Clash Verge Rev 的 TUN 模式适合什么场景？

在 Windows 上使用 Clash Verge Rev 时，很多用户会先打开「设为系统代理」，发现浏览器可以访问目标网站，就以为所有程序都已经走代理。实际上，系统代理主要影响能够读取 Windows 代理设置的应用，而命令行工具、部分游戏、虚拟机、WSL、后台服务以及自行创建网络连接的软件，可能完全不会理会系统代理。遇到「浏览器能用、软件不能用」「终端下载失败」「游戏或开发工具始终直连」等情况时，TUN 模式通常比单纯开启系统代理更适合。

TUN 可以理解为一张由 Mihomo 内核创建的虚拟网络接口。开启后，符合条件的 TCP、UDP 流量会先进入这张虚拟网卡，再由 Clash Verge Rev 按照规则、策略组和 DNS 设置进行处理。因此，TUN 不只是界面上的一个开关，还涉及管理员权限、服务状态、自动路由、DNS 劫持、虚拟网卡以及其他网络软件的兼容性。本文按照 Windows 上实际操作的顺序，讲清楚 Clash Verge Rev TUN 模式在哪里开启、哪些选项应该怎么选，以及如何确认它真的接管了流量。

先记住一个原则：TUN 模式不是「节点失效」或「规则错误」的万能修复方案。如果订阅没有导入、策略组没有选中可用节点，或者 DNS 规则本身冲突，开启 TUN 后反而可能让问题扩大。建议先确认普通系统代理能正常访问，再逐步启用 TUN。

开启前的准备：权限、内核与网络环境

开始配置前，先确认使用的是较新的 Clash Verge Rev，并且当前配置能够正常加载。打开客户端后，在配置或 Profiles 页面确认至少有一份可用的 YAML 配置文件，订阅更新没有显示错误，代理页面中能够看到节点和策略组。如果配置文件为空、解析失败，或者所有节点都显示不可用，TUN 开关即使能够打开，也不能代表代理链路已经建立。

Windows 上的 TUN 需要创建虚拟网络接口并修改路由，因此通常需要管理员权限或服务模式支持。首次启动客户端时，如果 Windows 弹出防火墙、驱动或管理员权限提示，应根据客户端来源和提示内容谨慎允许。若你直接以普通权限运行，常见表现是 TUN 开关点击后立即关闭、状态一直显示未运行，或者日志中出现 access denied、permission denied、failed to start tun 等信息。

还要留意电脑中是否同时安装了其他 VPN、网络加速器、虚拟机网卡或抓包工具。例如某些 VPN 客户端会强制修改默认路由，Hyper-V、VMware、VirtualBox 可能创建额外的虚拟适配器，旧版杀毒软件也可能拦截网络驱动。它们不一定必然冲突，但排查 TUN 时最好暂时关闭不必要的透明代理和加速软件，避免多个程序争抢路由表。

  • 配置先通过解析：确认节点、代理组和规则都已经加载，不要拿空配置测试 TUN。
  • 权限先准备好：必要时右键客户端快捷方式，选择「以管理员身份运行」，并按提示安装或启用服务模式。
  • 网络环境保持单一：第一次测试时先断开其他 VPN、网络加速器和代理软件。
  • 记录当前状态：记下系统代理、DNS 和默认网卡原来的设置，方便出现断网时恢复。

Windows 上开启 Clash Verge Rev TUN 模式的步骤

不同版本的 Clash Verge Rev 可能使用「设置」「Settings」「内核设置」或「网络」等略有区别的菜单名称，但核心选项通常包括 TUN、自动路由、自动检测接口、DNS 劫持和服务模式。下面的流程不依赖某一个具体版本的按钮位置，遇到文字差异时，优先寻找含有 TUN、Service Mode、Auto Route 的设置项。

