sing-box 配置导入后不能连接怎么办？按阶段定位并复测
简答：sing-box 配置导入后不能连接，先判断失败发生在哪一层：配置没有真正解析、内核没有启动、节点握手失败，还是客户端已运行但应用流量没有接管。最快的做法是备份原配置，查看日志，暂时关闭复杂分流和 TUN，只保留一个可确认的节点进行复测；不要一开始就固定修改 DNS、MTU 或系统权限。
定义：sing-box 配置导入后连接失败，是指配置文件能够被客户端保存或显示，但启动、节点建立连接、DNS 解析或应用流量转发中的某一环节没有完成。
先看故障发生在哪一层
sing-box 使用 JSON 配置结构，配置中通常包含 dns、inbounds、outbounds 和 route 等部分。配置能在界面中出现，不等于 JSON 已经通过校验，也不等于节点、路由和系统代理都已生效。官方文档提供了 sing-box check 校验命令；如果你使用的是图形客户端，优先查看客户端的配置校验结果和运行日志。sing-box 配置结构与校验说明
| 现象 | 先查什么 | 判断标准 | 下一步 |
|---|---|---|---|
| 导入后提示格式错误或无法保存 | 返回内容和 JSON 格式 | 内容是否为 JSON，而不是网页、登录页或 Clash YAML | 重新获取原始配置，确认订阅权限和格式 |
| 配置保存了，但启动立即停止 | 日志中的字段、版本和权限错误 | 是否出现 invalid config、未知字段或端口占用 | 备份后修正字段，或使用与配置匹配的客户端/核心版本 |
| 客户端运行，但所有节点超时 | 节点地址、端口、TLS 和 DNS | 切换单个节点后是否仍为 timeout 或 TLS handshake | 先核对节点参数，再对比其他节点 |
| 节点显示可用，但网页打不开 | 系统代理、TUN/VPN 权限和路由 | 客户端日志是否有连接记录，目标应用是否出现在连接列表 | 关闭其他代理软件，分别测试系统代理和 TUN |
第一阶段：确认导入的内容和格式
- 备份配置。先复制原配置或记录远程订阅地址，不要直接覆盖唯一可用文件。订阅地址可能包含身份凭据，分享截图或日志时应打码。
- 检查返回内容。如果把订阅地址粘贴到浏览器或下载工具后，返回的是登录页、报错页、HTML 或 Clash YAML，sing-box 不能把它当作原生 JSON 配置直接使用。配置格式不兼容时，应使用提供方明确支持的转换方式，并核对转换结果，而不是只修改文件扩展名。
- 检查关键对象。配置至少应能找到实际使用的
outbounds。如果只有节点定义，没有默认出口、选择器或正确的路由引用，导入可能成功但没有可用连接路径。 - 执行校验。在拥有 sing-box 命令行程序的桌面环境中，可在配置文件所在目录运行
sing-box check；具体参数以当前版本帮助信息为准。校验通过只说明配置结构和字段基本可接受，不代表远端节点一定在线。
如果校验失败，先保存错误原文，再根据错误位置处理。不要把一个旧版本配置中的字段全部删除；部分字段可能只是当前核心版本不再支持，应该查看对应版本的变更说明，并保留可回滚副本。
第二阶段：配置能保存但启动失败
启动失败常见于字段与核心版本不匹配、端口被其他程序占用、引用的规则集或证书文件不可用，以及权限不足。不同客户端可能内置不同核心版本，不能只看图形客户端名称判断兼容性。官方发布记录显示，sing-box 在不同版本会增加、弃用或移除配置字段，因此升级前应先查看客户端版本与核心版本，并以对应文档为准。sing-box 官方发布记录
- 记录客户端版本、核心版本和完整错误行，避免只记录“启动失败”。
- 暂时移除或停用无法确认来源的远程规则集、外部证书和复杂分流，保留一个基础配置副本。
- 检查本地监听端口是否已被其他代理程序占用。不要直接把端口改成固定值；先确认占用程序，再决定停止冲突程序还是调整监听端口。
- 如果错误涉及 TUN、VPN 或系统代理权限，先关闭这些增强模式，用普通代理方式验证节点本身。
回滚方法：停止客户端，恢复备份配置，关闭刚刚新增的规则集、TUN 或系统代理，再重新启动。若恢复后仍失败，保留日志和配置版本差异，不要继续叠加修改。
第三阶段：客户端运行但节点无法连接
日志关键词可以帮助缩小范围，但不能单独证明某一个原因：
timeout：表示在设定时间内没有完成连接或响应，可能涉及地址、端口、网络路径、节点状态或防火墙。connection refused：通常表示目标地址主动拒绝连接，优先核对端口、服务状态和节点参数。TLS handshake：优先核对服务器名称、证书校验、传输方式、端口及 TLS 相关字段；不要为了“先连上”而关闭证书校验。DNS、resolve或no such host：先确认域名能否解析，再判断是本地 DNS、配置中的 DNS 路由还是节点本身的问题。invalid config：回到配置结构和版本兼容性检查，不要把它当作节点失效。
- 只选择一个节点测试，避免同时切换多个变量。
- 若单节点失败，再选择同一配置中的另一个节点比较。
- 检查节点的地址、端口、用户标识、传输和 TLS 参数是否完整；敏感字段不要公开粘贴。
- 暂时关闭复杂规则和远程 rule-set，确认基础出站是否能建立连接。官方文档说明，路由规则会把匹配到的流量交给指定的出站，
