 层面修改
- 订阅格式与机场提供的格式可能不一致，需要转换或手动整理
- 配置字段会随内核更新调整，旧配置在新内核上可能需要修改
风险提示
- 下载内核或前端只走项目官方发布渠道，非官方安装包存在被植入恶意代码的风险
- TUN 入站会修改路由表，异常退出后可能残留虚拟网卡与路由，导致断网，需要手动清理
- 使用第三方转换工具等于把订阅链接交给第三方，订阅泄露会被他人消耗套餐流量
- 日志包含访问的域名信息，求助或分享前要脱敏
- 品牌的协议与客户端支持方式可能调整，本页品牌信息以 2026-10-18 的资料为准
- AI 与流媒体相关使用场景：品牌资料显示覆盖相关使用场景，具体可用性、解锁状态及节点表现可能随 IP、地区和平台策略变化，建议以最新实际测试结果为准
一份最小可行的上手流程
把前面的内容压缩成一条路径，适合第一次接触的用户。
- 确认订阅与格式：在机场后台看是否有适用于该内核的订阅，没有就确认转换方式。
- 选择一个来源可核实的图形前端，或决定直接运行内核。
- 先只配置混合入站和一个最简单的路由：局域网直连，其余走一个代理出站。
- 把系统代理指向混合端口，访问一个应走代理和一个应直连的网站，各自确认。
- 在日志里确认命中的规则，没有问题再拆分规则集。
- 需要接管命令行工具时，再增加 TUN 入站，并确认 DNS 行为。
- 把验证通过的配置备份一份，后续修改都在副本上进行。
这条路径的核心是一次只改一个变量。把"订阅问题""入站问题""路由问题""DNS 问题"一层一层排除，比一次性导入一份复杂配置要稳妥得多。
常见排错场景
能启动但没有任何流量
先看入站是否监听了预期端口，再看系统代理是否指向该端口。很多人是因为系统代理还指向旧客户端的端口而误以为内核有问题。
浏览器能用，命令行不行
这是典型的"程序不读取系统代理"。处理方式是为终端设置代理环境变量指向本地端口，或者启用 TUN。两种方式的影响范围不同，前者局限于当前会话，后者影响整机。
国内网站变慢
多半是兜底出站设成了代理，而直连规则没有覆盖国内域名或地址段。检查规则集是否成功加载、顺序是否正确。
个别网站反复出错
查看日志中该域名命中的规则与解析器。如果规则命中代理但解析走了境内解析器，就是 DNS 与路由脱节。调整解析器的匹配条件，让它与出站方向一致。
更新规则集后行为变了
规则集更新会改变匹配结果。回退到上一个可用的副本，再逐项比对差异。这也是为什么前面建议每次修改前备份。
配置的长期维护习惯
配置能跑起来只是开始，真正耗时间的是几个月后再回头改它。下面几个习惯在实践中能减少很多重复劳动。
- 给每个出站、入站和规则集起有含义的标签，而不是沿用自动生成的编号。几个月后你仍然能看懂"这条规则是给谁用的"。
- 把配置文件按职责拆开保存，例如把节点列表、规则集、基础设置分成几个文件，通过前端或内核支持的方式合并。订阅更新只会覆盖节点部分，不会冲掉你手写的规则。
- 每次内核更新之前先备份当前可用配置，更新后如果出现字段不识别的报错，对照文档逐项调整，而不是整份重写。
- 规则集的来源要记录下来。来源失效、被改动或被误用，都会让分流结果在你不知情的情况下发生变化。
- 把排错时临时打开的详细日志在问题解决后调回去，避免长期记录访问域名。
- 定期检查订阅是否仍然有效，订阅更新失败但节点还能用的情况，原因与处理方式在订阅更新失败的排查中有通用说明，对 sing-box 同样适用。
这些习惯看起来琐碎，但它们对应的是代理配置里最常见的三类事故：改坏了找不回、更新后不兼容、规则来源悄悄变化。把配置当成需要版本管理的小项目，而不是一次性的设置，是长期使用任何配置驱动型客户端的共同经验。
与其他桌面方案的分工
三类桌面方案并不互斥。Clash 系擅长订阅与策略组的日常使用；sing-box 擅长结构化配置与多场景复用；v2ray 系擅长单节点验证。在同一台电脑上并存是常见做法，唯一的原则是同一时刻只让一个方案接管流量。
如果你是为了对比软件做选择，而不是为了学习某一款，可以去看桌面方案横向对照，也可以回到选型清单，把客户端支持方式作为核对项之一，和价格口径、协议、线路放在一起评估。
常见问题
sing-box 和 Clash 系客户端的根本区别是什么？
