TUN 模式

TUN 模式是一种基于虚拟网卡的流量接管方式，代理软件通过在操作系统中创建 TUN 设备，在网络层截获并处理设备上几乎全部的网络流量，从而实现真正意义上的全局代理。

概述

TUN（network TUNnel）是操作系统提供的一种虚拟网络设备，工作在网络层，处理的是 IP 数据包。代理软件启用 TUN 模式后，会创建一块虚拟网卡并将其设为系统默认路由，所有应用程序发出的流量都会先进入这块虚拟网卡，再由代理软件按规则分流：该走代理的走代理，该直连的直连。

与传统的「系统代理」方式相比，系统代理只是一个设置项，应用程序可以选择遵守或忽略；而 TUN 模式在更底层接管流量，即使程序完全不读取代理设置（如部分命令行工具、游戏、UDP 应用），其流量同样会被捕获和处理。因此 TUN 模式常被用来解决「某些软件不走代理」的问题。

目前 Clash 系客户端（如 Clash Verge、Mihomo）、sing-box、Surge 等主流代理工具都支持 TUN 模式，在 Windows、macOS、Linux 上通常需要管理员或 root 权限才能创建虚拟网卡。

主要特点

• 全局接管：在网络层捕获流量，不依赖应用是否遵守系统代理设置。
• 支持 UDP 与更多协议：不像 HTTP 代理只处理特定协议，TUN 模式可处理 TCP、UDP 等 IP 流量，对游戏、语音通话等更友好。
• 规则分流：配合分流规则可实现国内直连、国外走代理，并可劫持 DNS 防止解析污染。
• 需要较高权限：创建虚拟网卡通常需要管理员权限，配置不当可能导致断网或回环。

与其他模式的区别

「系统代理」依赖应用主动读取代理设置，兼容性有限；「透明代理」多用于路由器或网关场景；TUN 模式则在本机实现类似透明代理的效果，是桌面端接管全部流量最常用的方案。部分软件还提供基于驱动的 TAP 模式，TAP 工作在链路层，处理以太网帧，性能和兼容性一般不如 TUN，现已较少使用。

常见问题

问：开启 TUN 模式后需要再开系统代理吗？答：一般不需要，两者同时开启可能造成流量重复处理，通常建议只启用其中一种。

问：为什么开启 TUN 模式后无法上网？答：常见原因包括没有以管理员权限运行、DNS 劫持配置不当、防火墙或安全软件拦截了虚拟网卡，可逐项排查或重置网络设置。

问：TUN 模式会更耗性能吗？答：由于所有流量都经过用户态的代理程序处理，开销略高于系统代理，但在现代设备上日常使用感知不明显。