TUN 模式下的 DNS 泄漏与伪装：常见坑与排查顺序

弱网环境下的瓶颈通常不在带宽，而在丢包后的恢复速度。Hysteria2 基于 QUIC，拥塞控制的选择比带宽参数更重要。

一、准备工作

建议先固定 `bbr` 之外的自定义拥塞控制做 A/B 对比，再动 MTU。

proxy-groups:
  - name: 自动选择
    type: url-test
    url: http://www.gstatic.com/generate_204
    interval: 300
    proxies: [节点A, 节点B]
  - name: 流媒体
    type: select
    proxies: [自动选择, 节点A, DIRECT]

rules:
  - GEOSITE,netflix,流媒体
  - GEOSITE,openai,自动选择
  - GEOIP,CN,DIRECT
  - MATCH,自动选择

二、关键步骤

MTU 不是越大越好：跨境链路上 1350–1400 往往比 1500 更稳。

先备份原配置，改动一次只动一处
每次修改后跑一遍 curl -x http://127.0.0.1:7890 https://www.gstatic.com/generate_204
用 --test 或客户端内置校验过语法

三、验证与排障

最后用连续 30 分钟的 iperf3 观察重传率，而不是看单次测速峰值。

现象	可能原因	处理
能上国内站点，国外超时	规则把域名判成 DIRECT	调整规则顺序
部分 App 无法联网	TUN 未接管 UDP 或 DNS 泄漏	开启 UDP 转发，改 fake-ip
晚高峰频繁重连	节点拥塞或 QUIC 被限速	换落地或改 TCP 协议

四、常见问题

Q：配置导入后所有流量都走了代理，怎么排查？
A：先看 `rules` 的最后一条，如果写成 `MATCH,代理` 而前面没有 `GEOIP,CN,DIRECT`，国内流量自然全走代理。把 GEOIP 规则放在 MATCH 之前即可。

Q：为什么测速很快，但看视频还是卡？
A：测速走的是单线程小包，视频需要持续带宽与低抖动。用 iperf3 连续跑 60 秒看速率曲线，比单次测速更能反映真实体验。

Q：订阅更新后节点名变了，规则失效怎么办？
A：不要在规则里写死节点名，改用策略组（如「自动选择」）作为分流目标，节点名变化就不影响规则。

五、小结

最后用连续 30 分钟的 iperf3 观察重传率，而不是看单次测速峰值。

本文的配置示例都在 sing-box 1.11 / Clash.Meta 1.18 上验证过，字段名随版本可能变化，动手前建议先备份原配置。

示例配置仅用于说明结构，请按自己的订阅与客户端版本调整字段。