升级 Xray 后 sing-box 连不上先别降级

发表于 分类于
Xray-core v26.9.8 起 REALITY 要求 X25519MLKEM768，sing-box 1.14.4 仍连不上；11 月 3 日实测只有 REALITY 不通，别降级，改用 Xray 或 Mihomo 客户端、或给 sing-box 设备另开入站。

本文是 10 月 31 日那篇 REALITY 报错文章的跟进，只补 11 月 3 日的新结论：报错根因不变，但“降级 Xray 就好”这条路现在不建议走了。下面引用的 11 月 3 日实测来自第三方作者，不是本站实测，先说清楚。

先说结论：服务端保持 v26.10.31，别降级

升级 Xray-core 到 v26.9.8 及更新版之后，sing-box 内核的客户端连 VLESS + REALITY 节点会报：

1
reality verification failed

到 2026 年 11 月 3 日，sing-box 最新正式版 1.14.4 和测试版 1.15.0-alpha.13 还是连不上，上游问题帖 #4520 仍是 Open 状态，最后一条回复是 10 月 30 日，没有 sing-box 维护者的回复。

但这不等于要把服务端降回去。降级有两个具体代价：

  • v26.10.31 以前的 Xray 默认开着 MPTCP，内核没修的服务器降级，等于把 Linux 内核 MPTCP 漏洞重新打开；
  • v26.7.x 默认按版本号拦客户端，降到那个范围也不一定能让 sing-box 通。

所以结论是：服务端保持 Xray-core v26.10.31，REALITY 节点换客户端内核去连，或者给 sing-box 设备另开一个不用 REALITY 的入站。

11 月 3 日实测：卡住的只有 REALITY 这一种组合

第三方作者在 11 月 3 日的实测里，服务端是官方 Xray v26.10.31，客户端是 sing-box 1.14.4 和 1.15.0-alpha.13，每项用代理访问一次检测地址测三次，结果如下：

  • VLESS + REALITY + Vision，指纹 chrome / firefox / safari：0/3，报错 reality verification failed；
  • VLESS + TLS、VLESS + TLS + Vision、Trojan + TLS、VLESS + WebSocket + TLS、Hysteria2、Shadowsocks 2022：都是 3/3；
  • 同一个 REALITY 入站，Xray v26.10.31 自己的客户端用 chrome 指纹：3/3；
  • 把服务端换成 sing-box 1.14.4 的 REALITY：两个版本的 sing-box 客户端、Xray v26.10.31 客户端（chrome）也都是 3/3。

也就是说，卡住的只有一种组合：Xray 的 REALITY 服务端 + sing-box 的 REALITY 客户端。其他协议不用动，问题也不在账号密码、端口或伪装站上。

按客户端分流，别全站降级

Xray 内核的客户端：电脑上的 v2rayN、Throne 的 REALITY 节点用 Xray 内核；安卓的 v2rayNG 内核就是 Xray，不受影响。

Mihomo 内核的客户端：指纹选 Chrome，再打开 support-x25519mlkem768。3x-ui 从 10 月起的分享链接会带上 support-x25519mlkem768=true，客户端认不认这个参数要看具体软件；Firefox、Safari 指纹仍然连不上。

sing-box 内核的设备（Karing、NekoBox、sing-box 官方 App 等）：在服务器上多开一个不用 REALITY 的入站给它们用。有域名就开 VLESS + TLS；没有域名开 Hysteria2，客户端里固定自签证书。Hysteria2 走 UDP，有的地方运营商会限速，以自己测出来的为准。

小火箭、Loon 这类客户端：先按上面 Mihomo 的办法，把 TLS 指纹改到支持 X25519MLKEM768 的版本（例如 chrome），并且同步改节点配置和传输设置里的指纹，只改一处可能还是超时。

还没解决的部分

社区已经有四个针对 sing-box 的补丁分支，但到 11 月 3 日都没有合进 sing-box，其中一个被另一位作者复核认可的改法，也还没成为正式发布。S-UI 这边同理：它内嵌 sing-box 做 VLESS REALITY 出站，在 sing-box 官方发布修复、S-UI 跟进新版之前，升级面板不能解决这个握手问题。

等 sing-box 官方发布修复后，本站再更新这篇的结论。在那之前，记住顺序：先确认是不是“Xray 新版 REALITY 服务端 + sing-box 客户端”这对组合，再决定换客户端还是另开入站，不要先降级服务端。

依据来源