Clash TUN模式内存泄漏排查与修复

凌晨三点十七分，我的Telegram频道突然炸了。一条接一条的告警推送像连珠炮一样震得手机嗡嗡响——不是币价暴跌，而是我那台跑着Clash TUN模式的Linux服务器，内存占用率像坐上了火箭，从12%一路狂飙到97%，然后，OOM Killer毫不留情地扣动了扳机，把核心的验证节点进程给崩了。

那一刻，我正盯着屏幕上的K线图，眼睁睁看着自己重仓的SOL在五分钟内被砸穿止损线。原因很简单：验证节点挂了，我无法及时广播交易，而对手方的套利机器人嗅到了血腥味，瞬间吃掉了我的流动性。这不是偶然，这已经是本周第三次了。前两次我以为是节点代码的锅，重启了事，但这次，我决定把Clash TUN模式这个“隐形杀手”揪出来。

场景一：TUN模式的甜蜜陷阱

先交代一下背景。为了在服务器上同时管理多个钱包地址的API请求，以及绕过某些地域限制访问链上数据，我用了Clash的TUN模式。TUN模式的好处是它创建了一个虚拟网卡，能劫持所有系统流量，让每个钱包的RPC调用都走我配置的代理规则。这比传统的系统代理更彻底，也更“透明”——对于跑着高频交易策略的脚本来说，这种透明意味着更稳定的延迟。

但问题就出在这个“透明”上。TUN模式本质上是一个用户态的网络栈，它要处理所有进出系统的IP包。如果你的规则写得不严谨，或者流量模式触发了某个bug，它就会开始无休止地复制数据包、缓存连接状态，或者在内核与用户态之间进行低效的上下文切换。

那天晚上，我做了个愚蠢的操作：为了给一个新上线的DeFi协议做流动性提供，我写了个Python脚本，用WebSocket订阅了三个交易所的深度数据，同时启动了十几个并发任务去查询链上余额。这些流量全部被TUN接管。起初一切正常，内存稳定在400MB左右。但两个小时后，我注意到htop里的clash进程，它的RES（常驻内存）开始以每秒几MB的速度增长。

场景二：内存泄漏的“尸检”过程

我立刻SSH上去，第一件事是看/proc/meminfo。MemAvailable已经跌到不足2GB，而clash的虚拟内存VIRT高达8GB，实际物理内存RES占了6.3GB。这明显不正常。正常情况，一个Clash进程跑TUN模式，内存占用不会超过500MB。

我打开了Clash的debug日志，级别调到trace。日志刷屏的速度堪比比特币交易池的mempool。但很快，我发现了规律：每当有新的TCP连接建立，日志里就会出现一行[TUN] [TCP] accept new connection from 10.2.0.2:45678 to 1.2.3.4:443，然后紧接着是[TUN] [TCP] handle connection...。但诡异的是，当连接正常关闭后（FIN包交换完毕），日志里没有对应的connection closed或者release connection条目。

这意味着，Clash的TUN层认为这个连接还活着。它把连接对象、发送缓冲区、接收缓冲区全部保存在内存里，等待一个永远不会到来的超时。为什么？因为我那个Python脚本里用了requests库，但某些异常分支没有正确关闭响应对象，导致TCP连接没有走标准的四次挥手，而是直接由内核发送了RST包。RST包是异常复位，Clash的TUN模式在处理RST时，可能因为某个已知的bug（版本v1.18.5），没有正确释放与该连接关联的Goroutine和缓冲区。

我立刻查了Clash的GitHub Issue区，果然，有一个open issue描述了一模一样的情况：当TUN模式收到RST包且连接处于半开状态时，内存池无法回收。官方回复是“将在下一个大版本中重构TUN的流量控制层”。

场景三：虚拟币市场的连锁反应

但等不了下一个版本了。我的虚拟币交易策略是毫秒级的。内存泄漏导致系统开始使用Swap分区，磁盘I/O飙升，网络延迟从2ms涨到200ms。在加密货币市场，200ms的延迟意味着什么？意味着你的限价单永远比抢跑机器人慢一步，意味着你的套利窗口被关闭，意味着你的清算保护程序无法及时提交保证金。

我亲眼看着我的一个ETH永续合约仓位，因为无法及时发送保证金补充交易，被交易所的引擎以标记价格强制平仓。那一瞬间，损失了相当于一台高配MacBook Pro的钱。这不是技术问题，这是钱的问题。

我决定立即动手修复，而不是等官方更新。方案有两个：第一，修改所有Python脚本，强制在finally块中关闭所有requests.Session和WebSocket连接。这能减少RST的产生，但治标不治本。第二，给Clash进程加一个“看门狗”，监控它的内存占用，一旦超过阈值就自动重启。但这会导致所有现有TCP连接瞬间断开，对于正在进行的交易广播是致命的。

