很多朋友装好 Clash Verge Rev、导入订阅之后，会在设置里看到“系统代理”和“TUN 模式”两个开关，不知道该开哪个，甚至两个都开。简单讲：浏览器和常见软件，只开系统代理通常就够了；有些软件不认系统代理，或者您想让整台电脑的流量都走代理，才需要开 TUN 模式。下面咱们一项一项说清楚。
先搞懂：系统代理和 TUN 模式各是什么
系统代理，就是客户端把“代理地址和端口”写进 Windows 或 macOS 的网络设置里。浏览器等遵守这个设置的软件，会主动把请求交给 Clash。问题在于：不遵守这个设置的软件，流量根本不会经过 Clash。
TUN 模式，是让客户端在电脑上创建一块“虚拟网卡”，系统里经过这块网卡的流量都会被接管，再按规则决定走代理还是直连。公开资料里把它描述为在网络层接管流量，因此能绕开“软件不认系统代理”的问题。
| 对比项 | 系统代理 | TUN 模式 |
|---|---|---|
| 接管方式 | 改系统代理设置，软件自愿遵守 | 虚拟网卡，在网络层接管 |
| 不认系统代理的软件 | 可能不生效 | 一般可以覆盖 |
| 权限要求 | 普通权限即可 | 通常需要管理员权限或服务模式 |
| 出问题时的影响 | 多半只影响单个软件 | 可能影响整台电脑的网络 |
| 适合谁 | 日常浏览网页、用常见软件 | 命令行工具、部分游戏、不走系统代理的软件 |
什么情况下建议开 TUN 模式
- 终端、命令行工具、开发环境（比如 git、包管理器）不走系统代理，下载总是超时；
- 某些桌面软件、游戏启动器明明开了系统代理，还是连不上；
- 您希望所有流量统一按规则分流，不想一个软件一个软件地去设代理。
反过来，如果您只是用浏览器看网页，系统代理已经够用，没必要为了“看起来更全面”去开 TUN。多开一层，就多一层可能出问题的地方。
开启前的准备：服务模式是什么
TUN 需要创建虚拟网卡，这要比普通软件更高的权限。Clash Verge Rev 为此提供了“服务模式”：先以管理员身份把一个后台服务装好，之后由服务来启动代理内核，这样平时就不用每次都用管理员身份打开软件。有社区文档的说法是，服务模式的用途就是让您能以非管理员身份启动 TUN 模式。
小编查到的公开资料还提到几点，供您参考：
- 客户端默认的 TUN 协议栈是 gVisor，第一次开启时，防火墙可能弹出提示，需要放行内核程序（社区文档里写的名称是 verge-mihomo）；
- 服务进程独立于客户端窗口，退出客户端后它可能继续在后台运行；
- 项目在 2026 年 10 月发布的 v2.5.7 更新说明里，修复了 Windows 上因删除权限误判导致“服务模式和 TUN 无法使用”的问题，也修复了部分系统安装服务时提示 program not found 的问题。如果您遇到类似现象，先把客户端更新到较新版本再试。
开启 TUN 模式的步骤（Windows / macOS）
不同版本的界面文字可能略有差别，大体流程如下：
- 先确认节点能正常用：在“代理”页选一个节点，用系统代理打开网页测试。节点本身不通，开 TUN 也没用；
- 打开“设置”，找到“服务模式”，按提示安装并启动服务（Windows 会弹出管理员授权，macOS 会要求输入系统密码）；
- 服务状态显示正常后，打开“虚拟网卡模式（TUN 模式）”开关；
- 首次开启如果弹出防火墙提示，选择允许；
- 用浏览器和您原来连不上的那个软件各测试一次；
- 确认 TUN 正常后，系统代理可以保持开启，也可以关掉，看您的使用习惯。两者同时开一般不冲突，但出现怪问题时，先只留一个来排查。
TUN 设置里几个常见选项
