TUN 模式是什么？什么时候该开、怎么开

选梯子编辑部 · 更新于 2026-10-08

使用教程通用设置难度：进阶约 8 分钟读完

TUN 模式是什么？简单说，它让代理客户端在你的电脑上创建一块虚拟网卡，把本机的网络流量在网络层统统接住，再按规则决定直连还是走节点。和系统代理靠应用自觉不同，TUN 模式不依赖应用配合，所以 UDP、命令行和不认代理的程序也在它的覆盖范围内。代价是权限更高、更容易与其他网络工具冲突，不是人人都需要。

TUN 模式是什么：用虚拟网卡在网络层接管流量

TUN 是操作系统提供的一种虚拟网络设备。软件可以创建一块虚拟网卡，系统会把发往这块网卡的 IP 数据包交给创建它的程序处理。代理客户端利用这一点，做了三件事：

1. 创建虚拟网卡，并调整系统路由，让默认的出网流量都先进入这块网卡。
2. 从网卡里读出数据包，还原成一条条 TCP、UDP 连接。
3. 对每条连接按规则判断，该直连的直接送出去，该走代理的交给节点。

这个过程发生在比应用更低的一层，应用并不知道自己被代理了，所以它不需要“支持代理”这个功能。这也是它能覆盖系统代理管不到的流量的原因。词典里有简短的解释：TUN 模式。

在 Mihomo 系客户端里，对应的配置段大致长这样，只展示结构，字段含义以 Mihomo 官方文档 为准：

tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

不必手写这些。多数图形客户端把它做成了一个开关，打开前客户端会提示你授权或安装服务。看懂它的意思，是为了出了问题知道在查什么。

“增强模式”“服务模式”这些叫法指什么

不同客户端、不同年代的教程，对同一件事的叫法不一样，容易让人以为是几种功能：

读到“开启增强模式”这类说法时，先确认它指的是接管流量，还是 DNS。拿不准就去看你客户端设置页里对应开关的说明。

什么时候该开 TUN 模式，什么时候不必

先问自己：我遇到的是什么问题？

决策可以简化成三句话：

• 现在够用，就不要开。多一层接管，就多一层可能出问题的地方。
• 遇到明确的“管不到”，再开，并且开了要验证。
• 开了以后出现新问题，先关掉 TUN 对比，再决定留不留。

TUN 模式设置：开之前要准备什么

下面是一条通用的开启路径，具体界面以你的客户端为准：

1. 先让系统代理或规则模式跑通。 订阅能导入、节点能连、规则能分流，再开 TUN。基础没通就开 TUN，只会增加排查难度。
2. 确认权限条件。 见下表。
3. 在客户端设置里找到 TUN 开关，按提示授权或安装服务。 弹出系统授权窗口时，确认它是你刚才操作触发的。
4. 开启后立即做一次验证。 方法见后面的章节。
5. 准备好回退。 记住关闭 TUN 的位置，万一网络异常，第一步就是关掉它。

不同平台的前置条件，大致是：

不要为了开 TUN，把来路不明的“服务”或驱动装进系统。只用官方仓库或应用商店下载的客户端，下载渠道的选择见下载中心。

开 TUN 模式的代价：权限、冲突与 DNS 变化

它不是免费的升级，下面是实打实的代价：

• 更高的权限。 虚拟网卡和路由属于系统级设置。被授权的程序权限越大，越要确认它来自官方渠道。
• 与其他网络软件的冲突。 公司 VPN、其他代理客户端的 TUN、部分加速器、某些虚拟机和容器软件，都可能创建虚拟网卡或改路由。两个都想当默认出口，就会互相抢。
• DNS 行为的变化。 为了让域名解析也被接管，TUN 通常配合 DNS 劫持和 fake-ip 一起使用。这会影响你在系统里看到的域名解析结果，原理放在 Clash DNS 怎么设置 里讲，这里只记住：开 TUN 后域名解析的路径变了。
• 局域网与本机服务。 路由被改写后，访问打印机、NAS、本机开发服务有时需要额外排除。有问题先怀疑路由。
• 残留风险。 客户端异常退出时，虚拟网卡或路由有可能没有清理干净，导致断网，重启客户端或系统通常能恢复。

开不了、开了断网这类情况，可以直接读 TUN 模式开不了怎么办。

手机上的 VPN 模式和电脑的 TUN 模式是什么关系

手机系统不允许普通应用随意创建虚拟网卡，但提供了一个正式的接口：安卓上叫 VpnService，苹果设备上是系统的网络扩展。代理客户端通过它，把流量先导入自己，再转发。接口的作用可以参考 Android 开发者文档里的 VpnService 说明。

所以在手机上：

• 你看到的“VPN 图标”，是系统接口在工作的标志，不代表你在用传统意义上的 VPN 服务。
• 客户端首次启动时弹出的“是否允许建立 VPN 连接”，是系统在征求你的同意。
• 它的效果和电脑上的 TUN 模式相近：不要求应用支持代理，大多数应用的流量都会被接住。

这也是手机客户端一般不提供“系统代理”开关的原因。想了解两个词的区别，可以看VPN 梯子是什么。

怎么确认 TUN 模式真的生效了

“开关亮了”不等于生效，用下面几步自己核对，并且先把系统代理关掉，这样才能确定是 TUN 在起作用：

1. 看客户端状态。 TUN 开关为开启，没有报错提示；如果需要服务模式，服务状态应为已运行。
2. 看系统网络适配器。 电脑的网络连接里应该多出一块新的虚拟适配器，具体名称因客户端和系统而异。关掉 TUN 后它应该消失。
3. 用一个不读系统代理的程序做测试。 在终端不设置任何代理变量，访问一个任意网址，例如运行 curl -I https://example.com，然后到客户端的连接页面查看，这条连接应该出现在列表里，并带有命中的规则。
4. 对比开关前后。 打开一个原本不走代理的软件，开 TUN 前后各试一次，看它的行为是否随之变化。
5. 关闭后确认恢复。 关掉 TUN，网络应当恢复到开启之前的样子，虚拟适配器消失。没恢复就重启客户端，仍不行再重启系统。

如果第 3 步在连接页面里完全看不到记录，说明流量没有进入虚拟网卡，回头检查权限、路由和是否被别的软件占用。

下一步：先判断需不需要，再动手

1. 先读系统代理怎么设置，确认你的需求是不是系统代理就能解决。
2. 确实需要，就按“开之前要准备什么”那一节一步步来，开完立刻验证。
3. 开不了或开了断网，按 TUN 模式开不了怎么办 排查。
4. 还没有客户端或订阅，先到梯子推荐按用途筛选候选，再去下载中心挑支持 TUN 的客户端。

接着读

• 使用教程 · 系统代理怎么设置？和 TUN 模式的区别与适用场景
• 术语 · TUN 模式是什么意思
• 故障排查 · TUN 模式开不了怎么办？权限、驱动与冲突排查
• 使用教程 · Clash DNS 怎么设置？fake-ip 与 redir-host
• 使用场景 · Discord 梯子怎么选？语音、文字与代理模式
• 术语 · Fake-IP是什么意思
• 使用教程 · Clash Verge Rev Windows 教程：订阅与系统代理

文中出现的术语

• TUN 模式
• 系统代理
• 分流
• 代理内核
• 直连
• Fake-IP
• 落地节点