Полная настройка Sing-box на Windows 11 и macOS в ноябре 2026 года: чистый VLESS Reality, Tun-режим и защита от белых списков ТСПУ

> **Автор:** Сетевой инженер и специалист по кибербезопасности RiderHub Secure

> **Дата актуализации:** Ноябрь 2026 года

> **Уровень сложности:** Продвинутый (Advanced Networking)

---

1. Архитектура противодействия ТСПУ РКН в конце 2026 года

К концу 2026 года ландшафт интернет-цензуры в Российской Федерации претерпел фундаментальные изменения. Классические методы DPI (Deep Packet Inspection), базировавшиеся на сигнатурном анализе заголовков HTTP Host и банальной сверке SNI (Server Name Indication) со статическими черными списками ЕАИС, окончательно уступили место гибридным программно-аппаратным комплексам ТСПУ 3.x (Технические средства противодействия угрозам).

Современные узлы ТСПУ развернуты непосредственно на стыках автономных систем (AS) магистральных и региональных операторов связи (Ростелеком, ЭР-Телеком/Дом.ру, МТС, МегаФон, Билайн, Т2). Сегодня цензура оперирует следующими механизмами:

1. **Поведенческий эвристический анализ TLS-трафика (Traffic Flow Morphing):** Детектирование энтропии данных в начале сессии, размера первого пакета с полезной нагрузкой (`ClientHello` + `Data`), анализ интервалов между пакетами (Inter-Arrival Time) и аномалий в распределении размеров MTU.

2. **Активное зондирование (Active Probing / Replay Attacks):** При фиксации подозрительного TLS-рукопожатия со стороны клиента, контроллеры ТСПУ отправляют повторные или специально сформированные запросы на целевой IP-адрес сервера из нескольких географически распределенных точек внутри РФ. Если удаленный сервер отвечает нестандартно (например, рвет соединение, возвращает самоподписанный сертификат или выдает ответ с отличными от стандартного Nginx/Caddy таймингами), IP-адрес отправляется во временный или постоянный бан.

3. **Блокировка по протоколу и отпечаткам (JA3, JA4, TLS Fingerprinting):** Любые стандартные библиотеки (Python `urllib`, Go `net/http`, старые версии OpenSSL) перехватываются на лету. Подключение должно иметь легитимный стек шифров (Cipher Suites), поддерживаемые расширения (Extensions) и алгоритмы сжатия, байт-в-байт идентичные браузерам Chrome 130+ или Safari 19+.

4. **Принудительная деградация протоколов (TCP Reset Injection и Selective Packet Loss):** Вместо явной блокировки через страницу-заглушку ТСПУ применяет искусственное ограничение пропускной способности (Bandwidth Throttling) до 64-128 кбит/с и генерацию паразитных `RST`-пакетов для соединений к зарубежным CDN (Cloudflare, Fastly, Google Video CDN).

**Почему именно VLESS Reality в ядре Sing-box 1.11+ является золотым стандартом в ноябре 2026 года?**

* **Отсутствие метаданных проксирования:** В протоколе VLESS нет дополнительного оверхеда шифрования поверх TLS (как в Shadowsocks или VMess). Вся защита возложена на сам транспортный слой TLS 1.3.

* **Технология REALITY:** Полное заимствование криптографических параметров внешнего белого сервера (маскировки). Клиент подставляет легитимный публичный SNI (например, `gateway.icloud.com`, `dl.google.com`, `www.microsoft.com`), сервер перенаправляет незашифрованную часть рукопожатия настоящему серверу, а при предъявлении закрытого ключа клиента (`private_key` + `short_id`) туннелирует трафик в прокси-процесс. При активном зондировании ТСПУ получает 100% аутентичный ответ настоящего американского или европейского ресурса.

* **Поток XTLS-RPRX-VISION:** Революционный алгоритм маскировки TLS-in-TLS. При передаче HTTPS-трафика внутри VLESS-туннеля Vision анализирует внутренние TLS-пакеты, временно отключает внешнее шифрование для передачи данных (Zero-Copy) и заполняет пакеты паддингом (Padding), имитируя стандартный серфинг веб-сайта, что лишает ТСПУ возможности выявить двойное шифрование.

