SNI 嗅探技术 (SNI Sniffing) 在透明代理精确路由中的关键作用
#SNI嗅探#透明代理路由#分流精度
阅读需 4 分钟||
在 OpenWrt 上配置 透明接管网关 时，您经常会在 Clash 或是 PassWall 的高级面板里看到一个至关重要的开关：SNI 嗅探 (SNI Sniffing / 域名嗅探)。如果关闭它，很多精准的高级分流规则都会彻底失效。
1. 为什么需要进行嗅探？
在透明代理模式下，当您的电脑访问 google.com 时，其实代理内核只看到了一堆冰冷的 IP 地址通信（即数据包向外请求 142.250.x.x）。
此时，如果您的分流配置中写了一条规则：“拦截所有发往 google.com 的流量”，代理软件便面临困境：它手头只有一串 IP 组合，根本不知道这是什么网站，从而导致该条基于域名的路由分流规则完全无法匹配。
2. SNI：加密外衣上的名牌
SNI (Server Name Indication) 是 TLS 安全协议中极其关键的一个字段。由于一个 IP 服务器上往往承载着成千上万个不同的网站域名，客户端在发起加密握手连接的第一步（Client Hello 包）时，必须明文告诉服务器：“嘿，我马上要找的是 google.com 的证书”。
这串唯一且裸露在明文中的目标域名，就叫 SNI 字段。
3. 嗅探的过程与局限
- 工作机制：当开启了 SNI 嗅探后，代理核心会像门卫一样，拦截住您的这个初次握手包，小心翼翼地把这个明文“名牌”提取出来。它恍然大悟这是
google.com的流量，紧接着将其送入分流引擎，从而完美触发了那条海外路由转发规则。 - 潜在风险与退化：这种机制高度依赖 TLS 协议的脆弱性。随着未来全网逐渐强制普及 ECH 加密层，也就是连最后这行名牌都被加密遮挡起来，单纯的 SNI 嗅探将会彻底失效。届时，我们需要依靠更为底层的 Fake-IP 技术 将域名解析行为死死绑定在代理内部，才能维持目前的精细化路由控制。