您导入了机场订阅，浏览器能上外网，可是游戏、命令行、某些客户端还是连不上。这时候常被建议“开 TUN 模式”。小编的结论先放前面：只有浏览器类应用用代理时，开系统代理就够了；遇到不认系统代理的程序，再开 TUN。开 TUN 之前，要先装好服务模式或用管理员身份运行，否则开关会自己关掉。
本文以 Clash Verge Rev 为例，资料来自 mihomo（Clash.Meta）内核官方文档和 Clash Verge Rev 的项目资料，查阅日期 2026 年 11 月 10 日。小编没有做速度实测，文中不会给延迟数字，只讲设置逻辑和排错思路。
TUN 模式是什么？一句大白话
TUN 是一块“虚拟网卡”。开启后，电脑上的网络流量会先到这块虚拟网卡，再交给 Clash 内核按规则处理。因为是在更底层拦截，所以不管程序认不认代理设置，流量都会被接管。
而“系统代理”只是改了操作系统里的一个代理设置，只有主动读取这个设置的程序（比如大多数浏览器）才会走代理。游戏、部分桌面客户端、直接用 IP 通信的程序，往往不理会它。
| 对比项 | 系统代理 | TUN 模式 |
|---|---|---|
| 原理 | 修改系统代理设置 | 虚拟网卡接管 IP 流量 |
| 影响范围 | 只影响读取该设置的应用 | 所有应用和服务 |
| 权限要求 | 普通用户即可 | 服务模式或管理员权限 |
| 适合场景 | 网页浏览、开发工具 | 不认代理的软件、游戏、需要全局接管的场景 |
什么时候该开 TUN？
简单讲，满足下面任意一条，再考虑开 TUN：
- 某个桌面软件明明开了系统代理，还是一直转圈或提示网络错误；
- 命令行工具、游戏启动器不读取系统代理；
- 想让所有程序统一按 Clash 的规则走，不想逐个设置代理。
如果只是上网页、看视频，开系统代理更省事，出问题的点也少。不确定的话，先用系统代理，需要时再切。
开启前的准备：先搞定订阅和权限
第一步，确认订阅已导入、普通代理能正常用。还没导入的话，可以先看这篇：Windows 怎么用机场？Clash Verge Rev 导入订阅与开启代理教程；Mac 用户看 Mac 怎么用机场？Clash Verge Rev 导入订阅教程。订阅都没通，开 TUN 只会让问题更难查。
第二步，解决权限。根据项目资料，TUN 需要“服务模式”（让 Clash 以后台服务运行），或者在 Windows、macOS 上用管理员权限运行。权限不够时，软件会自动把 TUN 开关关掉，这是最常见的“我点了没反应”的原因。Linux 上的权限要求，小编查到的资料里没有明确写，建议看您所用发行版和软件版本的说明。
Clash Verge Rev 里开 TUN 的步骤
界面文字会随版本和语言略有不同，以下按项目资料描述的流程整理：
- 在设置里确认“服务模式”已安装并运行（托盘图标可以看到状态）；没装就先安装，或者改用管理员身份启动软件。
- 回到首页或设置页，打开 TUN 模式（TUN Mode）开关。
- 开启后，会出现“TUN 设置”入口，点进去可以调整协议栈、网卡名、DNS 劫持等参数。
- 改完点保存。想恢复默认，用“重置”。
- 打开一个原来连不上的程序测试。同时留意开了 TUN 后，系统代理开关可能会被禁用或隐藏，这是正常的。
TUN 设置里几个关键项怎么选
大多数人保持默认就行。下面只解释容易看不懂的几项，内容来自 mihomo 官方文档的 TUN 页面。
| 设置项 | 是什么意思 | 小编的建议 |
|---|---|---|
| stack（协议栈） | 可选 system、gvisor、mixed、mips。官方称 system 更稳定、占用较低；gvisor 在用户空间实现，隔离性更高；mixed 是 TCP 用 system、UDP 用 gvisor | 先用默认。出问题再换一种试，一次只改一项 |
| auto-route | 自动设置全局路由，把流量导入虚拟网卡 | 保持开启，关了 TUN 基本不起作用 |
| auto-detect-interface | 自动选择出口网卡；官方提示多网卡设备建议手动指定 | 单网卡保持开启，同时连了有线和无线时留意 |
| dns-hijack | 把发往 53 端口的 DNS 请求导入 Clash 内部 DNS 模块 | 默认一般是 any:53，不熟就别改 |
| strict-route | 严格路由。官方称 Windows 上会加防火墙规则防多宿主 DNS 泄露，但可能让 VirtualBox 等程序在某些情况下无法正常工作 | 在意 DNS 泄漏就考虑开；用虚拟机的话要留意 |
