TUN 模式开启失败怎么办？权限与冲突排查
梯子岛编辑部 · 更新于 TUN 模式开启失败通常落在四类原因：没有足够权限、与其他虚拟网卡类软件冲突、系统服务或虚拟网卡组件异常、DNS 与路由配置出错。先分清是报错打不开还是开了就断网，再对症处理；一时修不好就退回系统代理继续用。
你遇到的现象
打开 TUN 模式时报错，或者开了以后网络全断。
点下 TUN 开关，客户端弹出一条红色报错；或者开关倒是亮了，整台电脑却一个网页也打不开。这类 TUN 模式开启失败的问题，原因并不神秘，几乎都落在权限、冲突、组件、DNS 这四处，按症状往下查就能收窄。
先分清是“开不起来”还是“开了就断网”
两种症状的排查方向完全不同，先对号入座：
| 症状 | 更可能的原因 | 先看哪里 |
|---|---|---|
| 点开关就报错、开关弹回 | 权限不足、组件缺失、被拦截 | 客户端日志、系统权限 |
| 开关能亮，但所有网站打不开 | DNS 配置、路由冲突、节点不通 | 关闭 TUN 后能否恢复 |
| 开了以后只有部分软件异常 | 规则或直连配置问题 | 分流规则与 DNS 设置 |
| 偶尔能开偶尔不能 | 与其他网络软件竞争 | 同时运行的网络类软件 |
不熟悉这个词的话，先读词典里的 TUN 模式 和教程 Clash TUN 模式是什么，知道它在做什么，排查时才有方向。
原因一：TUN 权限没给到位，导致 TUN 模式开启失败
TUN 要创建虚拟网卡并改写路由，属于系统级操作。tun权限不足时，最典型的表现是点开关后立刻报错，或者开关自己弹回。
- Windows：以管理员身份运行客户端，再试一次。
- macOS：系统会要求输入管理员密码，拒绝或取消就会失败。
- Linux：需要 root 或相应的网络能力授权，具体写法以所用内核或客户端的文档为准。
有些客户端提供“服务模式”，思路是安装一个常驻的系统服务，需要权限的动作交给它，日常使用不再每次提权。以 Clash Verge Rev 为例，它的资料写明：服务模式只是让非管理员也能开启 TUN，并不替你放行防火墙。是否有这类模式，请看你所用客户端的官方说明。
原因二：和别的虚拟网卡、VPN、加速器打架
同一台电脑上，多个软件都想接管流量，就会互相覆盖路由。排查办法是做“最小环境”：
- 退出所有加速器、企业 VPN、其他代理客户端，包括托盘里不起眼的那些。
- 在系统的网络适配器列表里，看有没有残留的旧虚拟网卡。
- 只留下一个客户端，再开 TUN。
- 能开之后，把其他软件一个一个加回来，出问题的那一步就是冲突源。
企业电脑通常有统一的网络管理，可能禁止新增虚拟网卡，这时个人无法解决，只能退回系统代理。
原因三：虚拟网卡组件或系统服务异常
TUN 依赖虚拟网卡组件和服务能被系统正常加载。组件出问题时，常见线索是：
- 安全软件把组件文件当作可疑程序隔离了，在它的拦截记录里能看到。
- 系统更新后组件与新版本不匹配，重装客户端往往能重新注册。
- 防火墙没有放行内核程序。Clash Verge Rev 的资料提到，TUN 需要自行在防火墙放行内核。
处理时先看安全软件的隔离区和拦截日志，把客户端目录加入信任，再重启客户端。不要为了开 TUN 把整套安全防护永久关闭。
原因四：开了就断网，多半是 DNS 与路由
如果 TUN 能亮，但所有网站都打不开，先把它关掉确认网络能恢复，然后重点看两件事：
- DNS 设置：TUN 模式通常要配合 DNS 劫持或接管，DNS 设置与模式不匹配时，域名解析不出来，表现就是“全断”。可参考 Clash DNS 设置详解。
- 节点是否可用：TUN 接管了全部流量，节点不通时就是整机断网，而系统代理下只有走代理的软件受影响。先在系统代理模式下确认节点能用，再换 TUN。
没头绪时：一套从简到繁的恢复顺序
同时怀疑好几处时，按下面的顺序走，每一步只动一项，动完就复测：
