Clash TUN 模式是什么？开启方法、权限与常见问题
梯子岛编辑部 · 更新于 Clash TUN 模式让内核在系统里创建一块虚拟网卡，把设备上的 IP 流量整体引入内核，不依赖程序是否愿意读取代理设置。它需要更高的系统权限，开启后要用“看路由、看连接记录”的办法确认是否生效。
Clash TUN 模式的做法是：由内核在系统里创建一块虚拟网卡，再让设备的出站流量先经过这块网卡。程序用不用代理设置都无所谓，因为它的数据包本来就要穿过系统网络层。这是 TUN 模式和系统代理最根本的差别，也是很多人在“有的软件不走代理”时被推荐去开它的原因。
TUN 到底接管了什么
先把“层”分清楚，后面的所有判断都从这里出发。
- 应用层的代理：系统代理属于这一类。程序要主动读取系统里写好的代理地址，再把请求发给它。不读的程序，就不会走。
- 网络层的接管：TUN 属于这一类。内核通过虚拟网卡收下经过它的 IP 数据包，再按规则决定放行、直连还是交给某个节点。
所以 TUN 模式能覆盖到的范围更大，包括不理会系统代理设置的命令行工具、游戏、部分桌面程序。代价也很直接：它动了系统网络，需要权限，出了问题影响面也更大。系统代理一侧的原理，可以对照 Clash 系统代理一篇来读。
名词不熟的话，先翻一下 词典，里面对虚拟网卡、路由一类词有短释义。
什么时候值得开 TUN，什么时候没必要
| 你遇到的情况 | 更适合的做法 | 原因 |
|---|---|---|
| 浏览器能走代理，命令行工具、某个桌面软件却不走 | 考虑 TUN | 这些程序不读系统代理设置 |
| 只用浏览器，一切正常 | 系统代理就够 | 不必多担一份权限和风险 |
| 没有管理员权限，比如公司或学校的受管电脑 | 先别开 TUN | 创建虚拟网卡需要权限，强行绕开会带来别的麻烦 |
| 同一台电脑上已经跑着另一个会改网卡的软件 | 先关掉一个再测 | 两个软件都想改路由时容易互相干扰 |
| 想让局域网里别的设备共用 | 另有专门方案，不是 TUN 的本职 | 本文只讲本机侧操作 |
一个判断口诀：先问“是哪个程序不走”，再问“要不要为它动系统网络”。如果只是一个软件自己支持代理设置，直接在那个软件里填本地端口，往往比开 TUN 更省事。
开启 Clash TUN 模式之前要准备什么
- 确认权限：TUN 需要创建网卡、写入路由。桌面客户端常见的授权方式有两类，一类是以管理员身份运行客户端，一类是先安装一个常驻的后台服务。用哪一类、按钮叫什么，各客户端不同，请以所用客户端的文档为准。
- 确认内核版本能力：TUN 是内核提供的功能，客户端只是把配置项做成了开关。内核相关字段以 Mihomo 官方文档为准，也可以先看站内的 Mihomo 内核档案了解它与客户端的关系。
- 想好 DNS 怎么走：TUN 开启后域名解析的路径可能变化，建议先读 Clash DNS 设置，别等出了“能连不能打开”的症状再回头补。
- 关掉冲突项：同时运行的其他代理类软件，先退出或暂停。
clash tun 的通用开启顺序
不同客户端界面不同，但顺序基本一致，下面是思路而不是菜单名：
- 先让普通模式跑通。能导入订阅、选到节点、浏览器访问正常，再往下做。没跑通就开 TUN，只会把问题叠在一起。
- 在客户端里找到与 TUN 相关的开关，通常放在设置或“网络”类的页面里。若提示需要服务或管理员权限，按它给的方式完成授权。
- 打开开关，等待提示成功。部分客户端会让你重启内核。
- 关闭系统代理，只留 TUN，做一轮验证。这样能确定“接管”确实是 TUN 做到的，而不是系统代理在起作用。
- 如果你用的是 Clash Verge Rev，具体页面和授权步骤见 Clash Verge Rev 使用教程。
“tun模式怎么开”这个问题没有一个放之四海皆准的菜单路径，凡是写死“点第几个按钮”的教程，换个版本就可能过时。
怎么确认 TUN 真的在工作
别只看“开关是亮的”。用下面三个办法交叉确认：
| 办法 | 做法 | 你应该看到什么 |
|---|---|---|
| 看网卡 | 在系统的网络适配器列表里找新出现的虚拟网卡 | 开启后出现，关闭后消失或变为未连接 |
| 看连接记录 | 打开客户端的连接或日志页，再去访问一个不读系统代理的程序 | 该程序的连接出现在记录里，并标有命中的规则 |