| mtu | 最大传输单元，一般用默认值 | 网络异常、丢包时再尝试调低 |
有一点要提醒：官方文档和 Clash Verge Rev 界面里显示的默认值可能不一样（比如 stack 默认值），这是因为软件会在内核默认值之上设自己的默认配置。以您软件里实际显示的为准。
防火墙拦住了怎么办
官方文档提到：开启防火墙时，stack 选 system 或 mixed 可能不能用，需要放行内核。Windows 上的做法是：设置 → Windows 安全中心 → 允许应用通过防火墙，把 Clash 内核选上。macOS 一般不用设置；Linux 一般也不用，不行的话可以放行虚拟网卡的出站流量。具体命令请以官方文档为准。
开了 TUN 常见问题与排查
| 现象 | 可能原因 | 怎么办 |
|---|---|---|
| 开关自己弹回关闭 | 服务模式没运行，或权限不足 | 安装并启动服务模式，或用管理员运行；看日志里的自动关闭提示 |
| 点保存后没生效 | 内核拒绝了配置 | 点“重置”恢复默认，再一项项改；查看内核日志里的报错 |
| 流量还是没走代理 | auto-route 没开，或路由排除了该网段 | 确认 auto-route 已开，检查“排除网段”里有没有误填 |
| 提示找不到 tun 设备 | 网卡名不适合当前系统 | macOS 的名字要以 utun 开头；不确定就留空或恢复默认 |
| 网速变慢、丢包 | MTU 与网络不匹配，或节点本身不稳 | 先关 TUN 对比一下；再尝试调低 MTU；换个节点排除节点问题 |
| 局域网、公司内网、虚拟机连不上 | 流量被虚拟网卡接管 | 把内网网段加入排除列表；用虚拟机的话先关 strict-route 试试 |
排错有个通用办法：每次只改一项。改了再测，不行就改回去。一口气改好几项，出了问题就不知道是哪一项引起的。
开 TUN 会让 DNS 更安全吗？
不一定。TUN 能接管更多流量，也能配合 DNS 劫持，但 DNS 是否泄漏，还取决于 DNS 设置、规则和 strict-route 等多个环节。想弄明白怎么检测，可以看这篇：用了机场还会 DNS 泄漏？2026 年检测与防泄漏设置。
另外，TUN 接管的是整台电脑的流量，所以订阅链接和配置文件更要保管好，别随意分享。万一泄露，可参考：机场订阅链接泄露了怎么办？重置与防盗刷 5 步。
Linux 和 Mac 用户注意什么
官方文档里有几项是 Linux 专属的，比如 auto-redirect（自动配置 iptables/nftables 重定向 TCP 连接）、gso、按 UID 包含或排除等，Windows 和 macOS 上用不到。Mac 上的虚拟网卡名必须以 utun 开头，并且 DNS 劫持无法自动处理发往局域网的 DNS 请求。Linux 用户的整体流程可以参考：Linux 怎么用机场？2026 年导入订阅教程。
常见问题（FAQ）
TUN 和系统代理能同时开吗？
按项目资料的说法，开了 TUN 后系统代理开关会被隐藏或禁用，两者基本是二选一。以您软件里的实际表现为准。
开了 TUN 一定更快吗？
不一定。TUN 解决的是“哪些程序能走代理”，不是“速度更快”。速度主要看节点线路和您的本地网络，小编没有做过实测，也不建议相信“开 TUN 就变快”的说法。
为什么我点了 TUN 开关没反应？
最常见是服务模式没装或权限不足，软件会自动关闭开关。先安装服务模式，或用管理员运行，再试一次。
开了 TUN 后局域网设备或公司内网打不开？
把内网网段（比如 192.168.x.x、10.x.x.x）加入 TUN 设置里的排除网段，或者在规则里让这些地址直连。
stack 选哪个好？
先用软件默认值。出现兼容问题时，再按官方文档的说明换成 system、gvisor 或 mixed 对比，一次只换一个。
总结
TUN 模式适合“系统代理管不到”的程序。开启前先装好服务模式或用管理员运行；设置项先用默认，出问题一次只改一项；DNS 和订阅安全同样要留心。机场服务商可能随时跑路，建议按月购买，订阅链接不要外传。使用代理工具请遵守所在地的法律法规，本文只讲技术设置，不构成法律意见。
参考来源（查阅于 2026-11-10）：mihomo 官方文档 · TUN；Clash Verge Rev 项目主页；Instagit：Clash Verge Rev TUN 配置与排错（源码解读，非官方）。