Sing-box: Einrichtung und Verbindung — vollständiger Leitfaden 2026

Wenn Sie eine Konfiguration oder einen Abonnementslink in der Hand halten und nicht wissen, was Sie damit tun sollen — Sie sind am richtigen Ort. Sing-box: Einrichtung und Verbindung dauert fünf bis fünfzehn Minuten, je nach Plattform, und ich werde jeden Schritt ohne Umschweife erläutern. Die Anwendung kann Dinge, die die meisten anderen Clients nicht können: einen vollständigen TUN-Modus, flexible Routenführung und Unterstützung für VLESS+Reality — ein Protokoll, das im Jahr 2026 am stabilsten durch die DPI von Roskomnadzor kommt.

Was ist Sing-box und wozu wird es benötigt

Sing-box ist kein VPN-Dienst. Es ist das Kernstück (core) und gleichzeitig ein Client, der einen externen Server benötigt: Ihren eigenen VPS oder ein Abonnement von einem Anbieter. Die Anwendung selbst ist kostenlos und Open Source (MIT), das Repository auf GitHub — github.com/SagerNet/sing-box. Ohne Konfiguration wird sie einfach nicht starten.

Sing-box als universeller Client

Von Haus aus werden VLESS, VMess, Reality, Shadowsocks, Trojan, Hysteria2, TUIC und WireGuard unterstützt. Dies ist keine Marketingliste — jedes Protokoll funktioniert tatsächlich in einer Konfiguration. Sie können mehrere Server mit automatischem Wechsel basierend auf der Latenz einrichten.

Was unterscheidet es von v2rayNG, Nekobox und Hiddify

v2rayNG verwendet einen alten Kern xray und unterstützt einige neue Protokolle wie Hysteria2 nicht nativ. Nekobox ist eine gute Alternative für Android, die Benutzeroberfläche ist etwas vertrauter. Hiddify ist der einfachste Einstieg für Anfänger, weniger Einstellungen. Sing-box ist am flexibelsten, erfordert jedoch etwas mehr Verständnis dafür, was wo hineingehört.

Wann Sing-box besser DPI und Drosselung umgeht

Anbieter in Russland verwenden TSPU (technische Mittel zur Bekämpfung von Bedrohungen) — Geräte an Hauptleitungen, die Pakete inspizieren und Protokolle schneiden oder drosseln. Sing-box im TUN-Modus erfasst den gesamten Verkehr auf der Ebene der Netzwerkschnittstelle und lässt das System nicht "am Tunnel vorbeilaufen". Dies ist besonders wichtig für YouTube: Chrome und Anwendungen umgehen oft den systemweiten Proxy.

Wo man eine Konfiguration oder ein Abonnement für Sing-box bekommt

Die Konfiguration wird entweder vom VPN-Anbieter bereitgestellt oder Sie richten selbst einen Server auf einem VPS ein. Öffentliche Konfigurationen aus Telegram-Kanälen funktionieren heute oder morgen, dann fällt der Server aus oder wird blockiert. Verwenden Sie sie nur zum Testen der Anwendung, nicht für den dauerhaften Betrieb.

Format des Abonnementslinks und JSON-Konfiguration

Subscription URL ist ein gewöhnlicher https-Link, hinter dem sich eine aktuelle Liste von Servern verbirgt. Die Anwendung lädt die Konfiguration selbst herunter und aktualisiert sie nach einem Zeitplan. JSON-Konfiguration ist eine vollständige Einstellungsdatei, die Sie manuell bearbeiten. Für die meisten Benutzer ist das Abonnement bequemer: Der Server ist umgezogen, der Link wurde automatisch aktualisiert.

NvoVPN beispielsweise gibt ein fertiges Abonnement im Format aus, das mit Sing-box kompatibel ist — es reicht aus, einen Link in das Profil zu kopieren. Ähnlich funktionieren Outline-Dienste und die meisten kommerziellen VLESS-Anbieter.

Import aus vless://, ss://, trojan:// und QR-Code

Links der Artvless://uuid@host:port?... können direkt in das Importfeld eingefügt werden. Der QR-Code funktioniert über die Kamera direkt in der Anwendung. Wenn der Server eine JSON-Datei ausgegeben hat — muss diese entweder auf einer URL platziert werden oder über "Import from file" auf Android/Desktop hinzugefügt werden.