route.final还可作为默认出站；因此出口标签写错或默认出口缺失，可能造成“配置运行但流量没有正确转发”。sing-box Route 配置说明
第四阶段：节点可连，但应用仍然打不开
这时要区分“节点握手成功”和“应用流量已经经过 sing-box”。桌面系统可能依赖系统代理，Android 和 Apple 平台可能依赖 VPN 权限或图形客户端的接管模式；不同客户端的菜单名称和能力并不完全相同。
- 看连接记录。打开客户端日志或连接列表，访问一个明确的测试地址，观察是否出现对应域名或连接。如果没有记录，优先检查应用是否走系统代理、分应用规则是否排除了该应用，以及系统中是否还有其他代理软件。
- 测试基础代理。先关闭 TUN 或 VPN 接管，仅启用客户端支持的普通代理方式。普通代理可用而 TUN 不可用，说明节点不一定有问题，应继续查 TUN/VPN 权限、路由回环和其他网络工具冲突。
- 再测试 TUN。只有在确认客户端来源、配置已备份并理解权限影响后再启用。Windows、macOS 可能需要系统授权；Android、iOS 需要允许 VPN 配置。拒绝权限后，客户端可能显示运行但无法接管应用流量。
- 检查 DNS 和路由。DNS 能解析不等于目标连接一定成功；网页打不开也可能是规则把请求送到了错误的出站。不要直接套用固定 DNS、MTU 或路由值，先根据日志判断是解析失败、连接超时还是规则选择错误。官方文档对 DNS、路由和默认出站分别有字段说明。sing-box DNS 文档 sing-box 路由规则文档
回滚方法：关闭 TUN/VPN，恢复原系统代理状态，退出其他代理软件，再恢复配置备份。确认系统网络恢复后，逐项重新开启，而不是一次启用多个模式。
按平台做最小化复测
| 平台 | 优先验证 | 不要先做的事 |
|---|---|---|
| Windows/macOS | 核心日志、系统代理状态、监听端口、TUN 权限和其他代理冲突 | 不要直接使用高权限命令或批量清理系统网络设置 |
| Android | VPN 权限、分应用设置、电池限制、是否被其他 VPN 占用 | 不要在未确认节点可用前反复切换 VPN 和 TUN 模式 |
| iOS | VPN 配置授权、按需连接状态、分流规则和其他 VPN 配置 | 不要删除全部配置后再重新导入，先保留原配置和日志 |
最小化复测的顺序是：备份配置 → 只保留一个节点 → 暂停复杂规则集 → 关闭 TUN/VPN → 启动并查看日志 → 测试一个应用 → 恢复路由规则 → 最后再启用系统接管。每一步只改一个变量，才能知道是哪项设置导致结果变化。
订阅与日志的安全处理
远程订阅地址、节点密码、UUID、私钥、API secret 和带认证的日志都可能具有敏感性。分享问题前，应隐藏完整订阅 URL、认证参数、用户标识、私钥、服务器地址中不必要的身份信息，以及能直接访问控制接口的密钥。官方 API 文档说明，API 可使用 Bearer secret 进行认证，因此不要把这类字段原样发布。sing-box API 认证说明
如果订阅地址疑似泄露，应优先在提供方后台撤销或重置链接，再重新导入新地址。无法确认是否支持撤销时，写“需核实”，不要假设只删除本地配置就能让远端凭据失效。
相关排查指南
如果你已经确认 sing-box 配置本身可以启动，但仍需要判断是订阅内容、Windows 系统代理还是整体连接问题，可继续阅读：
- sing-box 怎么添加订阅配置？先看格式，再按平台导入
- sing-box 订阅链接打不开怎么办？按链接、格式与网络排查
- Windows 代理已连接但打不开网页怎么办？
- 连接问题排查：从现象定位 DNS、路由与客户端设置
常见问题
sing-box 配置导入成功，但为什么没有节点？
先检查导入内容是否真的是 sing-box JSON，而不是网页、登录页或 Clash YAML；再查看配置中的 outbounds、节点 tag、选择器和默认出口是否存在并相互引用。配置能保存不代表节点对象完整。
sing-box 出现 invalid config 应该怎么办？
先保存完整错误行，确认客户端版本和核心版本，再用当前版本支持的校验方式检查配置。不要直接删除所有旧字段；如果是版本迁移问题，应备份后按对应发布说明调整，并保留回滚文件。
日志显示 timeout，是 DNS 问题还是节点问题？
仅凭 timeout 不能确定。先用单个节点复测，再分别观察域名解析、TCP/TLS 握手和节点响应；如果域名无法解析，优先查 DNS，如果已解析但握手超时，则继续核对地址、端口、传输和网络路径。
sing-box 显示运行中，但网页打不开怎么办？
查看访问网页时是否出现连接记录。没有记录时，先查系统代理、TUN/VPN 权限、分应用规则和其他代理软件；有记录但失败时，再根据 DNS、route、TLS 或 timeout 日志定位。建议先关闭 TUN 和复杂分流做最小化复测。
可以直接修改 DNS、MTU 或开启 TUN 解决吗？
不建议把它们作为第一步。DNS、MTU 和 TUN 只适用于特定现象，错误修改可能增加变量或造成网络回环。应先备份配置，确认节点能否单独连接，再依据日志逐项验证并记录原设置。