TUN 模式是什么？2026 开启方法与常见问题详解

TUN 是什么：从系统代理说起

要理解 TUN，先要理解“系统代理”是怎么工作的。系统代理本质上是操作系统里的一项设置，告诉应用程序“请把 HTTP 请求发到 127.0.0.1 的某个端口”。浏览器读取到这个设置后，会主动把请求交给代理客户端。但这只是一种“约定”，程序愿不愿意遵守完全取决于程序自己。很多程序根本不读这个设置，比如大部分网络游戏、命令行工具、使用自定义网络库的应用，它们的流量就会绕过代理直连出去。

TUN 则从更底层解决问题。TUN 是操作系统提供的一种虚拟网络设备，工作在网络层（第三层），能收发 IP 数据包。代理客户端创建一张 TUN 网卡后，再修改系统路由表，把默认路由指向这张网卡。这样，无论哪个程序发起连接，数据包都会先进入虚拟网卡，被代理内核接收、解析，再按照分流规则决定直连还是走代理。程序本身完全不需要知道代理的存在。

打个比方：系统代理像是在路口立了一块“请走这条路”的指示牌，守规矩的车会照做，不守规矩的车照样直行；TUN 则是直接把路口改造成只通往一个收费站，所有车都必须经过。

TUN 模式与系统代理对比

什么时候需要开启 TUN

以下场景建议开启 TUN 模式：

• 命令行与开发工具：git、npm、pip、docker、各类 SDK 下载依赖时不读取系统代理。虽然可以逐个设置环境变量（见 终端代理设置），但开 TUN 更省事。
• 游戏和游戏平台：外服游戏、游戏平台的下载与联机通常使用 UDP，系统代理无法覆盖，参考 游戏机场推荐。
• 微软商店应用：UWP 应用受回环隔离限制无法使用本地代理端口，TUN 可以绕开这个限制；也可以用回环豁免的方式解决，见 微软商店 UWP 应用不走代理。
• 桌面客户端：部分即时通讯软件、AI 桌面应用、会议软件不认系统代理。
• 防止 DNS 泄漏：TUN 配合 DNS 劫持，可以确保 DNS 查询也经过内核处理。

而如果你只是用浏览器看网页、刷视频、使用网页版 AI 工具，系统代理完全够用，没必要开启 TUN 增加复杂度。

主流客户端开启 TUN 的方法

Clash Verge Rev（Windows / macOS）

1. 进入“设置”，找到“服务模式”或“系统服务”，点击安装。Windows 弹出用户账户控制时点“是”，macOS 输入管理员密码。
2. 服务安装成功后，打开“TUN 模式”开关。
3. 关闭“系统代理”开关，避免两种方式叠加。
4. 在 TUN 设置中保持“自动路由”“DNS 劫持”等默认开启。

完整流程可参考 Clash Verge 教程。

Mihomo Party / Clash Party

1. 点击“虚拟网卡”卡片的开关。
2. 首次开启按提示授予内核权限（Windows 管理员授权、macOS 输入密码）。
3. 关闭系统代理，进入虚拟网卡设置检查网络栈与 DNS 劫持选项。

FlClash

桌面端在设置中打开“虚拟网卡”，Windows 可能需要以管理员身份运行。安卓端本身就通过 VPN 接口工作，相当于始终处于 TUN 模式。

v2rayN

1. 右键 v2rayN.exe 选择“以管理员身份运行”。
2. 在主界面底部打开“启用 Tun”。
3. 系统代理可改为“不改变系统代理”。

sing-box

sing-box 的 TUN 是在配置的 inbounds 中添加一个 tun 类型入站，通常同时设置自动路由。在 Mac 官方客户端中，启用配置即通过系统网络扩展接管流量，无需额外设置；在 Windows 上以命令行或第三方 GUI 运行时，需要管理员权限。概念介绍见 sing-box 教程。

