Sing-box: konfiguracja i połączenie — pełny przewodnik 2026

Jeśli trzymasz w rękach konfigurację lub link-subskrypcję i nie wiesz, co z nimi zrobić — jesteś w odpowiednim miejscu. Sing-box: konfiguracja i połączenie zajmuje od pięciu do piętnastu minut w zależności od platformy, a poniżej omówię każdy krok bez zbędnych słów. Aplikacja potrafi to, czego nie potrafi większość innych klientów: pełnoprawny tryb TUN, elastyczne routowanie i wsparcie dla VLESS+Reality — protokołu, który w 2026 roku najstabilniej przechodzi przez DPI Roskomnadzoru.

Czym jest Sing-box i po co jest potrzebny

Sing-box to nie usługa VPN. To rdzeń (core) i jednocześnie klient, który potrzebuje zewnętrznego serwera: twojego własnego VPS lub subskrypcji od dostawcy. Sama aplikacja jest darmowa i z otwartym kodem (MIT), repozytorium na GitHubie — github.com/SagerNet/sing-box. Bez konfiguracji po prostu się nie uruchomi.

Sing-box jako uniwersalny klient

Z pudełka wspierane są VLESS, VMess, Reality, Shadowsocks, Trojan, Hysteria2, TUIC i WireGuard. To nie jest marketingowa lista — każdy protokół naprawdę działa w jednej konfiguracji. Można skonfigurować kilka serwerów z automatycznym przełączaniem według opóźnienia.

Czym różni się od v2rayNG, Nekobox i Hiddify

v2rayNG używa starego rdzenia xray i nie wspiera części nowych protokołów, takich jak Hysteria2, natywnie. Nekobox to dobra alternatywa dla Androida, interfejs jest nieco bardziej znajomy. Hiddify to najprostsze wejście dla nowicjuszy, mniej ustawień. Sing-box jest najbardziej elastyczny, ale wymaga nieco większego zrozumienia, co gdzie wstawić.

Kiedy Sing-box lepiej omija DPI i spowolnienia

Dostawcy w Rosji stosują TSPU (techniczne środki przeciwdziałania zagrożeniom) — sprzęt na magistralach, który inspektuje pakiety i tnie lub spowalnia protokoły. Sing-box w trybie TUN przechwytuje cały ruch na poziomie interfejsu sieciowego, nie pozwalając systemowi "przeciekać" obok tunelu. To ważne szczególnie dla YouTube: Chrome i aplikacje często omijają systemowy proxy.

Gdzie zdobyć konfigurację lub subskrypcję dla Sing-box

Konfigurację albo daje dostawca VPN, albo sam uruchamiasz serwer na VPS. Publiczne konfiguracje z kanałów Telegram działają dziś-jutro, potem serwer pada lub jest blokowany. Używaj ich tylko do testowania aplikacji, nie do stałej pracy.

Format linku-subskrypcji i konfiguracji JSON

Subscription URL to zwykły link https, za którym kryje się aktualna lista serwerów. Aplikacja sama pobiera i aktualizuje konfigurację według harmonogramu. JSON-konfiguracja to pełny plik ustawień, który edytujesz ręcznie. Dla większości użytkowników subskrypcja jest wygodniejsza: serwer się przeniósł, link zaktualizował się automatycznie.

NvoVPN, na przykład, wydaje gotową subskrypcję w formacie zgodnym z Sing-box — wystarczy skopiować jeden link do profilu. Analogicznie działają usługi Outline i większość komercyjnych dostawców VLESS.

Import z vless://, ss://, trojan:// i QR-kodu

Linki w formacievless://uuid@host:port?... można wkleić bezpośrednio w polu importu. QR-kod działa przez kamerę bezpośrednio w aplikacji. Jeśli serwer wydał plik JSON — należy go albo umieścić na jakimś URL, albo dodać przez "Import from file" na Androidzie/Desktopie.