---

2. Разбор ключевых параметров VLESS Reality

Для корректной работы стека необходимо понимать назначение каждого криптографического и сетевого параметра:

---

3. Эталонный файл конфигурации `config.json` для Sing-box

Данный конфигурационный файл разработан для Sing-box версии 1.10.x – 1.11.x. Он реализует:

* Полноценный **TUN-режим** (захват всего системного трафика на уровне ядра ОС).

* Защиту от утечек DNS через **DNS over HTTPS (DoH)** с маршрутизацией запросов.

* Разделение трафика: отечественные сервисы (банки, Госуслуги, VK, Яндекс) идут **напрямую**, зарубежные блокируемые сервисы (YouTube, Discord, Instagram, Notion, OpenAI) идут **через Reality-туннель**.

* Защиту от циклической маршрутизации (Direct Bypass).

{
  "log": {
    "level": "warn",
    "timestamp": true
  },
  "dns": {
    "servers": [
      {
        "tag": "dns_proxy",
        "address": "https://1.1.1.1/dns-query",
        "address_resolver": "dns_direct",
        "detour": "vless-out"
      },
      {
        "tag": "dns_direct",
        "address": "https://77.88.8.8/dns-query",
        "detour": "direct"
      },
      {
        "tag": "dns_block",
        "address": "rcode://success"
      }
    ],
    "rules": [
      {
        "outbound": "any",
        "server": "dns_direct"
      },
      {
        "clash_mode": "Direct",
        "server": "dns_direct"
      },
      {
        "clash_mode": "Global",
        "server": "dns_proxy"
      },
      {
        "rule_set": ["geosite-ru", "gov-ru"],
        "server": "dns_direct"
      },
      {
        "rule_set": ["youtube", "discord", "geosite-vpn"],
        "server": "dns_proxy"
      }
    ],
    "final": "dns_proxy",
    "strategy": "prefer_ipv4",
    "independent_cache": true
  },
  "inbounds": [
    {
      "type": "tun",
      "tag": "tun-in",
      "interface_name": "singbox-tun",
      "inet4_address": "172.19.0.1/30",
      "inet6_address": "fdfe:dcba:9876::1/126",
      "mtu": 1400,
      "auto_route": true,
      "strict_route": true,
      "stack": "mixed",
      "sniff": true,
      "sniff_override_destination": true
    },
    {
      "type": "mixed",
      "tag": "mixed-in",
      "listen": "127.0.0.1",
      "listen_port": 20808,
      "sniff": true
    }
  ],
  "outbounds": [
    {
      "type": "vless",
      "tag": "vless-out",
      "server": "203.0.113.50",
      "server_port": 443,
      "uuid": "8f4e2c91-b3a1-4d8e-97c2-5e1d3a4f6b8c",
      "flow": "xtls-rprx-vision",
      "tls": {
        "enabled": true,
        "server_name": "gateway.icloud.com",
        "utls": {
          "enabled": true,
          "fingerprint": "chrome"
        },
        "reality": {
          "enabled": true,
          "public_key": "xK5tZ7w9V2pL3mN8qR1sT4uV7wX0yZ2aB4cD6eF8gH0=",
          "short_id": "a1b2c3d4e5f60718"
        }
      },
      "packet_encoding": "xudp"
    },
    {
      "type": "direct",
      "tag": "direct"
    },
    {
      "type": "block",
      "tag": "block"
    },
    {
      "type": "dns",
      "tag": "dns-out"
    }
  ],
  "route": {
    "rules": [
      {
        "protocol": "dns",
        "outbound": "dns-out"
      },
      {
        "ip_is_private": true,
        "outbound": "direct"
      },
      {
        "rule_set": ["gov-ru", "geosite-ru"],
        "outbound": "direct"
      },
      {
        "rule_set": ["geoip-ru"],
        "outbound": "direct"
      },
      {
        "rule_set": ["youtube", "discord", "geosite-vpn", "openai"],
        "outbound": "vless-out"
      }
    ],
    "rule_set": [
      {
        "tag": "geosite-ru",
        "type": "remote",
        "format": "binary",
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-category-ru.srs",
        "download_detour": "direct"
      },
      {
        "tag": "gov-ru",
        "type": "remote",
        "format": "binary",
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-category-gov-ru.srs",
        "download_detour": "direct"
      },
      {
        "tag": "geoip-ru",
        "type": "remote",
        "format": "binary",
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geoip/rule-set/geoip-ru.srs",
        "download_detour": "direct"
      },
      {
        "tag": "youtube",
        "type": "remote",
        "format": "binary",
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-youtube.srs",
        "download_detour": "direct"
      },
      {
        "tag": "discord",
        "type": "remote",
        "format": "binary",
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-discord.srs",
        "download_detour": "direct"
      },
      {
        "tag": "openai",
        "type": "remote",
        "format": "binary",
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-openai.srs",
        "download_detour": "direct"
      },
      {
        "tag": "geosite-vpn",
        "type": "remote",
        "format": "binary",
        "url": "https://raw.githubusercontent.com/SagerNet/sing-geosite/rule-set/geosite-category-anticensorship.srs",
        "download_detour": "direct"
      }
    ],
    "final": "vless-out",
    "auto_detect_interface": true
  }
}