- 关闭 TUN，确认系统代理模式下节点能正常使用，排除节点和订阅本身的问题。
- 以管理员身份重启客户端，再开 TUN。仍然 TUN 模式失败，进入下一步。
- 退出其他加速器、VPN 和代理软件，只留一个客户端。
- 查看安全软件的拦截记录，必要时把客户端目录加入信任。
- 回到 DNS 设置，对照官方文档核对与 TUN 相关的几项，一次只改一个。
- 重装客户端前先备份配置，再重新安装并重新授权。
把每一步的结果记在一张便签里。某一步之后恢复了，就知道真正的原因是哪一类，下次遇到同样的情形可以直接跳到那一步。
怎么确认 TUN 真的开启并生效
不要只看开关颜色：
| 检查项 | 做法 | 正常表现 |
|---|---|---|
| 虚拟网卡 | 在系统网络适配器列表查看 | 出现客户端创建的新网卡 |
| 日志 | 在客户端日志里搜索相关提示 | 没有反复出现的同一条错误 |
| 出口 | 用 IP 与 DNS 检测导航 里的检测页 | 出口信息发生变化 |
| 不读系统代理的程序 | 用之前不走代理的软件再试 | 流量开始走代理 |
下一步怎么做
遇到 TUN 模式开启失败，不用急着判断是不是客户端坏了：多数时候只是权限、冲突、组件、DNS 四处中的某一处没对上，找到它之后往往一两步就能恢复，找不到也有系统代理兜底，上网不会因此停摆。
修了几轮仍开不起来，不必在这上面耗太久：先退回系统代理，浏览器等常见软件照样能用，原理见 系统代理不生效怎么办。如果客户端本身就打不开，换到 Clash Verge 无法启动或内核报错怎么办 排查。想看各客户端的 TUN 支持情况，可以去 客户端档案 里对照，需要重新选一个时用 客户端选择工具。
这篇没有覆盖的
- 不同客户端和系统版本的报错文案、菜单位置各不相同，本文只讲原因分类，不引用某个版本的原话。
- 企业电脑、受管理的设备可能禁止安装虚拟网卡，这种限制个人无法在客户端里解除。
- 本文不讨论开启 TUN 之后的速度与稳定性，只处理开不起来和开了就断网这两类故障。
TUN 模式开启失败常见问题
TUN 模式一定要管理员权限吗？
创建虚拟网卡、修改路由属于系统级操作，一般需要管理员或 root 权限。有的客户端提供服务模式，把需要权限的部分交给一个常驻的系统服务去做，之后日常使用就不必每次提权。具体能否免提权，要看你所用客户端的官方说明。
点开 TUN 开关没有任何反应，是怎么回事？
开关无反应常见于三种情况：内核本身没有正常运行，开关被权限不足拦在前面，或者安全软件拦截了虚拟网卡组件。先看客户端是否能正常显示节点和流量，再看日志里有没有权限或组件相关的提示，最后暂时关闭安全软件做对照。
开启 TUN 后所有网站都打不开，应该先做什么？
先把 TUN 关掉，确认网络能恢复，再回头查原因。常见元凶是 DNS 配置不合适、与别的网络软件抢路由，或节点本身不可用。关掉之后换回系统代理，用对照的办法一项项试，不要在断网状态下盲改多处设置。
同时装了加速器和 VPN，会影响 TUN 吗？
会。TUN 靠虚拟网卡和路由接管流量，别的加速器、VPN 或其他代理客户端也这么做，几个软件同时改路由就可能互相覆盖，表现为开不起来或开了断网。排查时只保留一个，等确认正常后再逐个加回来。
防火墙需要为 TUN 做什么设置吗？
部分客户端的说明里提到，需要在防火墙里放行内核程序，TUN 才能正常工作。是否需要、放行哪个程序，请以你所用客户端的官方文档为准；被安全软件当成可疑程序隔离时，也要到安全软件里查看拦截记录。
接着读
- 教程 · Clash TUN 模式是什么？开启方法、权限与常见问题
- 排查 · 系统代理不生效怎么办？程序不走代理的排查
- 排查 · Clash Verge 无法启动或内核报错怎么办？
- 术语 · TUN 模式是什么意思
- 教程 · Clash DNS 设置详解：fake-ip 与 redir-host 怎么选
- 排查 · 端口被占用怎么办？客户端提示端口冲突的处理