Sprawdzenie konfiguracji przed połączeniem

Zanim włączysz tunel, sprawdź datę i godzinę na urządzeniu — powinny zgadzać się z rzeczywistością. Protokóły Reality i TLS-based przerywają połączenie przy rozbieżności większej niż 90 sekund. To jedna z najczęstszych przyczyn "handshake failed" u nowych użytkowników.

Konfiguracja Sing-box na Androidzie

Pobierz APK z GitHub Releases lub z Google Play (aplikacja nazywa się sing-box, wydawca SagerNet). W momencie pisania aktualna wersja to 1.10.x. F-Droid też jest, ale aktualizuje się z opóźnieniem.

Instalacja aplikacji sing-box dla Androida

Po zainstalowaniu otwórz aplikację. Zobaczysz trzy zakładki na dole: Dashboard, Profiles, Logs. Profiles to twój punkt wyjścia. Naciśnij "+" w prawym górnym rogu.

Import profilu przez link i przez schowek

Wybierz "New Profile" → "Remote", jeśli masz subscription URL. Wklej link, nadaj nazwę, wybierz interwał aktualizacji (ja ustawiam 24 godziny). Naciśnij Save — aplikacja pobierze konfigurację. Jeśli masz pojedynczy link vless:// — użyj "Import from clipboard" lub zeskanuj QR przez ikonę kamery na tej samej stronie.

Włączenie trybu TUN i wybór profilu wychodzącego

Przejdź do Dashboard. Wybierz potrzebny profil z listy, a następnie naciśnij dużą przycisk uruchomienia. Android poprosi o pozwolenie na utworzenie połączenia VPN — to konieczne, bez tego tunel się nie uruchomi. Jeśli w konfiguracji jest kilka serwerów, przesuń w dół na Dashboard, aby zobaczyć listę — tam również przełączanie między węzłami.

Tryb TUN w Sing-box włącza się na poziomie konfiguracji (sekcja"tun"). Jeśli subskrypcja pochodzi od dostawcy, jest już skonfigurowana. Jeśli konfiguracja jest własnoręczna — sprawdź, czy jest tam blok tun z"auto_route": true.

Sprawdzenie: otwieramy YouTube, Instagram, Telegram

Po połączeniu wejdź na youtube.com lub otwórz aplikację YouTube. Jeśli wideo ładuje się bez opóźnień — wszystko działa. Dla Instagrama i Telegramu test jest podobny. Jeśli strony się nie otwierają przy statusie "Connected" — przeczytaj sekcję o typowych błędach poniżej.

Konfiguracja Sing-box na iPhone/iOS

Tutaj od razu o głównym problemie: aplikacja sing-box w rosyjskim App Store jest niedostępna od 2022 roku. Należy zmienić region Apple ID na inny kraj (Kazachstan, USA, Wielka Brytania) lub użyć alternatywnego klienta — Shadowrocket (płatny, $2.99), Streisand lub Hiddify.

Instalacja z App Store (region i dostępność)

Aby zmienić region: Ustawienia → [twoje imię] → Media i zakupy → Wyświetl konto → Kraj/region. Region kazachstański otwiera się bez problemów z rosyjską kartą Mir przez pośrednika lub bez karty (niektóre aplikacje są darmowe). Po zmianie regionu szukaj "sing-box" w App Store.

Ważne: zmiana regionu wpływa na wszystkie zakupy i subskrypcje App Store. Jeśli masz aktywne zakupy — zmień region po ich zakończeniu.

Import subskrypcji i profilu na iOS

Po instalacji mechanika jest analogiczna do Androida: Profiles → "+" → wklej URL subskrypcji lub link vless://. Na iOS działa również import przez kod QR aparatem aplikacji. Konfiguracja jest pobierana, pojawia się na liście profili.

