Sing-box: configuración y conexión — guía completa 2026

Si tienes en tus manos un config o un enlace de suscripción y no sabes qué hacer con ellos, estás en el lugar correcto. Sing-box: configuración y conexión toma de cinco a quince minutos dependiendo de la plataforma, y a continuación desglosaré cada paso sin rodeos. La aplicación tiene capacidades que la mayoría de otros clientes no tienen: un modo TUN completo, enrutamiento flexible y soporte para VLESS+Reality, un protocolo que en 2026 pasa más estable a través del DPI de Roskomnadzor.

Qué es Sing-box y para qué sirve

Sing-box no es un servicio VPN. Es un núcleo (core) y al mismo tiempo un cliente que necesita un servidor externo: tu propio VPS o una suscripción de un proveedor. La aplicación en sí es gratuita y de código abierto (MIT), el repositorio en GitHub es github.com/SagerNet/sing-box. Sin un config, simplemente no se iniciará.

Sing-box como cliente universal

De forma predeterminada, soporta VLESS, VMess, Reality, Shadowsocks, Trojan, Hysteria2, TUIC y WireGuard. Esta no es una lista de marketing: cada protocolo realmente funciona en una configuración. Se pueden configurar varios servidores con cambio automático por latencia.

Qué lo diferencia de v2rayNG, Nekobox y Hiddify

v2rayNG utiliza un núcleo antiguo de xray y no soporta parte de los nuevos protocolos como Hysteria2 de forma nativa. Nekobox es una buena alternativa para Android, su interfaz es un poco más familiar. Hiddify es la entrada más sencilla para principiantes, con menos configuraciones. Sing-box es el más flexible de todos, pero requiere un poco más de comprensión sobre qué poner dónde.

Cuándo Sing-box evita mejor el DPI y la ralentización

Los proveedores en Rusia aplican TSPU (medios técnicos de contrarrestar amenazas) — equipos en las autopistas que inspeccionan paquetes y cortan o ralentizan protocolos. Sing-box en modo TUN captura todo el tráfico a nivel de interfaz de red, sin permitir que el sistema "fugue" fuera del túnel. Esto es importante especialmente para YouTube: Chrome y las aplicaciones a menudo evitan el proxy del sistema.

Dónde obtener un config o una suscripción para Sing-box

El config lo proporciona el proveedor de VPN o tú mismo despliegas un servidor en un VPS. Los configs públicos de canales de Telegram funcionan hoy o mañana, luego el servidor se cae o se bloquea. Úsalos solo para probar la aplicación, no para un uso permanente.

Formato del enlace de suscripción y config JSON

El URL de suscripción es un enlace https normal, detrás del cual se oculta una lista actual de servidores. La aplicación descarga y actualiza el config automáticamente según un horario. El config JSON es un archivo completo de configuraciones que editas manualmente. Para la mayoría de los usuarios, la suscripción es más conveniente: si el servidor se muda, el enlace se actualiza automáticamente.

NvoVPN, por ejemplo, proporciona una suscripción lista en un formato compatible con Sing-box — solo necesitas copiar un enlace en el perfil. Los servicios de Outline y la mayoría de los proveedores comerciales de VLESS funcionan de manera similar.

Importación desde vless://, ss://, trojan:// y código QR

Los enlaces del tipovless://uuid@host:port?... se pueden insertar directamente en el campo de importación. El código QR funciona a través de la cámara directamente en la aplicación. Si el servidor proporcionó un archivo JSON, debe ser alojado en alguna URL o agregado a través de "Importar desde archivo" en Android/Desktop.

Verificación del config antes de la conexión

Antes de activar el túnel, verifica la fecha y la hora en el dispositivo: deben coincidir con la realidad. Los protocolos Reality y basados en TLS rompen la conexión si hay una discrepancia de más de 90 segundos. Esta es una de las razones más comunes del "handshake failed" para los nuevos usuarios.

Configuración de Sing-box en Android

Descarga el APK desde GitHub Releases o desde Google Play (la aplicación se llama sing-box, el editor es SagerNet). En el momento de escribir esto, la versión actual es 1.10.x. También está disponible en F-Droid, pero se actualiza con retraso.

Instalación de la aplicación sing-box para Android

Después de la instalación, abre la aplicación. Verás tres pestañas en la parte inferior: Dashboard, Profiles, Logs. Profiles es tu punto de partida. Haz clic en "+" en la esquina superior derecha.

Importar perfil por enlace y a través del portapapeles

Selecciona "New Profile" → "Remote" si tienes un URL de suscripción. Pega el enlace, asigna un nombre, elige el intervalo de actualización (yo pongo 24 horas). Haz clic en Guardar — la aplicación descargará el config. Si tienes un enlace vless:// único, usa "Importar desde el portapapeles" o escanea el QR a través del ícono de la cámara en la misma página.