Überprüfung der Konfiguration vor der Verbindung

Bevor Sie den Tunnel aktivieren, überprüfen Sie das Datum und die Uhrzeit auf dem Gerät — sie sollten mit der Realität übereinstimmen. Reality- und TLS-basierte Protokolle trennen die Verbindung bei einer Abweichung von mehr als 90 Sekunden. Dies ist einer der häufigsten Gründe für "handshake failed" bei neuen Benutzern.

Einrichtung von Sing-box auf Android

Laden Sie die APK von GitHub Releases oder aus dem Google Play Store herunter (die Anwendung heißt sing-box, Herausgeber SagerNet). Zum Zeitpunkt des Schreibens ist die aktuelle Version — 1.10.x. F-Droid ist ebenfalls verfügbar, wird jedoch mit Verzögerung aktualisiert.

Installation der Anwendung sing-box für Android

Nach der Installation öffnen Sie die Anwendung. Sie sehen drei Registerkarten unten: Dashboard, Profiles, Logs. Profiles ist Ihr Ausgangspunkt. Klicken Sie auf "+" in der oberen rechten Ecke.

Importieren eines Profils über einen Link und über die Zwischenablage

Wählen Sie "New Profile" → "Remote", wenn Sie einen Subscription URL haben. Fügen Sie den Link ein, geben Sie einen Namen an, wählen Sie das Aktualisierungsintervall (ich stelle 24 Stunden ein). Klicken Sie auf Speichern — die Anwendung lädt die Konfiguration herunter. Wenn Sie einen einzelnen vless:// Link haben — verwenden Sie "Import from clipboard" oder scannen Sie den QR-Code über das Kamerasymbol auf derselben Seite.

Aktivierung des TUN-Modus und Auswahl des ausgehenden Profils

Gehen Sie zum Dashboard. Wählen Sie das gewünschte Profil aus der Liste aus und klicken Sie dann auf die große Starttaste. Android wird um Erlaubnis zur Erstellung einer VPN-Verbindung bitten — das ist zwingend erforderlich, ohne dies wird der Tunnel nicht hochgefahren. Wenn in der Konfiguration mehrere Server vorhanden sind, wischen Sie nach unten auf dem Dashboard, um die Liste zu sehen — dort können Sie auch zwischen den Knoten wechseln.

Der TUN-Modus in Sing-box wird auf der Ebene der Konfiguration aktiviert (Abschnitt"tun"). Wenn das Abonnement vom Anbieter stammt, ist dies bereits eingerichtet. Wenn die Konfiguration selbst geschrieben ist — überprüfen Sie, ob es einen Block tun mit"auto_route": true gibt.

Überprüfung: Öffnen von YouTube, Instagram, Telegram

Nach der Verbindung gehen Sie zu youtube.com oder öffnen Sie die YouTube-Anwendung. Wenn das Video ohne Verzögerungen lädt — funktioniert alles. Der Test für Instagram und Telegram ist ähnlich. Wenn die Seiten bei Status "Connected" nicht geöffnet werden — lesen Sie den Abschnitt über typische Fehler unten.

Einrichtung von Sing-box auf iPhone/iOS

Hier sofort zum Hauptproblem: Die Anwendung sing-box ist im russischen App Store seit 2022 nicht verfügbar. Man muss entweder die Region der Apple ID auf ein anderes Land (Kasachstan, USA, Großbritannien) ändern oder einen alternativen Client verwenden — Shadowrocket (kostenpflichtig, $2.99), Streisand oder Hiddify.

Installation aus dem App Store (Region und Verfügbarkeit)

Um die Region zu ändern: Einstellungen → [Ihr Name] → Medien und Käufe → Konto anzeigen → Land/Region. Die kasachische Region öffnet sich problemlos mit einer russischen Mir-Karte über einen Vermittler oder ohne Karte (einige Anwendungen sind kostenlos). Nach dem Wechsel der Region suchen Sie nach "sing-box" im App Store.

Wichtig: Der Wechsel der Region wirkt sich auf alle Käufe und Abonnements im App Store aus. Wenn Sie aktive Käufe haben — ändern Sie die Region nach deren Abschluss.

Import von Abonnements und Profilen auf iOS

Nach der Installation ist die Vorgehensweise ähnlich wie bei Android: Profiles → "+" → Abonnement-URL oder vless:// Link einfügen. Auf iOS funktioniert auch der Import über QR-Code mit der Kamera der App. Die Konfiguration wird heruntergeladen und erscheint in der Profil-Liste.

