TUN 模式是什么：什么时候开、怎么开

TUN 模式就是让代理客户端创建一张虚拟网卡，在系统层面接管所有网络流量，再按规则决定走代理还是直连。当某些软件不认系统代理（游戏、命令行、部分客户端）时才需要开启；只用浏览器的话，系统代理就够了。

该不该开：快速判断

1. 浏览器能翻、某个软件却显示直连 → 开 TUN。
2. 需要代理 UDP 流量（游戏、语音通话） → 开 TUN，并确认节点支持 UDP。
3. 命令行工具不想逐个设环境变量 → 开 TUN。
4. 只浏览网页、看视频 → 不必开。
5. 同时在用公司 VPN、虚拟机网络或加速器 → 谨慎开，容易冲突。

系统代理与 TUN 的区别

对比项	系统代理	TUN 模式
生效范围	遵守系统代理设置的程序	几乎所有程序
UDP	一般不支持	支持
权限	无需额外权限	需要管理员权限、服务模式或网络扩展
DNS	由各程序自行解析	通常由客户端劫持并接管
冲突风险	低	较高

开启前的准备

• 确认权限：Windows 需要管理员权限或服务模式，macOS 需要输入密码或允许网络扩展，公司管理的电脑可能被策略禁止。
• 关闭冲突软件：其他 VPN、游戏加速器、部分安全软件也会创建虚拟网卡或改写路由，同时开启容易互相覆盖。
• 准备好 DNS 配置：TUN 会劫持 DNS，客户端的 DNS 模块必须可用，否则可能出现能连节点却打不开网页的情况。
• 知道如何退回：记住关闭 TUN 的位置，出现断网时能第一时间恢复。

如何开启

图形客户端

• Clash Verge Rev：在设置中先安装「服务模式」，再打开「TUN 模式 / 虚拟网卡模式」开关，详见 Clash Verge Rev 教程。
• v2rayN：较新版本提供 TUN 开关，首次使用需以管理员身份运行。
• macOS App Store 类客户端：开启「增强模式」或类似选项时，系统会提示添加 VPN 配置。

选项名称随版本变化较大，以实际版本为准。Windows 用户可同时参考 Windows 使用教程。

mihomo 配置示例

tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

• stack：常见取值 system、gvisor、mixed。mixed 对 TCP 用系统栈、UDP 用 gVisor，兼容性较好；遇到问题可逐个尝试。
• auto-route：自动写入路由，把流量导入虚拟网卡。
• dns-hijack：劫持 53 端口的 DNS 请求，交给客户端的 DNS 模块，需同时开启 dns.enable，设置方法见 DNS 教程。

sing-box 配置示例

{
  "inbounds": [
    {
      "type": "tun",
      "tag": "tun-in",
      "address": ["172.19.0.1/30"],
      "auto_route": true,
      "strict_route": true,
      "stack": "mixed"
    }
  ]
}

sing-box 不同版本的 TUN 字段有过调整（早期版本使用 inet4_address），请以所用版本的官方文档为准。

开启后如何确认生效

• 打开客户端的「连接」页面，访问一个境外网站，能看到对应连接并显示命中的规则与节点，说明流量已被接管。
• 在命令行中直接访问境外地址（不设置任何代理环境变量），能返回内容即说明 TUN 生效。
• 系统网络列表中会出现一张新的虚拟网卡，名称由客户端决定。

开启 TUN 后，局域网访问（打印机、NAS）一般仍按规则直连；若出现异常，检查规则中是否有局域网直连规则。

开启后断网怎么办

• 关闭其他 VPN、加速器、网卡过滤类安全软件后重试。
• 换一个 stack 值。
• Windows 上重装服务模式，或以管理员身份重新运行。
• 检查当前节点是否可用，节点本身超时请看 节点连不上排查清单。
• 仍不行就先退回系统代理，保证能正常上网。