Xray如何从入站IP中嗅探出域名？sniffing的原理是什么？

[Benjamin1919]

引用一段官方配置文档( https://xtls.github.io/config/inbound.html#inboundobject )对于sniffing的解释:

流量探测主要作用于在透明代理等用途. 比如一个典型流程如下:

如有一个设备上网,去访问 abc.com,首先设备通过 DNS 查询得到 abc.com 的 IP 是 1.2.3.4,然后设备会向 1.2.3.4 去发起连接.
如果不设置嗅探,Xray 收到的连接请求是 1.2.3.4,并不能用于域名规则的路由分流.
当设置了 sniffing 中的 enable 为 true,Xray 处理此连接的流量时,会从流量的数据中,嗅探出域名,即 abc.com
Xray 会把 1.2.3.4 重置为 abc.com.路由就可以根据域名去进行路由的域名规则的分流
因为变成了一个向 abc.com 请求的连接, 就可以做更多的事情, 除了路由域名规则分流, 还能重新做 DNS 解析等其他工作.

当设置了 sniffing 中的 enable 为 true, 还能嗅探出 bittorrent 类型的流量, 然后可以在路由中配置"protocol"项来设置规则处理 BT 流量, 比如服务端用来拦截 BT 流量, 或客户端固定转发 BT 流量到某个 VPS 去等.

问题来了：
【1】xray如何从入站IP中嗅探出域名？是通过内置DNS服务器进行反向解析吗？
【2】对于一个IP对应多个域名的情况(比如某些CDN的IP)，xray如何处理返回的多个域名？是随机选取一个，还是把所有域名都跟路由规则匹配一遍？
【3】如果不开启sniffing，路由模块中的域名分流规则不再生效，但是IP分流规则依然可以正常匹配，是否正确？
【4】如果能保证进入xray之前所有域名都解析到了正确的IP，而且路由中的IP分流规则也写得很完善，那么此时应该不开启sniffing，减少一次解析，改善延时，是否正确？

[chise0713]

1. http header中的host字段，tls/quic握手中的sni字段，fakedns中的反向解析
2. 不会出现你说的这个问题，因为反向解析不会在除fakedns外的情况下使用。
3. 不开sniffing的情况下，假设传入的连接就是域名（socks/http/前置fakeip），域名规则依旧生效，IP分流始终生效
4. 减少解析可以使用 sniffing.routeOnly 字段，它不会将被解析为IP的连接重置为域名

[chise0713]

同时开启sniffing和routeOnly，入站IP被嗅探出域名，即便域名找不到可匹配的域名分流规则，xray还是会用原入站IP尝试去匹配IP分流规则，如果IP分流规则匹配成功就按照指定的出站发出，如果都匹配不成功就从默认出站发出。以上行为不受路由策略的影响。

这样说对吧？

对

[haodayizhia]

哥你说的太好了，问个问题:如果我开了嗅探，访问国内的网站，从入站ip嗅探到域名后把ip重置为域名，岂不是又要重复一遍解析dns？

[Benjamin1919]

哥你说的太好了，问个问题:如果我开了嗅探，访问国内的网站，从入站ip嗅探到域名后把ip重置为域名，岂不是又要重复一遍解析dns？

开启RouteOnly就不会二次解析了

[YunQing528]

这个情况是当路由里面的domainStrategy设置为AsIs,如果是IPIfNonMatch没有匹配到域名还是要解析成ip的吧。我觉得一般情况下routOnly还是false的，IPIfNonMatch使用内置DNS解析，如果开启routOnly就是相当于关闭了内置DNS解析的作用，对于被污染的域名，就没法正确DNS分流了

[Benjamin1919]

这个情况是当路由里面的domainStrategy设置为AsIs,如果是IPIfNonMatch没有匹配到域名还是要解析成ip的吧。我觉得一般情况下routOnly还是false的，IPIfNonMatch使用内置DNS解析，如果开启routOnly就是相当于关闭了内置DNS解析的作用，对于被污染的域名，就没法正确DNS分流了

AsIs：完全关闭内置DNS解析，按照路由规则从上而下进行匹配（不管是域名规则还是IP规则），匹配不到的就走第一个出站；
IPIfNonMatch：先按照路由里的域名分流规则匹配，如果都没匹配到，则使用内置DNS解析成IP，然后去匹配路由里的IP分流规则，如果还是匹配不到，就走第一个出站（该行为不受routeOnly影响）；
routeOnly：如果从入站数据中嗅探到域名，则只按照路由规则进行匹配、但不重新进行DNS解析。
至于你所担心的被污染的域名，要分情况看待：

1. 被污染域名已经位于路由中的代理规则，且进入xray时还没有进行DNS解析（socks入站一般都是这样），那么不用担心污染；
2. 路由规则没有写清楚被污染域名该怎么分流，且进入xray时还没有进行DNS解析（socks入站一般都是这样），如果domainStrategy设置为AsIs，则走第一个出站；domainStrategy设置为IPIfNonMatch，则由xray内置DNS解析成IP后去匹配IP分流规则，此时有没有正确被代理取决于你的内置DNS配置是怎么写的；
3. 被污染域名进入xray之前已经完成了一次DNS解析（透明代理入站一般是这样），而你又不确定之前的DNS解析是否正确，那么你应该把routeOnly设为false，让xray将嗅探到的域名都重新解析一次。

所以你的这个问题没有固定答案，要看你的使用场景。如果是多种场景混用，而你又不想每个场景都写一份配置，那你直接关闭routeOnly吧