Unterschiede iOS: On-Demand, Einschränkungen im Hintergrundmodus

iOS killt Hintergrundprozesse aggressiv. Wenn Sie den Bildschirm ausschalten und nach 10 Minuten feststellen, dass VPN sich getrennt hat — das ist kein Bug von Sing-box, das ist iOS. Aktivieren Sie "On Demand" in den Profileinstellungen: dann wird das System sich selbst wieder verbinden, wenn auf das Netzwerk zugegriffen wird. Noch ein Punkt: Auf iOS gibt es keinen TUN-Modus im Sinne von Android. Es funktioniert über die integrierte VPN-API, was die Flexibilität der Routenführung etwas einschränkt.

Genehmigung des VPN-Profils in den iPhone-Einstellungen

Beim ersten Start wird iOS um die Hinzufügung der VPN-Konfiguration bitten. Klicken Sie auf "Erlauben", geben Sie den Entsperrcode ein. Das Profil erscheint in Einstellungen → Allgemein → VPN und Geräteverwaltung. Wenn das Unternehmens- oder MDM-Profil das Hinzufügen von VPN verbietet — ohne das Entfernen von MDM wird es nicht funktionieren. Dies ist eine bekannte Einschränkung bei Arbeits-iPhones.

Einrichtung von Sing-box auf Windows und Mac

Auf dem Desktop gibt es zwei Wege: GUI-Hüllen (Hiddify Desktop kann den sing-box-Kern starten, es gibt einen GUI-Client NekoRay/NekoBox für PC) oder reiner Startsing-box.exe run -c config.jsonim Terminal. Für die meisten Aufgaben ist die GUI bequemer.

Installation des Desktop-Clients (GUI und sing-box-Kern)

Laden Sie das Binary von github.com/SagerNet/sing-box/releases herunter — wählen Sie die Version für Ihre Architektur (windows-amd64, darwin-amd64 oder darwin-arm64 für Apple Silicon). Hiddify Desktop (hiddify.com) verwendet den sing-box-Kern im Hintergrund und bietet eine normale Benutzeroberfläche — eine gute Option für Windows.

Import von config.json und Start über TUN

Wenn Sie eine Konfigurationsdatei haben — legen Sie sie neben das Binary und starten Siesing-box run -c config.json. Der TUN-Modus auf Windows und Mac erfordert Administratorrechte: Unter Windows starten Sie CMD als Administrator, unter Mac über sudo. Ohne dies wird das TUN-Interface nicht erstellt und der gesamte Verkehr wird nicht durch das Tunnel geleitet.

Der Unterschied zwischen Systemproxy und TUN: Der Systemproxy erfasst HTTP/HTTPS-Verkehr des Browsers, ignoriert jedoch Anwendungen, die direkt zugreifen (Spiele, Telegram Desktop, Windows-Updates). TUN erfasst alles. Für stabilen Zugriff auf Blockaden — TUN.

Autostart und Systemproxy vs TUN

Unter Windows können Sie den Start über den Task Scheduler mit dem Trigger "bei Anmeldung" hinzufügen. Unter Mac — über launchd (plist in ~/Library/LaunchAgents). Wenn Sie eine einfache Lösung möchten — Hiddify Desktop kann den Autostart über die App-Einstellungen, ohne die Systemwerkzeuge zu berühren.

Umgehung von Blockaden und DPI: wie man überprüft und verbessert

Lassen Sie uns ehrlich darüber sprechen, wie es funktioniert — ohne Magie und Übertreibungen.

Warum VLESS+Reality die DPI des Anbieters umgeht

TSPU schaut sich die Signaturen der Protokolle an: charakteristische Muster des TLS-Handshakes, Header, Verhalten der Verbindung. Reality imitiert legitimen TLS-Verkehr zu einer echten Website (zum Beispiel zu microsoft.com oder einem CDN) — die Hardware sieht normalen HTTPS und lässt es durch. Dies ist ein grundlegend anderer Ansatz als die Obfuskation bei Shadowsocks, die häufiger blockiert wird.

Was tun, wenn YouTube selbst mit VPN langsam ist

Wenn YouTube bei aktiviertem Sing-box ruckelt — das Erste, was Sie überprüfen sollten: Läuft das Video überhaupt durch das Tunnel? In den Routing-Regeln der Konfiguration sollte YouTube im Tunnel sein. Wenn es keine Regeln gibt oder sie falsch geschrieben sind, geht der Verkehr direkt und wird von TSPU verlangsamt. Zweitens — überlasteter Server. Wechseln Sie zu einem anderen Knoten und überprüfen Sie den Ping.