Różnice iOS: na żądanie, ograniczenia trybu w tle

iOS agresywnie zabija procesy w tle. Jeśli wyłączysz ekran i po 10 minutach odkryjesz, że VPN się rozłączył — to nie błąd Sing-box, to iOS. Włącz "On Demand" w ustawieniach profilu: wtedy system sam się ponownie połączy przy dostępie do sieci. Jeszcze jedna kwestia: na iOS nie ma trybu TUN w tym sensie, co na Androidzie. Działa przez wbudowane API VPN, co nieco ogranicza elastyczność routingu.

Zezwolenie na profil VPN w ustawieniach iPhone'a

Podczas pierwszego uruchomienia iOS poprosi o dodanie konfiguracji VPN. Naciśnij "Zezwól", wprowadź kod odblokowujący. Profil pojawi się w Ustawienia → Ogólne → VPN i zarządzanie urządzeniem. Jeśli profil korporacyjny lub MDM zabrania dodawania VPN — bez usunięcia MDM nic się nie uda. To znane ograniczenie w pracy iPhone'ów.

Konfiguracja Sing-box na Windows i Mac

Na desktopie są dwie drogi: GUI-owate (Hiddify Desktop potrafi uruchomić jądro sing-box, jest klient GUI NekoRay/NekoBox dla PC) lub czyste uruchomieniesing-box.exe run -c config.jsonw terminalu. Dla większości zadań GUI jest wygodniejsze.

Instalacja klienta desktopowego (GUI i jądro sing-box)

Pobierz binarkę z github.com/SagerNet/sing-box/releases — wybierz wersję odpowiednią do swojej architektury (windows-amd64, darwin-amd64 lub darwin-arm64 dla Apple Silicon). Hiddify Desktop (hiddify.com) używa jądra sing-box pod maską i daje normalny interfejs — dobry wybór dla Windows.

Import config.json i uruchomienie przez TUN

Jeśli masz plik konfiguracyjny — umieść go obok binarki i uruchomsing-box run -c config.json. Tryb TUN na Windows i Mac wymaga uprawnień administratora: na Windows uruchom CMD jako administrator, na Mac przez sudo. Bez tego interfejs TUN nie zostanie utworzony i cały ruch nie przejdzie przez tunel.

Różnica między proxy systemowym a TUN: proxy systemowe przechwytuje ruch HTTP/HTTPS przeglądarki, ale ignoruje aplikacje, które łączą się bezpośrednio (gry, Telegram desktop, aktualizacje Windows). TUN przechwytuje wszystko. Dla stabilnego omijania blokad — TUN.

Autostart i proxy systemowe vs TUN

Na Windows można dodać uruchamianie przez Harmonogram zadań z wyzwalaczem "przy logowaniu do systemu". Na Mac — przez launchd (plist w ~/Library/LaunchAgents). Jeśli chcesz proste rozwiązanie — Hiddify Desktop potrafi autostartować przez ustawienia aplikacji, nie trzeba dotykać narzędzi systemowych.

Omijanie blokad i DPI: jak sprawdzić i poprawić

Porozmawiajmy szczerze o tym, jak to działa — bez magii i przesady.

Dlaczego VLESS+Reality omija DPI dostawcy

TSPU patrzy na sygnatury protokołów: charakterystyczne wzorce handshake TLS, nagłówki, zachowanie połączenia. Reality imituje legalny ruch TLS do rzeczywistej strony (na przykład do microsoft.com lub jakiegoś CDN) — sprzęt widzi zwykły HTTPS i przepuszcza. To zasadniczo inne podejście niż obfuskacja w Shadowsocks, która jest cięta częściej.

Co robić, gdy YouTube zwalnia nawet z VPN

Jeśli YouTube się zacina przy włączonym Sing-box — pierwsze, co sprawdź: czy wideo w ogóle przechodzi przez tunel. W regułach routingu w konfiguracji YouTube powinien być w tunelu. Jeśli reguł nie ma lub są napisane niepoprawnie, ruch idzie bezpośrednio i podlega spowolnieniu TSPU. Drugie — przeciążony serwer. Przełącz się na inny węzeł i sprawdź ping.