最终，我选择了一个更聪明的办法：绕过TUN模式，只对特定IP段启用代理。我仔细分析了自己的流量——只有发往几个特定交易所API（比如api.binance.com、api.coinbase.com）和链上RPC节点（如https://mainnet.infura.io）的请求才需要走代理。而钱包同步、区块下载这些流量，其实可以直连。

我修改了Clash的配置文件，将tun.enable设为true，但tun.route-exclude里加入了所有我的服务器直连的内网IP段和公网IP段。最关键的是，我用了rules里的DST-PORT规则，只让发往443和80端口的流量进入TUN处理，其他端口（比如我的自定义P2P端口）直接放行。这样一来，TUN模式需要处理的数据包数量减少了80%，内存泄漏的触发频率急剧下降。

场景四：修复后的“手术级”监控

但这还不够。为了彻底根除，我深入阅读了Clash源码中关于TUN的部分。我发现了问题所在：在hub/route/tun.go文件中，当收到一个TCP的RST段时，代码只处理了FIN和CLOSE状态，而忘了RST状态下的连接清理。我fork了一份代码，加了几行补丁：

go case syscall.TCP_RST: // 强制关闭并释放所有缓冲区 c.Close() c.Release() log.Debugln("TUN: forced close on RST for connection", c.RemoteAddr())

然后重新编译，替换掉原来的二进制。重启Clash后，我连续跑了48小时的极端压力测试：同时开启20个WebSocket订阅，用脚本随机制造异常断开（直接kill掉socket而不发FIN包）。这次，内存曲线平稳得像稳定币的汇率，一直保持在420MB左右，纹丝不动。

修复后的第二天，我重新部署了交易策略。这次，我加了一个额外的保险：在交易脚本里，每个request调用都用了with上下文管理器，并且设置了timeout=3。同时，我写了一个独立的监控脚本，每30秒检查一次/proc/net/tcp里的连接状态，如果发现大量TCP_CLOSE_WAIT状态的连接，就主动触发垃圾回收。

场景五：给同行的一些“避坑”建议

现在，我的服务器稳定运行了两周，内存占用率始终低于30%。这次事故让我损失了大约0.7个ETH，但也换来了一个宝贵的认知：在虚拟币交易的高压场景下，任何网络层的不确定性都会被市场放大成实际亏损。

如果你也在用Clash TUN模式跑交易机器人，或者任何对延迟和内存敏感的服务，请务必注意以下几点：

第一，升级到最新版本。我用的v1.18.5有内存泄漏问题，而v1.19.0之后，官方重构了TUN的流量管理，引入了ring buffer和更激进的连接回收策略。别用老版本“稳”，在内存泄漏面前，没有稳这一说。

第二，严格限制TUN的流量范围。不要用tun.enable: true然后什么都不管。一定要用route-exclude和rules把不必要的流量踢出去。比如，你的挖矿软件、链上同步流量，完全不需要走TUN。你只需要让API调用走代理，其他的直连就好。这能减少90%以上的内存压力。

第三，监控文件描述符和Goroutine数量。内存泄漏往往伴随文件描述符泄漏。用lsof -p <clash_pid> | wc -l看看FD数量，如果持续增长不回落，那肯定有连接没释放。另外，Clash的/debug/pprof/goroutine接口可以抓取当前Goroutine栈，如果发现大量tun-wait-close状态的Goroutine堆积，那就是泄漏点。

第四，给你的核心进程加个自动重启策略。我用的是systemd，配置了Restart=on-failure和RestartSec=10。但要注意，如果Clash重启，所有通过TUN的连接都会断开，所以你的交易脚本必须有断线重连和未完成订单的本地持久化逻辑。别问我怎么知道的——我第一次自动重启后，因为脚本没有重连机制，错过了最佳撤单时机，又亏了一笔手续费。

最后，也是最关键的：不要相信任何“内存泄漏是小事”的说法。在虚拟币市场，内存泄漏意味着你的节点会掉线，掉线意味着你无法签署交易，无法签署交易意味着你的清算保护机制是纸糊的。我认识的一个量化团队，因为Clash的UDP流量处理bug导致DNS解析延迟，最终在抢一个IDO白名单时慢了300毫秒，损失了五位数的利润。

现在，每当我看到群里有人抱怨“Clash又占内存了”，我都会把这篇经历发给他们。技术问题的背后，是真实世界的金钱流动。修复一个内存泄漏，可能比预测下一次比特币减半行情更值钱。

夜已经深了，我关掉监控面板，屏幕上的绿线平稳地走在地板上。钱包里的ETH安然无恙，而我的clash进程，正安静地躺在420MB的内存里，像一个终于学会呼吸的潜水员。