您在电脑上装好了 Clash 客户端，浏览器能上外网，可某个游戏、命令行工具或者下载软件就是不走代理；有人让您“开 TUN 模式”，您又怕开了以后整台电脑断网。这篇就讲这件事：TUN 模式是什么、该不该开、怎么开得稳。
先说结论：日常只用浏览器和常见软件，开“系统代理”就够了；只有当某些软件不认系统代理时，才需要 TUN。开 TUN 之前先确认订阅和规则正常，开完发现没网，先查 DNS 和防火墙，不要急着换节点。
系统代理和 TUN 模式，到底差在哪
简单讲，“系统代理”是客户端在系统里登记一个代理地址，愿意遵守这个设置的软件（比如大多数浏览器）会自己把流量交过去。不遵守的软件，客户端管不着。
TUN 则是另一个思路：客户端在系统里建一张虚拟网卡，再设置路由，让流量先进这张网卡，由客户端统一处理。这样不管软件认不认系统代理，流量都会经过它。据 mihomo（Clash Meta 内核）官方文档，TUN 在配置里是一个“入站”（inbound），auto-route 的作用就是“自动设置全局路由，把全局流量引入 TUN 网卡”。
| 对比项 | 系统代理 | TUN 模式 |
|---|---|---|
| 接管范围 | 只管遵守系统代理设置的软件 | 通过虚拟网卡和路由，接管整机流量 |
| 设置难度 | 低，一个开关 | 较高，涉及权限、防火墙、DNS |
| 出问题的概率 | 较低 | 相对更高，常见是没网或网络变慢 |
| 适合谁 | 浏览器、日常办公 | 游戏、命令行、不认代理的软件 |
什么时候该开 TUN
小编建议按这个顺序判断：
- 先只开系统代理，试试您常用的软件能不能正常上外网。
- 如果只有个别软件不走代理（比如命令行里的 git、某些游戏启动器），再考虑 TUN。
- 如果软件本身支持设置代理，优先在软件里直接填代理地址，比开 TUN 省事。
- 只想临时用一下的，用完就关，不用一直开着。
规则分流本身怎么设，可以看站内的《Clash 规则分流怎么设置：国内直连、国外走代理》，TUN 只是“让流量进来”，进来以后走哪条路，还是由规则决定。
TUN 常见选项，一次看懂
下面几个选项名是 mihomo 官方文档里的原话，您在配置文件或客户端高级设置里会碰到。以下说明来自 mihomo 文档（查阅日期：2026 年 11 月 12 日），不同客户端的界面叫法可能略有差异。
- stack（协议栈）：可选 system、gvisor、mixed、mips。system 用系统自带的网络栈；gvisor 在用户空间运行；mixed 是 TCP 用 system、UDP 用 gvisor。文档里写明默认值为 mips，并说明没有使用问题时推荐使用。遇到兼容问题，可以在这几个值之间切换试试。
- auto-route：自动设置全局路由，把流量引入 TUN 网卡。不开的话，虚拟网卡建了也没人用。
- strict-route：在开启 auto-route 时执行更严格的路由。文档提到，在 Windows 上它会添加防火墙规则以阻止 DNS 泄漏，但也可能让个别软件（文档举的例子是 VirtualBox）工作异常。
- dns-hijack：把匹配到的连接重定向到内部 DNS 模块，示例里常见写法是
any:53。 - auto-detect-interface：自动检测出口网卡。文档建议有多条上行网络的设备手动指定出口网卡。
说明一下：DNS 就是把域名翻译成 IP 地址的那一步。TUN 里 DNS 处理不好，是“开了没网”最常见的原因之一，下面会讲。
怎么开：给新手的 4 步
不同客户端界面不一样，思路是相通的。以 Clash Verge Rev 为例，安装和导入订阅的完整流程可以看《Clash Verge Rev 怎么用：从下载到配置的全平台新手教程》，这里只讲 TUN 部分。
- 先确认订阅正常。节点列表能拉取、至少一个节点延迟测试有结果。订阅都导不进来的话，先看《Clash 订阅导入失败怎么办》。
- 确认模式是“规则”。日常用规则模式，国内网站直连，别让所有流量都绕一圈。
- 在客户端的设置里打开 TUN。如果客户端提示需要管理员权限或安装服务，按提示操作即可；具体步骤以您所用客户端的官方文档为准。
- 用两个目标测试。一个国内网站、一个国外网站都能打开，再测试之前不走代理的那个软件。
想了解 Windows 自带 VPN 和 Clash 类客户端的区别，可以参考《Windows 自带 VPN 能翻墙吗》。
开了 TUN 没网？按这个顺序排查
- 关掉 TUN 再测。关掉后恢复正常，说明问题在 TUN 设置，不在节点。
- 看防火墙。文档说明，stack 用 system 或 mixed 时，如果系统防火墙开着，需要允许内核程序通过。Windows 在“Windows 安全中心”里的“允许应用通过防火墙”设置，macOS 在“系统设置 → 网络 → 防火墙 → 选项”。
- 换 stack。在 mixed、gvisor、system 之间换一个再试，每次只改一项。
- 查 DNS。文档提到，dns-hijack 在 macOS 和 Windows 上无法劫持发往局域网的 DNS 请求；在 Android 上，开启“私人 DNS”时也会失效。出现“能连上但打不开网站”时，先检查这里。
- 检查 strict-route。如果某个软件（比如虚拟机）异常，试着关掉 strict-route 对比。
- 排除节点问题。换一个节点再测。如果之前就有“节点超时”，那是线路问题，和 TUN 无关。
每步只改一个设置，改完立刻测试，这样才能知道是哪一步起了作用。排查时请不要把完整订阅链接发给任何人，它等于您的账号凭据，泄露后怎么处理见《机场订阅链接泄露了怎么办》。
常见问题（FAQ）
开了 TUN 还要开系统代理吗？
一般不需要同时开。两者都开不一定出错，但排查起来更乱，建议先只留一个。
TUN 会让网速变慢吗？
流量多经过一道处理，理论上会有额外开销，实际影响因设备和 stack 而异，小编没有做实测，不给具体数字。觉得变慢可以换 stack 对比。
手机上的 TUN 和电脑一样吗？
原理类似，都是系统级虚拟网卡，但权限和设置入口不同。安卓客户端可以看《安卓手机 Clash 怎么用》。
开 TUN 是不是更安全？
不一定。TUN 解决的是“流量有没有进客户端”，不等于更隐私。安全取决于您用的服务商、订阅来源是否可信。
不开 TUN，某个软件能走代理吗？
很多软件自带代理设置，直接填客户端的本地代理地址即可，这比开 TUN 简单。
小结
系统代理够用就别折腾 TUN；确实需要全局接管，再按“订阅正常、规则模式、开启 TUN、双目标测试”的顺序来，出问题就从防火墙、stack、DNS 三处查起。
提醒：机场和代理服务由第三方运营，可能随时调整或停止服务，建议按月购买、保管好订阅链接。请遵守所在地法律法规，本文仅为技术科普，不构成法律意见。
参考来源：mihomo 官方文档：TUN 入站配置（查阅日期：2026 年 11 月 12 日）。