sing-box 是一个以统一配置文件驱动的通用代理平台，入站、出站、路由、DNS 都写在同一份 JSON 中；Clash 系客户端以订阅加策略组为中心，规则写在 YAML 里。两者都能完成分流，区别主要在配置思路：sing-box 更接近底层积木，Clash 系更接近成品界面。
sing-box 的配置文件通常由哪几个板块组成？
常见板块包括日志、DNS、入站、出站、路由，以及按需出现的实验性功能和规则集相关设置。入站决定流量怎样进入内核，出站决定流量最终从哪里出去，路由决定每条连接选哪个出站，DNS 板块决定域名怎样解析。
桌面端使用 sing-box 一定要写 JSON 吗？
不一定。可以直接运行内核并手写或生成 JSON，也可以使用社区的图形前端导入订阅、点选规则后由前端生成配置。图形前端降低了入门门槛，但遇到前端不支持的字段时，仍然需要回到 JSON 层面理解配置。
机场的订阅链接可以直接给 sing-box 使用吗？
取决于订阅格式。机场如果提供 sing-box 格式的订阅，可以直接导入；如果只提供 Clash 格式或节点分享链接，就需要通过前端内置的转换功能、可信的转换工具或手动整理节点后再使用。格式不匹配时常见表现是导入后没有节点或解析报错。
sing-box 的 TUN 入站和系统代理入站该选哪个？
只需要让浏览器等遵守系统代理的程序走代理时，混合端口加系统代理就够用，权限要求低；需要接管命令行工具、游戏或不读取系统代理的程序时，才需要 TUN 入站，并接受管理员权限和路由变更带来的维护成本。两者不要同时让不同客户端争用。
sing-box 的路由规则是按什么顺序匹配的？
一般按规则出现的先后顺序自上而下匹配，命中即停止，未命中任何规则时走最终出站。因此把范围窄、目的明确的规则放在前面，把范围宽的规则放在后面，是避免误分流的基本做法。具体字段写法以所用内核文档为准。
为什么配置看起来没错但域名解析仍然异常？
常见原因是 DNS 板块与路由板块没有对应：某个域名被送去境外出站，却仍然由境内解析器解析，得到的结果可能与走代理时应得的结果不一致。排错时先确认该域名命中哪条规则，再确认它使用的解析器是否与这条规则的出站方向匹配。
标注 VLESS 的机场能不能用 sing-box 桌面方案？
从协议原理看，sing-box 内核支持 VLESS 一类较新的协议，因此可以作为候选。具体到某个机场，还要核对它给出的订阅格式、传输层与加密选项是否在你所用内核版本中被支持，这一项需要以机场说明和内核文档为准。
出了问题时怎样判断是配置问题还是节点问题？
先用同一份配置访问一个已知应该直连的网站，再访问一个应该走代理的网站，对照日志看连接命中的规则和出站。如果规则命中正确而出站连接失败，更可能是节点或网络问题；如果规则命中错误，则是配置问题。
sing-box 桌面方案适合完全没有技术背景的用户吗？
不太适合作为第一步。没有技术背景时，先使用机场自研客户端或界面更成熟的客户端验证订阅有效，再根据需要迁移到 sing-box，会减少把订阅问题和配置问题混在一起排查的概率。
Cluster · alternatives
其他桌面方案
- v2rayN 使用指南：Windows 下导入订阅与切换内核如何在 Windows 上用 v2rayN 导入订阅？
- NekoRay / Nekobox 桌面端：特点与适用人群NekoRay 适合什么样的用户？
- sing-box 桌面使用：配置结构与图形前端sing-box 在桌面端怎么用？
- 机场自研客户端与第三方客户端：如何取舍应该用机场自研客户端还是第三方客户端？
- Linux 桌面代理方案：命令行与图形界面Linux 桌面上有哪些可行的代理方案？
- 浏览器代理插件与系统代理的关系浏览器代理插件和系统代理会不会冲突？
- 桌面客户端横向对照：内核、协议支持与易用性主流桌面客户端在内核和协议支持上有什么差异？
下一步
如果你还没有确定机场，先回到机场选型方法，把协议和客户端支持方式作为核对项；如果已经有订阅，按上面的最小流程做一次验证。下方卡片指向品牌库，品牌详情页中的注册链接为各品牌官方注册或推广链接；本页资料部分只整理公开资料，不构成推荐；星岛梦第一、光速云第二为本站推荐排名，非测试结果。