Activación del modo TUN y selección del perfil de salida

Ve a Dashboard. Selecciona el perfil deseado de la lista, luego haz clic en el gran botón de inicio. Android pedirá permiso para crear una conexión VPN — esto es obligatorio, sin ello el túnel no se levantará. Si en el config hay varios servidores, desliza hacia abajo en Dashboard para ver la lista — allí también puedes cambiar entre nodos.

El modo TUN en Sing-box se activa a nivel de config (sección"tun"). Si la suscripción es del proveedor, esto ya está configurado. Si el config es hecho a mano, verifica que haya un bloque tun con"auto_route": true.

Verificación: abrimos YouTube, Instagram, Telegram

Después de conectarte, ve a youtube.com o abre la aplicación de YouTube. Si el video se carga sin interrupciones, todo funciona. Para Instagram y Telegram, la prueba es similar. Si las páginas no se abren con el estado "Conectado", lee la sección sobre errores comunes a continuación.

Configuración de Sing-box en iPhone/iOS

Aquí está de inmediato el principal problema: la aplicación sing-box no está disponible en la App Store rusa desde 2022. Necesitas cambiar la región de tu Apple ID a otro país (Kazajistán, EE. UU., Reino Unido) o usar un cliente alternativo: Shadowrocket (de pago, $2.99), Streisand o Hiddify.

Instalación desde la App Store (región y disponibilidad)

Para cambiar la región: Ajustes → [tu nombre] → Medios y compras → Ver cuenta → País/región. La región de Kazajistán se abre sin problemas con una tarjeta rusa Mir a través de un intermediario o sin tarjeta (algunas aplicaciones son gratuitas). Después de cambiar la región, busca "sing-box" en la App Store.

Importante: cambiar la región afecta todas las compras y suscripciones de la App Store. Si tienes compras activas, cambia la región después de completarlas.

Importación de suscripciones y perfil en iOS

Después de la instalación, la mecánica es similar a Android: Profiles → "+" → pegar la URL de suscripción o el enlace vless://. En iOS también funciona la importación a través de un código QR con la cámara de la aplicación. La configuración se descarga y aparece en la lista de perfiles.

Diferencias en iOS: on-demand, restricciones del modo en segundo plano

iOS mata agresivamente los procesos en segundo plano. Si apagas la pantalla y después de 10 minutos descubres que el VPN se desconectó, no es un error de Sing-box, es iOS. Activa "On Demand" en la configuración del perfil: así el sistema se reconectará automáticamente al acceder a la red. Otro punto: en iOS no hay modo TUN en el sentido que hay en Android. Funciona a través de la API de VPN integrada, lo que limita un poco la flexibilidad de enrutamiento.

Permiso del perfil VPN en la configuración del iPhone

En el primer inicio, iOS te pedirá que agregues la configuración de VPN. Haz clic en "Permitir", ingresa el código de desbloqueo. El perfil aparecerá en Ajustes → General → VPN y gestión de dispositivos. Si un perfil corporativo o MDM prohíbe la adición de VPN, no podrás hacerlo sin quitar el MDM. Esta es una limitación conocida de los iPhone de trabajo.

Configuración de Sing-box en Windows y Mac

En el escritorio hay dos caminos: envoltorios GUI (Hiddify Desktop puede ejecutar el núcleo de sing-box, hay un cliente GUI NekoRay/NekoBox para PC) o ejecución limpiasing-box.exe run -c config.jsonen la terminal. Para la mayoría de las tareas, la GUI es más conveniente.

Instalación del cliente de escritorio (GUI y núcleo de sing-box)

Descarga el binario de github.com/SagerNet/sing-box/releases — elige la versión para tu arquitectura (windows-amd64, darwin-amd64 o darwin-arm64 para Apple Silicon). Hiddify Desktop (hiddify.com) utiliza el núcleo de sing-box bajo el capó y ofrece una interfaz normal: una buena opción para Windows.

Importación de config.json y ejecución a través de TUN

Si tienes un archivo de configuración, colócalo junto al binario y ejecutasing-box run -c config.json. El modo TUN en Windows y Mac requiere derechos de administrador: en Windows, ejecuta CMD como administrador, en Mac a través de sudo. Sin esto, no se creará la interfaz TUN y todo el tráfico no pasará a través del túnel.

Diferencia entre proxy del sistema y TUN: el proxy del sistema intercepta el tráfico HTTP/HTTPS del navegador, pero ignora las aplicaciones que van directamente (juegos, Telegram de escritorio, actualizaciones de Windows). TUN captura todo. Para un bypass estable de bloqueos: TUN.