---

4. Развертывание и эксплуатация на Windows 11

Шаг 1: Подготовка среды и установка драйвера WinTun

1. Загрузите официальный архив `sing-box-1.11.x-windows-amd64.zip` с официального GitHub репозитория `SagerNet/sing-box`.

2. Создайте системный каталог `C:\Program Files\Sing-Box\`.

3. Распакуйте `sing-box.exe` в данный каталог.

4. Загрузите библиотеку `wintun.dll` (драйвер виртуального сетевого интерфейса от разработчиков WireGuard) и поместите ее в тот же каталог рядом с `sing-box.exe`. Это необходимо для инициализации высокопроизводительного сетевого стека в пространстве ядра Windows.

Шаг 2: Размещение конфигурации и проверка

1. Сохраните приведенный выше конфиг как `C:\Program Files\Sing-Box\config.json`.

2. Замените поля `server`, `uuid`, `public_key`, `short_id`, `server_name` на ваши реальные параметры узла.

3. Откройте терминал **PowerShell от имени Администратора** и выполните валидацию синтаксиса:

```powershell

cd "C:\Program Files\Sing-Box"

.\sing-box.exe check -c .\config.json

```

*Вывод должен вернуть пустую строку или подтверждение успешной проверки без ошибок синтаксиса.*

Шаг 3: Установка как системной службы Windows (Windows Service)

Для того чтобы туннель поднимался автоматически при загрузке системы до входа пользователя:

# Регистрация службы
.\sing-box.exe service install -c "C:\Program Files\Sing-Box\config.json"

# Запуск службы
Start-Service sing-box

# Проверка статуса
Get-Service sing-box

Шаг 4: Настройка сетевого адаптера WinTun

Для исключения утечек системного DNS через IPv6:

1. Откройте `Панель управления` -> `Сеть и Интернет` -> `Сетевые подключения`.

2. Найдите появившийся интерфейс `singbox-tun`.

3. В свойствах убедитесь, что включен протокол TCP/IPv4, а в свойствах основного физического адаптера (Wi-Fi или Ethernet) отключите TCP/IPv6, если ваш провайдер использует сломанную трансляцию 6to4, вызывающую задержки.

---

5. Развертывание и эксплуатация на macOS (Apple Silicon M1-M4 и Intel)

На операционной системе macOS (macOS 14 Sonoma, macOS 15 Sequoia, macOS 16) работа Sing-box в TUN-режиме требует взаимодействия с подсистемой `NetworkExtension` либо использования драйвера `utun`.

Шаг 1: Установка через Homebrew или бинарный релиз

# Установка Homebrew (если не установлен)
/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"

# Установка Sing-box
brew install sing-box

Шаг 2: Создание конфигурационной директории

sudo mkdir -p /usr/local/etc/sing-box
sudo nano /usr/local/etc/sing-box/config.json

Вставьте подготовленный `config.json` и сохраните файл (`Ctrl+O`, `Enter`, `Ctrl+X`).