TUN 关键参数说明

各客户端的 TUN 设置界面不尽相同，但常见参数含义基本一致：

需要特别说明的是 Fake-IP 与 Redir-Host 两种 DNS 模式。在 Clash 系内核的 TUN 模式中，常用 Fake-IP：内核给每个域名分配一个保留网段的假 IP，程序拿着假 IP 发起连接时，内核能直接知道对应域名，从而按域名规则分流，速度快、无 DNS 泄漏。缺点是少数需要真实 IP 的程序（例如某些局域网发现、部分游戏）可能出现问题，可以把这些域名加入 Fake-IP 过滤列表。

如何验证 TUN 已经生效

开关打开不代表一定成功，建议用以下几种方式确认：

1. 查看网卡列表：Windows 在“控制面板 → 网络和共享中心 → 更改适配器设置”中能看到一张新增的虚拟网卡，名称通常包含客户端或内核的名字；macOS 可以在终端执行 ifconfig，会看到新的 utun 接口。
2. 用命令行测试：在没有设置任何代理环境变量的终端中执行 curl -I https://www.google.com，如果能返回响应头，说明命令行流量已经被 TUN 接管。
3. 查看连接面板：在客户端的连接页面中，应能看到来自命令行、游戏等非浏览器程序的连接记录，并显示它们命中的规则和节点。
4. 检查出口 IP：用不同程序访问查询 IP 的网站，出口地区应与所选节点一致。

Windows 与 macOS 上的差异

Windows 上的 TUN 通常依赖 Wintun 等虚拟网卡驱动，客户端会自带或自动安装，权限来源是“服务模式”或“以管理员身份运行”。安装服务后，客户端每次开机都能无需弹窗地开启 TUN，比较方便。部分国产安全软件会拦截驱动加载或路由修改，表现为开关打开后立刻自动关闭，需要把客户端加入信任列表。

macOS 上的 TUN 使用系统自带的 utun 接口，不需要额外驱动，但需要 root 权限修改路由，所以客户端会以辅助服务（helper）的形式安装一个后台组件，并在“登录项与扩展”中留下记录。如果你在系统设置中禁用了这个后台项目，TUN 就会无法开启。App Store 渠道的客户端（如 sing-box 官方客户端、Surge 等）则通过苹果的网络扩展框架实现类似效果，表现为系统设置中的一条 VPN 配置。详细的 Mac 设置可参考 Clash Verge Mac 教程。

常见问题与解决办法

排查 TUN 问题时，一个好习惯是“先回退再前进”：先关掉 TUN 用系统代理确认节点能用，再开 TUN 观察差异；用客户端的连接面板查看流量是否进入内核，以及命中了哪些规则。

使用 TUN 的安全与稳定建议

• 只使用从官方渠道下载的客户端，因为 TUN 需要管理员权限，恶意软件获得这一权限后危害更大。
• 同一时间只运行一个开启 TUN 的工具，避免多张虚拟网卡互相抢路由。
• 保持规则模式运行，不要长时间使用全局模式，否则所有程序包括系统更新都会走代理，浪费流量且可能变慢，原理见 全局模式和规则模式区别。
• 银行、支付类应用如果出现风控提示，检查它们的域名是否被正确直连。
• 笔记本在不同网络之间切换（如家庭 Wi-Fi 换到手机热点）时，若出现异常，可以关闭再开启一次 TUN 让路由重新生效。

小结

TUN 模式通过虚拟网卡在网络层接管全部流量，弥补了系统代理只能覆盖部分程序的不足，是开发者、游戏玩家和需要全局接管用户的利器。开启的通用流程是：安装服务或授予管理员权限、打开 TUN 开关、关闭系统代理、保持自动路由和 DNS 劫持开启。遇到断网，首先排查与其他网络工具的冲突。如果你的需求只是浏览网页，那么系统代理就已足够。节点质量依然是体验的基础，挑选机场可参考 机场推荐 与 稳定机场推荐。