Test der tatsächlichen Geschwindigkeit und Stabilität der Verbindung

Die Methode ist einfach: Öffnen Sie speedtest.net vor dem Einschalten des Tunnels, notieren Sie die Geschwindigkeit. Aktivieren Sie Sing-box, erneut speedtest. Der Unterschied sollte nicht katastrophal sein — ein guter Server gibt 70-80% der Basisgeschwindigkeit. Öffnen Sie dann youtube.com und versuchen Sie, die Qualität auf 1080p60 zu wechseln — wenn es 30 Sekunden lang keine Pufferung gibt, ist die Verbindung stabil. Keine "wir versprechen 500 Mbit/s" — ein echter Test auf Ihrer spezifischen Hardware und beim Anbieter.

Routing-Regeln: was in den Tunnel leiten und was nicht

Ein typischer Fehler — den gesamten Verkehr durch den Tunnel zu leiten, einschließlich russischer Websites. Dies verlangsamt VKontakte, staatliche Dienste, Ozon und Bankanwendungen. In einer durchdachten Konfiguration gibt es Routing-Regeln: Russische IP-Bereiche (CIDR-Listen, die Sie aus dem Repository antifilter.download entnehmen können) gehen direkt, der Rest — in den Tunnel. Viele fertige Abonnements beinhalten bereits solche Regeln.

Häufige Fehler und was zu tun ist, wenn keine Verbindung hergestellt werden kann

Hier sind konkrete Symptome und deren Ursachen — ohne "versuchen Sie, neu zu installieren".

Fehler Timeout / Handshake fehlgeschlagen

Zuerst: Überprüfen Sie die Uhrzeit auf dem Gerät. Reality beendet das TLS-Handschlag nur, wenn die Zeit des Clients und des Servers um weniger als 90 Sekunden abweicht. Aktivieren Sie die automatische Zeitsynchronisation in den OS-Einstellungen. Zweitens: Der Anbieter könnte eine bestimmte IP-Adresse des Servers oder einen Port blockiert haben. Versuchen Sie einen anderen Server aus dem Abonnement oder bitten Sie den Anbieter (VPN-Anbieter), den Port zu wechseln.

Doppeltes NAT und CGNAT bei Mobilfunkanbietern (insbesondere bei virtuellen Anbietern) brechen manchmal Hysteria2 und QUIC-basierte Protokolle — sie arbeiten über UDP, das CGNAT blockiert. In diesem Fall wechseln Sie zu TCP-basiertem VLESS.

Verbindung besteht, aber Websites öffnen sich nicht

Der Status "Verbunden" bedeutet nur, dass der Tunnel hochgefahren wurde. Wenn die Anwendung jedoch im Modus des Systemproxies und nicht im TUN-Modus arbeitet — geht der UDP-Verkehr und Anwendungen ohne Proxy-Unterstützung vorbei. Aktivieren Sie den TUN-Modus. Überprüfen Sie auch DNS: Wenn im Konfigurationsfile ein DNS angegeben ist, der nicht auflöst — die Seiten werden selbst bei funktionierendem Tunnel nicht geöffnet.

Die Konfiguration ist veraltet oder das Abonnement wird nicht aktualisiert

Die Abonnement-URL könnte sich auf der Seite des Anbieters geändert haben, oder der Server lädt die Konfiguration mit einem abgelaufenen SSL-Zertifikat herunter. Öffnen Sie den Link im Browser — wenn JSON zurückgegeben wird, ist alles in Ordnung; wenn 404 oder ein Fehler auftritt — bitten Sie den Anbieter um einen neuen Link. In Sing-box auf Android erzwingen Sie das Abonnements-Update: Profile → langes Drücken auf das Profil → Update.

DNS-Lecks und wie man sie schließt

Ein DNS-Leck bedeutet, dass die Anfragen nach Website-Namen über den DNS-Anbieter und nicht über den Tunnel gehen. Der Anbieter sieht, dass Sie youtube.com anfordern — selbst wenn der Verkehr über VPN läuft. Überprüfung: dnsleaktest.com mit aktiviertem Tunnel. Wenn Sie den DNS-Anbieter sehen — müssen Sie in der Sing-box-Konfiguration einen Abschnitt dns mit dem Server 1.1.1.1 oder 8.8.8.8 innerhalb des Tunnels hinzufügen und angeben"strategy": "ipv4_only" wenn IPv6 nicht benötigt wird. Die meisten fertigen Abonnements sind bereits so konfiguriert.