Шаг 3: Настройка системного демона LaunchDaemon

Чтобы процесс работал с привилегиями `root` (необходимыми для создания интерфейса `utun` и манипуляции таблицами маршрутизации `pfctl`):

Создайте файл описания сервиса:

sudo nano /Library/LaunchDaemons/io.sagernet.sing-box.plist

Содержимое файла:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>Label</key>
    <string>io.sagernet.sing-box</string>
    <key>ProgramArguments</key>
    <array>
        <string>/opt/homebrew/bin/sing-box</string>
        <string>run</string>
        <string>-c</string>
        <string>/usr/local/etc/sing-box/config.json</string>
    </array>
    <key>RunAtLoad</key>
    <true/>
    <key>KeepAlive</key>
    <true/>
    <key>StandardOutPath</key>
    <string>/var/log/sing-box.log</string>
    <key>StandardErrorPath</key>
    <string>/var/log/sing-box.err</string>
</dict>
</plist>

*(Примечание: для процессоров Intel укажите путь `/usr/local/bin/sing-box`).*

Активируйте и запустите службу:

sudo chown root:wheel /Library/LaunchDaemons/io.sagernet.sing-box.plist
sudo launchctl load -w /Library/LaunchDaemons/io.sagernet.sing-box.plist

---

6. Решение проблемы замедления YouTube в 4K и блокировок Discord

YouTube: Борьба с дропом QUIC и троттлингом Google Video CDN

В 2026 году РКН производит избирательное замедление потокового видео YouTube путем деградации протокола QUIC (порт UDP 443) и TCP-соединений к префиксам `*.googlevideo.com`.

**Рецепт 100% стабильного 4K/60fps:**

1. **Принудительное отключение QUIC в браузере:**

* Chrome / Edge / Яндекс.Браузер: откройте `chrome://flags/#enable-quic` -> установите в состояние **Disabled**.

* Зачем: Принуждает плеер переключиться на чистый HTTP/2 поверх TCP. Внутри туннеля VLESS Reality поток `xtls-rprx-vision` идеально маскирует этот трафик под обычную сессию.

2. **Проксирование всех служебных доменов Google CDN:**

В правилах маршрутизации должны находиться не только `youtube.com`, но и все сегменты:

`ytimg.com`, `googlevideo.com`, `gvt1.com`, `youtube-nocookie.com`, `yt3.ggpht.com`.

3. **Параметр `packet_encoding: "xudp"`:**

В блоке `vless-out` обязательно используйте `xudp`. Это обеспечивает упаковку UDP-трафика (если включен) в оптимизированный протокольный каркас с минимальным MTU-оверхедом.

Discord: Голосовые каналы и WebRTC

Блокировка Discord осуществляется на двух уровнях: текстовый шлюз (Cloudflare CDN) и голосовые медиасерверы (RTC Gateway на UDP портах 50000–65535).

* Благодаря правилу `"rule_set": ["discord"]` и перехвату всего системного трафика через TUN-интерфейс, Sing-box транслирует голосовые WebRTC пакеты через туннель, полностью устраняя ошибку «RTC Connecting / No Route».

---

7. Траблшутинг и диагностика неисправностей

---

8. Итоговая проверка безопасности соединения

После запуска службы выполните в терминале проверку:

# 1. Проверка внешнего IP для заблокированных зон (должен вернуться IP вашего VPS)
curl -4 https://ifconfig.me

# 2. Проверка маршрута к Яндексу (должен вернуться ваш реальный провайдерский IP РФ)
curl https://yandex.ru/internet -s | grep -oE "([0-9]{1,3}\.){3}[0-9]{1,3}"

# 3. Проверка утечек DNS (не должно быть серверов вашего домашнего провайдера)
curl -s https://api.mullvad.net/dns/check/

Теперь ваш компьютер на Windows 11 или macOS защищен сквозным шифрованием уровня Enterprise с полной неуязвимостью к DPI-системам ТСПУ.