Clash 的 TUN 模式和系统代理有什么区别

Clash 的 TUN 模式与系统代理的本质区别，在于数据包的处理层级和网络路径的控制权。系统代理（如 HTTP/S 代理）仅作用于特定应用或浏览器，依赖应用程序主动遵循代理设置，而 TUN 模式则在操作系统内核层面拦截并重定向所有网络流量——包括那些不支持代理配置的应用，比如某些游戏、系统更新服务或原生 TCP/UDP 连接。这意味着，使用 TUN 模式时，即使某个软件没有显式设置代理，它仍会通过 Clash 的规则链进行路由判断，从而实现“全系统透明代理”。这种深度介入带来更强的可控性，但也伴随更高的配置复杂度和潜在兼容性问题。

当你发现某些应用明明设置了代理却仍然无法访问外网，或者部分加密连接被错误阻断，很可能是系统代理模式未覆盖全部流量。而如果遇到类似 PikPak 误删文件还能恢复吗 这类问题，其实背后反映的是：你对网络层的控制力不足。PikPak 的回收站机制依赖于其客户端本地缓存和云端同步状态，若删除操作已越过本地缓冲直接清空云端记录，则恢复几乎不可能。这与网络代理的失效逻辑相似——一旦流量绕过了代理控制点，后续就无法追溯或补救。因此，选择 TUN 模式并非为了“更高级”，而是为了确保每一比特的数据都经过你的规则审查。

要确认当前是否处于 TUN 模式，最直接的方法是查看 Clash 客户端界面中的运行状态标签。若显示“TUN Mode”或“Kernel TUN”，即为启用。若仅提示“System Proxy”或“PAC Mode”，则说明仍在传统代理层级运作。此时可尝试在 Clash for Windows / macOS / Android 中手动切换至 TUN 模式，并重启系统以完成内核模块加载。注意，部分 Linux 发行版需额外安装 `tun` 模块并授权运行权限，否则启动失败。

在实际操作中，常见错误包括：未关闭系统自带的“自动代理”功能（如 Windows 10/11 的“使用代理服务器”开关），导致双重代理冲突；或在开启 TUN 后忘记添加对应网卡接口到规则白名单，造成本地服务中断。若出现“无法上网但能连通局域网”的情况，应检查 Clash 的全局规则是否将本机地址（如 192.168.0.0/16）误判为国外流量，进而被直连或拒绝。解决方法是进入规则列表，手动添加一条“DIRECT”规则，明确允许本地子网通信。

另一个关键判断依据是看是否能访问受防火墙限制的服务。例如，使用 TUN 模式后，原本因协议特征被封锁的 Steam 游戏更新、Zoom 视频会议等，通常可以正常工作。反之，若某应用始终无法联网，即便规则设置为“DIRECT”也无效果，很可能是因为该应用采用私有协议或绕过系统代理层直接调用底层网络接口，这类行为不受系统代理影响，但可通过 TUN 模式捕获并处理。

此外，当遇到简历被系统筛掉的常见原因，如关键词缺失、格式混乱、经验年限错配，本质上也是“控制粒度”问题。系统筛选器只认表面结构，如同代理只能感知应用级请求，无法理解深层意图。而 TUN 模式则像一个具备上下文感知能力的中间人，能根据完整包头、载荷内容甚至连接行为做出决策。同样地，如果你希望让网络流量真正受控，就必须跳过“应用级代理”的局限，进入内核级控制。

最后提醒：开启 TUN 模式后，务必定期验证网络稳定性。若发现设备频繁断网、延迟飙升，应立即回退至系统代理模式，并检查是否启用了过于激进的规则（如“GFWList”全量匹配）。同时，避免在公共网络环境下长期使用 TUN 模式，因其可能暴露更多元数据，增加被追踪风险。