Clash 里有个”TUN 模式”，网上教程都说”打开就行”，可很多人打开后发现要么开不了，要么开了网络反而更卡。小编先给结论：大部分日常上网，用系统代理就够；只有部分软件不走代理、游戏或命令行需要代理时，才需要打开 TUN 模式。下面按 Clash Verge Rev 来讲，一步一步说清楚它是什么、怎么开、开不了怎么办。
本文信息来自 Clash Verge Rev 官方文档和 mihomo 内核官方文档，查阅日期 2026 年 11 月 4 日。软件版本更新较快，界面文字可能略有差异，以您实际看到的为准。
先说结论：该不该开 TUN 模式
| 您的情况 | 建议 |
|---|---|
| 只用浏览器、常见 App 访问网页 | 系统代理就够，不用开 TUN |
| 某个软件设置了代理也不生效 | 可以试试 TUN 模式 |
| 终端命令（git、npm、pip 等）下载很慢或失败 | 可以开 TUN，或给命令行单独设置代理 |
| 手上有杀毒软件拦截服务安装 | 先处理拦截问题，再考虑 TUN |
| 电脑上装了虚拟机、多个虚拟网卡 | 开 TUN 前要留意网卡冲突 |
TUN 模式是什么？和系统代理有什么区别
说白了，系统代理是”告诉软件：请你走这个代理地址”，软件愿不愿意听，要看软件自己。浏览器基本都听，但有些软件会无视系统设置，直接联网，那就不走代理了。
TUN 模式则是在电脑里建一块”虚拟网卡”，再通过路由把流量引到这块网卡上，交给 Clash 处理。软件不用配合，流量照样会被接管。Clash Verge Rev 的 官方 GitHub 说明 里，把”系统代理”和”TUN（虚拟网卡）模式”列为两项并列的功能。mihomo 内核文档里对 auto-route 的解释，就是”自动设置全局路由，把全局流量导入 TUN 网卡”。
| 对比项 | 系统代理 | TUN 模式 |
|---|---|---|
| 工作方式 | 在系统里设置代理地址，软件自愿遵守 | 虚拟网卡加路由，接管系统流量 |
| 软件是否需要配合 | 需要 | 不需要 |
| 权限要求 | 普通用户即可 | Windows 上需要服务模式或管理员权限 |
| 出问题的概率 | 较低 | 相对较高，容易遇到网卡、DNS 冲突 |
官方页面没有专门做”两者对比”，上面这张表是小编根据文档里的功能描述整理的，属于归纳，不是官方原话。想先搞清楚 Clash 的”规则、全局”模式，可以先看这篇：Clash 规则模式和全局模式有什么区别。TUN 管的是”流量怎么进 Clash”，规则和全局管的是”进来之后怎么分流”，这是两件事。
Windows 上怎么开 TUN 模式
Windows 是 TUN 模式问题最多的平台。根据 Clash Verge Rev 的 Windows 常见问题页，服务模式会以系统权限启动内核；如果没有安装服务，软件会进入普通模式（Sidecar），普通用户权限下无法使用 TUN。
方法一：安装服务模式（推荐）
- 打开 Clash Verge Rev，进入”设置”页面。
- 找到”服务模式”，点击安装（部分版本里文字可能是”安装服务”）。
- 系统弹出权限确认时选择允许。
- 安装成功后，再打开”虚拟网卡模式”（也就是 TUN）开关。
- 回到首页确认是否有流量，再打开一个境外网页试试。
方法二：以管理员身份运行
官方 FAQ 提到，不装服务的话，也可以以管理员身份运行 Clash Verge Rev，同样能使用 TUN。注意要先从托盘完全退出软件，再右键选择”以管理员身份运行”，否则不生效。
如果您还没决定用哪个客户端，可以先看看 Windows 电脑翻墙用什么软件？4 款主流客户端对比。
macOS 上怎么开 TUN 模式
macOS 的 官方 FAQ 没有单独讲 TUN 需要什么权限，所以小编不下判断。基本操作和 Windows 相似：在设置里找到虚拟网卡模式的开关，按系统提示输入密码授权即可。有两点官方 FAQ 明确提到：
- DNS 会被改动。FAQ 写明，Verge 在启动 TUN 时会把系统 DNS 修改为 223.6.6.6，关闭 TUN 后恢复。原因是 TUN 无法劫持发往局域网的 DNS 请求。
- 公司电脑可能装不了服务。公司安全软件可能禁止软件安装服务，需要关闭安全软件或让管理员加白名单。