Autoinicio y proxy del sistema vs TUN

En Windows, puedes agregar el inicio a través del Programador de tareas con el desencadenador "al iniciar sesión". En Mac, a través de launchd (plist en ~/Library/LaunchAgents). Si quieres una solución simple, Hiddify Desktop puede autoiniciarse a través de la configuración de la aplicación, no necesitas tocar herramientas del sistema.

Bypass de bloqueos y DPI: cómo verificar y mejorar

Hablemos honestamente sobre cómo funciona esto: sin magia ni exageraciones.

Por qué VLESS+Reality elude el DPI del proveedor

El TSPU observa las firmas de los protocolos: patrones característicos del apretón de manos TLS, encabezados, comportamiento de la conexión. Reality imita el tráfico TLS legítimo hacia un sitio real (por ejemplo, microsoft.com o algún CDN) — el equipo ve HTTPS normal y lo permite. Este es un enfoque fundamentalmente diferente al de la ofuscación en Shadowsocks, que se corta con más frecuencia.

Qué hacer si YouTube se ralentiza incluso con VPN

Si YouTube se congela con Sing-box activado, lo primero que debes verificar es: ¿el video pasa por el túnel en absoluto? En las reglas de enrutamiento del archivo de configuración, YouTube debe estar en el túnel. Si no hay reglas o están escritas incorrectamente, el tráfico va directamente y se ve afectado por la ralentización del TSPU. Lo segundo es un servidor sobrecargado. Cambia a otro nodo y verifica el ping.

Prueba de velocidad real y estabilidad de la conexión

La metodología es simple: abre speedtest.net antes de activar el túnel, anota la velocidad. Activa Sing-box, vuelve a hacer speedtest. La diferencia no debe ser catastrófica: un buen servidor da el 70-80% de la velocidad base. Luego abre youtube.com y trata de cambiar la calidad a 1080p60: si no hay buffering durante 30 segundos seguidos, la conexión es estable. No hay "prometemos 500 Mbps": prueba real en tu hardware y proveedor específicos.

Reglas de enrutamiento: qué enviar al túnel y qué no

Un error típico es enviar todo el tráfico a través del túnel, incluyendo sitios rusos. Esto ralentiza VKontakte, Servicios Públicos, Ozon y aplicaciones bancarias. En una configuración adecuada hay reglas de enrutamiento: los rangos de IP rusos (listas CIDR, que se pueden obtener del repositorio antifilter.download) van directamente, el resto va al túnel. Muchas suscripciones listas ya incluyen tales reglas.

Errores comunes y qué hacer si no se conecta

Aquí están los síntomas específicos y sus causas: sin "intenta reinstalar".

Error de timeout / handshake failed

Primero: verifica la hora en el dispositivo. Reality completa el apretón de manos TLS solo si la hora del cliente y del servidor difiere en menos de 90 segundos. Activa la sincronización automática de la hora en la configuración del sistema operativo. Segundo: el proveedor podría haber bloqueado una IP específica del servidor o un puerto. Prueba otro servidor de la suscripción o pide al proveedor (proveedor de VPN) que cambie el puerto.

Doble NAT y CGNAT en operadores móviles (especialmente en operadores virtuales) a veces rompen Hysteria2 y protocolos basados en QUIC: funcionan sobre UDP, que CGNAT corta. En este caso, cambia a VLESS basado en TCP.

La conexión está activa, pero los sitios no se abren

El estado "Conectado" significa solo que el túnel se ha levantado. Pero si la aplicación funciona en modo proxy del sistema y no en TUN, el tráfico UDP y las aplicaciones sin soporte de proxy van directamente. Activa el modo TUN. También verifica DNS: si en el archivo de configuración se especifica un DNS que no resuelve, las páginas no se abrirán incluso con un túnel funcionando.

La configuración está desactualizada o la suscripción no se actualiza

La URL de la suscripción puede haber cambiado del lado del proveedor, o el servidor descarga la configuración con un certificado SSL caducado. Abra el enlace en el navegador: si devuelve JSON, todo está bien; si da 404 o error, pida al proveedor un nuevo enlace. En Sing-box en Android, la actualización forzada de la suscripción: Perfiles → pulsación larga en el perfil → Actualizar.

Filtraciones de DNS y cómo cerrarlas

Una filtración de DNS significa que las solicitudes de nombres de sitios van a través del proveedor de DNS, y no a través del túnel. El proveedor ve que está solicitando youtube.com, incluso si el tráfico va a través de VPN. Verificación: dnsleaktest.com con el túnel activado. Si ve el DNS del proveedor, debe agregar una sección dns en la configuración de Sing-box con el servidor 1.1.1.1 o 8.8.8.8 dentro del túnel y especificar"strategy": "ipv4_only" si no se necesita IPv6. La mayoría de las suscripciones listas ya lo configuran.