| 看出口 | 用 IP 与 DNS 检测导航里的页面查看当前出口与解析 | 出口与你选的节点相符，解析没有异常 |
注意第二项：连接记录里“看得到”不等于“走了节点”，要同时看它命中的是直连还是代理规则。规则的写法可参考 Clash 规则。
开了之后出现这几种现象，先往哪查
- 开关打不开、提示权限不足：多半是授权没完成，或安全软件拦截了服务。先回到前面的“准备”步骤逐项核对，再看 TUN 模式开启失败的症状排查。
- 开了之后有网站打不开，但节点本身没问题：看 DNS，见上文链接的 DNS 教程。
- 关掉客户端后断网：说明客户端退出时没有正常收回路由。重新打开客户端再正常关闭 TUN，或到系统网络设置里检查残留项。
- 开了 TUN，系统代理还在用：这不是错误，只是两条路径并存。想要简单的行为，就关掉其中一个。
关闭或退出时要注意什么
TUN 改动的是系统层面的东西，所以“怎么收回”和“怎么开”同样重要。
- 先在客户端里关闭 TUN，再退出客户端，而不是直接结束进程。前者给内核留出清理路由的机会。
- 电脑休眠、睡眠唤醒之后，如果网络异常，先把 TUN 开关关了再打开一次，常能恢复。
- 在公共网络或需要登录认证页面的网络里（例如要先在网页上同意条款的无线网络），认证页可能被接管流量后无法弹出。遇到这种情况，先暂时关闭 TUN，完成认证后再开启。
- 不再使用某个客户端时，若当初安装过后台服务，记得按它的文档卸载，免得系统里长期留着一个有较高权限的常驻程序。
下一步怎么走
如果你的软件都已经走代理，就不要为了“更彻底”去开 Clash TUN 模式，保持系统代理即可。确实有不走代理的程序时，按上面的顺序开启，并用三种办法验证。遇到失败，转到 TUN 模式开启失败按症状排查；需要自己改配置，可以用 Clash 配置生成工具先在本地试写。
这篇没有覆盖的
- 本文只讲 TUN 的通用思路，各客户端授权、服务安装的具体步骤请看对应客户端的教程或官方文档。
- 梯子岛没有自己的速度与延迟数据，无法回答“开 TUN 会不会变慢”这类问题。
- 开启失败的逐项排障放在排查栏目，这里只给入口，不展开。
本文引用的官方来源
- Mihomo（Clash Meta）文档（wiki.metacubex.one）
以上链接均为官方页面，梯子岛在 2026-10-09 核对过；个别网站会拦截自动化访问，用浏览器直接打开即可。平台规则可能随时调整，以官方页面当前内容为准。
Clash TUN 模式常见问题
TUN 模式和系统代理可以同时开吗？
技术上可以同时打开，不少客户端界面里这两个开关是独立的。但两者并存时，一条连接究竟走哪条路径，取决于程序自己是否读取代理设置，排查起来更绕。想弄清问题时，建议先只开一个，确认行为后再决定是否叠加。
开了 TUN 之后还需要设置浏览器代理吗？
一般不需要。TUN 在网卡层面接管流量，浏览器不必再单独配置。如果浏览器装了自己的代理切换插件，要留意插件是否把请求又转给了别的代理，这会让路径变复杂，可以先把插件调到直连来对照。
为什么开 TUN 时系统弹出权限提示？
创建虚拟网卡和修改路由属于系统级操作，普通权限的程序做不到，所以客户端会要求管理员权限或先安装一个后台服务。这是 TUN 的前提，不是异常。不同客户端的授权方式不同，请以所用客户端的文档为准。
TUN 模式适合手机吗？
安卓和苹果上的客户端通常走系统提供的 VPN 接口来接管流量，效果与桌面的 TUN 相近，但名称和开关位置各不相同。具体支持情况请查看所用客户端的档案和官方说明，不要凭桌面经验推断。
开启 TUN 后 DNS 出问题是怎么回事？
TUN 接管流量的同时，域名解析的走向也可能改变，如果 DNS 相关设置与规则不匹配，就会出现能连上节点却打不开网站的情况。先到 DNS 设置教程里核对解析方式，再用站内检测工具看解析结果。
接着读
- 教程 · Clash 系统代理是什么？和 TUN 模式的区别与选择
- 排查 · TUN 模式开启失败怎么办？权限与冲突排查
- 排查 · 系统代理不生效怎么办？程序不走代理的排查
- 教程 · Clash DNS 设置详解：fake-ip 与 redir-host 怎么选
- 教程 · Clash Verge Rev 使用教程：从导入订阅到分流设置
- 教程 · Clash 策略组是什么？select、url-test 与 fallback 的区别