Mac 用户选客户端可以参考：Mac 机场客户端哪个好？3 款主流软件对比。
几个常见配置项，一句话讲明白
下面这些是 mihomo 内核 TUN 官方文档 里的配置项。普通用户一般不用动，了解含义即可，别随手改。
| 配置项 | 作用 |
|---|---|
| enable | 开启 TUN 模式 |
| stack | 网络协议栈，可选 system、gvisor、mixed 等；system 和 mixed 在防火墙开启时，需要放行内核程序 |
| auto-route | 自动设置全局路由，把流量导入 TUN 网卡 |
| auto-detect-interface | 自动检测出口网卡；多网卡环境文档建议手动指定 |
| dns-hijack | 把匹配的 DNS 请求转给内部 DNS 模块；macOS 和 Windows 无法自动劫持发往本地网络的 DNS |
| strict-route | 严格路由；Windows 上会添加防火墙规则防止 DNS 泄漏，但文档提醒可能影响 VirtualBox 等应用 |
开了 TUN 之后出问题怎么办
一、提示需要服务或权限不足
先按前文装服务模式，或者用管理员身份运行。如果服务装不上，官方 FAQ 提到装有 360、金山毒霸等杀毒软件可能拦截服务安装，需要先处理拦截问题。
二、开启后整个网络都不通
官方 FAQ 的说法是，系统里可能有多个网卡或网段，与配置中的规则冲突，需要删除多余网卡。装过虚拟机、其他 VPN 软件的电脑，比较容易遇到这种情况。先关闭其他代理和 VPN 软件，再重试。
三、开了 TUN 但还是上不了外网
TUN 只负责”把流量接进来”，能不能出得去，还要看节点本身是否可用。建议依次检查：订阅有没有过期、节点能不能延迟测试通过、是不是误选了直连。节点方面的问题可以看这篇：机场节点协议怎么选？5 种常见协议区别。
四、内核启动失败，退出码 -1073741819
官方 FAQ 给出的解释是，内置 mihomo 使用 v2 指令集，较老的 CPU 可能不支持，需要手动替换为 v1 指令集版本。这类情况比较少见，遇到再处理。
用 TUN 模式要注意的几件事
- 服务商可能跑路。买机场建议按月付费，别一次买太久。
- 保护好订阅链接。链接泄露后别人可以直接用您的流量，具体处理方法见 机场订阅链接泄露了怎么办。
- 慎用公开的免费节点。来路不明的节点存在被监听的风险，详见 免费节点订阅安全吗。
- TUN 接管的是整台电脑的流量。开了之后，所有软件的网络请求都会经过代理节点，隐私敏感的操作要多留心。
- 请遵守所在地的法律法规。本文只讲技术设置，不构成法律意见。
想了解机场和 VPN 到底有什么区别，可以看 机场和 VPN 有什么区别。
常见问题（FAQ）
Clash TUN 模式一定要开吗？
不一定。浏览器和多数常用 App 走系统代理就行。遇到软件不走代理、命令行联网失败时，再考虑开。
TUN 模式和系统代理能同时开吗？
软件里两个开关是独立的，可以同时打开。但对大多数人来说没必要，开一个、排查清楚就好。同时开遇到问题时，不容易判断是哪边出的错。
开了 TUN 模式后系统 DNS 被改了，正常吗？
在 macOS 上是正常的。官方 FAQ 写明 Verge 会在启动 TUN 时把系统 DNS 改为 223.6.6.6，关闭后会恢复。
Windows 提示”以普通用户权限运行时无法使用 TUN”怎么办？
安装服务模式，或者完全退出软件后以管理员身份重新运行。
Linux 上能用 TUN 吗？
mihomo 文档里有 Linux 专属的配置项，比如 auto-redirect，说明内核层面支持。但 Clash Verge Rev 的 Linux FAQ 没有讲 TUN 权限，是否需要 root 官方没说明，小编这里不下结论，请以您所用发行版和版本的实际表现为准。
总结
Clash TUN 模式是个”补充手段”：日常上网用系统代理足够，碰到不听话的软件，再装服务模式、打开虚拟网卡。开不了时，先看权限，再看杀毒软件和网卡冲突，最后才检查节点。下次遇到类似问题，您可以照这个顺序一步步排查。
信息来源：Clash Verge Rev 官方 GitHub 与文档站（clashverge.dev）、mihomo 官方文档（wiki.metacubex.one），查阅日期 2026-11-04。