Test rzeczywistej prędkości i stabilności połączenia

Metodyka jest prosta: otwórz speedtest.net przed włączeniem tunelu, zapisz prędkość. Włącz Sing-box, ponownie speedtest. Różnica nie powinna być katastrofalna — dobry serwer daje 70-80% podstawowej prędkości. Potem otwórz youtube.com i spróbuj przełączyć jakość na 1080p60 — jeśli nie ma buforowania przez 30 sekund z rzędu, połączenie jest stabilne. Żadnych "obiecujemy 500 Mbit/s" — rzeczywisty test na twoim konkretnym sprzęcie i dostawcy.

Reguły routingu: co kierować do tunelu, a co obok

Typowy błąd — kierować cały ruch przez tunel, w tym rosyjskie strony. To spowalnia VKontakte, Usługi publiczne, Ozon i aplikacje bankowe. W poprawnej konfiguracji są reguły routingu: rosyjskie zakresy IP (listy CIDR, można je wziąć z repozytorium antifilter.download) idą bezpośrednio, reszta — do tunelu. Wiele gotowych subskrypcji już zawiera takie reguły.

Częste błędy i co robić, jeśli nie można się połączyć

Oto konkretne objawy i ich przyczyny — bez "spróbuj ponownie zainstalować".

Błąd timeout / handshake failed

Pierwsze: sprawdź czas na urządzeniu. Reality kończy handshake TLS tylko wtedy, gdy czas klienta i serwera różni się o mniej niż 90 sekund. Włącz automatyczną synchronizację czasu w ustawieniach systemu operacyjnego. Drugie: dostawca mógł zablokować konkretny adres IP serwera lub port. Spróbuj innego serwera z subskrypcji lub poproś dostawcę (dostawcę VPN) o zmianę portu.

Podwójny NAT i CGNAT u operatorów mobilnych (szczególnie u operatorów wirtualnych) czasami łamią Hysteria2 i protokoły oparte na QUIC — działają one na UDP, które CGNAT tnie. W takim przypadku przełącz się na VLESS oparty na TCP.

Połączenie jest, ale strony się nie otwierają

Status "Connected" oznacza tylko, że tunel został nawiązany. Ale jeśli aplikacja działa w trybie proxy systemowego, a nie TUN — ruch UDP i aplikacje bez wsparcia proxy idą obok. Włącz tryb TUN. Sprawdź również DNS: jeśli w konfiguracji jest zapisany DNS, który nie rozwiązuje — strony się nie otworzą nawet przy działającym tunelu.

Konfiguracja jest przestarzała lub subskrypcja nie jest aktualizowana

URL subskrypcji mógł się zmienić po stronie dostawcy lub serwer pobiera konfigurację z wygasłym certyfikatem SSL. Otwórz link w przeglądarce — jeśli zwraca JSON, wszystko w porządku; jeśli 404 lub błąd — poproś dostawcę o nowy link. W Sing-box na Androidzie wymuszenie aktualizacji subskrypcji: Profile → długie naciśnięcie na profil → Aktualizuj.

Wycieki DNS i jak je zamknąć

Wycieki DNS oznaczają, że zapytania o nazwy stron przechodzą przez DNS dostawcy, a nie przez tunel. Dostawca widzi, że żądasz youtube.com — nawet jeśli ruch przechodzi przez VPN. Sprawdzenie: dnsleaktest.com z włączonym tunelem. Jeśli widzisz DNS dostawcy — w konfiguracji Sing-box musisz dodać sekcję dns z serwerem 1.1.1.1 lub 8.8.8.8 wewnątrz tunelu i wskazać"strategy": "ipv4_only" jeśli IPv6 nie jest potrzebny. Większość gotowych subskrypcji już to konfiguruje.