在 TUN 设置里，您会看到一些参数。根据公开的源码说明，默认值大致是：自动路由开启、自动检测出口网卡开启、DNS 劫持为 any:53、严格路由关闭、MTU 为 1500。小白用户保持默认即可，不需要改动。如果确实要改，可以简单这样理解：
| 选项 | 大白话解释 |
|---|---|
| stack（协议栈） | 虚拟网卡处理数据包的方式，常见有 gvisor、system、mixed。默认够用，遇到兼容问题再换着试 |
| auto-route | 自动设置路由，让流量进入虚拟网卡 |
| strict-route | 严格路由，更“堵”但也更容易影响局域网和其他软件，不建议随手打开 |
| dns-hijack | 把系统的 DNS 请求也接过来，避免解析出问题 |
开了 TUN 没反应或断网，先查这几项
- 节点本身可用吗？先关掉 TUN，用系统代理测试。如果也不通，问题在订阅或节点，请看Clash Verge Rev 节点导入教程里的排查部分；
- 服务模式装好了吗？没装或服务没启动，TUN 开关可能打不开或自动弹回关闭；
- 防火墙和安全软件拦截了吗？检查是否放行了内核程序；
- 有没有同时开着别的 VPN 或代理软件？多个软件都想接管网络，经常互相打架，先只留一个；
- 客户端版本是否太旧？前面提到的服务模式问题在新版本里有修复，先更新再说；
- 网络整体断了怎么办？直接关掉 TUN 开关并退出客户端，网络一般会恢复。如果仍然不通，重启一次电脑，或检查网卡里有没有残留的虚拟网卡。
一些使用上的提醒
- TUN 会影响整台电脑的网络，公司电脑、需要连内网或公司 VPN 的设备，请先了解单位的网络规定再使用；
- 配置文件里的协议栈名称要写对。社区里就有人把 mixed 误写成别的值，导致 TUN 启动失败；
- 不同机场的订阅里可能带有自己的 DNS 或 TUN 设置，覆盖您本地的设置。如果行为跟预期不一致，可以对比一下订阅的配置，关于协议的区别，可以参考机场协议怎么选这篇；
- 还没选好服务的朋友，可以先看2026 国内机场节点怎么选，按月购买、保管好订阅链接，服务商随时有跑路的可能；
- 安卓手机的朋友，请看安卓手机装 FlClash 的教程，手机端的做法和电脑不太一样；
- 请遵守您所在地的法律法规，本文只是客户端使用的技术说明，不构成法律意见。
常见问题（FAQ）
TUN 模式和系统代理，只开一个行不行？
可以。日常上网只开系统代理就够；需要覆盖不认系统代理的软件时，再开 TUN。
开了 TUN 会更快吗？
不一定。TUN 解决的是“流量有没有被接管”，速度主要取决于节点线路和您自己的网络。小编没有做过测速，也不建议听信“开了更快”的说法。
为什么 TUN 开关打开后又自己关了？
常见原因是服务模式没装好、权限不足或内核启动失败。先看服务状态，再看日志里的报错，必要时更新客户端。
开 TUN 后局域网打印机、NAS 连不上怎么办？
先确认没有打开严格路由。如果还不行，可以在 TUN 设置里把局域网网段加入排除地址，或在规则里让这些地址直连。
macOS 也能用服务模式吗？
可以，项目的更新说明里也有针对 macOS 服务模式和 TUN 的修复条目，系统会要求您授权。
总结
一句话：日常上网用系统代理，遇到不认代理的软件再开 TUN，开之前先装好服务模式。出了问题，先关 TUN 回到系统代理，一步步排查，比一上来就改一堆参数靠谱得多。
资料来源（2026 年 11 月 13 日查询）：Clash Verge Rev GitHub 项目主页、clash-verge-rev 版本更新记录、TUN 模式源码说明。界面和默认值可能随版本变化，请以您实际使用的版本为准。