  1. 启动 Clash Verge Rev：建议先以管理员身份打开客户端，等待 Mihomo 内核加载完成，再进入「设置」页面。
  2. 确认内核为 Mihomo：在内核管理或运行设置中选择 Mihomo／Clash Meta 兼容内核，不要使用无法识别当前配置语法的旧内核。
  3. 安装服务模式：找到 Service Mode、服务模式或类似选项，点击安装、管理或启用，并在 Windows 权限提示出现时确认操作。
  4. 打开 TUN 开关：回到网络或常规设置，启用 TUN Mode。若出现「允许创建网络适配器」或防火墙提示，确认后等待数秒。
  5. 启用自动路由：将 Auto Route 或自动设置路由打开，让 Mihomo 自动把需要处理的流量导向 TUN 接口。
  6. 启用自动检测出口网卡：开启 Auto Detect Interface，尤其是在同时使用 Wi-Fi、网线、手机热点或虚拟网卡的电脑上。
  7. 保存并重启内核：如果界面提示需要重启 Mihomo，先保存设置，再重启内核或重新打开客户端。

在大多数 Windows 桌面环境中，Auto Route 和 Auto Detect Interface 建议保持开启。前者负责自动添加和维护路由，后者帮助内核识别真正的出口网络。如果电脑固定使用一张网卡，也可以手动指定接口，但不建议新手在 Wi-Fi、网线频繁切换的设备上强行写死接口名称。

DNS 选项需要根据当前配置判断。若你的配置已经包含完整的 DNS、fake-ip 或 redir-host 方案，不要为了「看起来更完整」而重复叠加一套设置。若客户端提供 DNS Hijack 或「劫持 DNS 请求」选项，可以先保持默认值进行测试；发现应用解析结果异常时，再结合连接日志和 DNS 设置调整。一个常见的 Mihomo 配置结构如下，实际名称和参数仍应以客户端版本及订阅要求为准：

tun:
  enable: true
  stack: system
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

不要一次改太多项目：如果开启 TUN 后断网，先关闭 DNS 劫持或恢复原来的 DNS 配置，再测试路由；不要同时更换内核、订阅、代理模式和 DNS，否则很难判断究竟是哪一项导致故障。

TUN、系统代理与 DNS 应该怎样配合？

开启 TUN 后，是否还要打开「设为系统代理」取决于你的使用场景。TUN 负责在网络层接管更多流量，系统代理则为浏览器和遵循 Windows 代理设置的应用提供明确的 HTTP／SOCKS 代理入口。两者可以同时开启，但它们不是完全相同的机制。一般来说，日常桌面使用可以保留系统代理，TUN 用来覆盖不读取系统代理的软件；如果你正在排查代理链路，最好先分别测试，避免重复代理造成判断混乱。

  • 只使用系统代理：适合浏览器、办公软件和能够读取 Windows 代理设置的应用，改动少，故障范围也比较容易控制。
  • 只使用 TUN：适合终端、部分开发工具、游戏或不支持手动代理的软件，但更依赖路由、DNS 和虚拟网卡状态。
  • 系统代理与 TUN 同时使用：适合日常全局接管，浏览器走系统代理，其他流量由 TUN 补足，但要注意不要再叠加第三方 VPN。
  • 规则模式优先：先使用 Rule 模式观察不同域名命中了哪个策略组，确认稳定后再考虑 Global 模式。

DNS 是 TUN 排障中最容易被忽视的一环。浏览器打开网页时，可能使用了 DoH、缓存或独立解析机制，而终端和游戏则直接使用系统 DNS，所以「浏览器正常」不能证明所有程序的域名解析都正常。开启 TUN 后如果出现域名解析失败、访问地址错误或连接日志里频繁出现 DNS timeout，应检查 Clash Verge Rev 的 DNS 模式、监听地址、fake-ip 排除列表以及本地网络是否拦截了 DNS 请求。

对于局域网设备、公司内网、打印机和路由器管理地址，应注意不要让 TUN 把它们错误地送入代理。常见的内网网段包括 192.168.0.0/16、10.0.0.0/8 和 172.16.0.0/12，但具体是否需要排除，还要看你的网络结构。若使用 WSL2、Docker 或虚拟机，修改路由后应分别测试宿主机、虚拟环境和局域网服务，不要只看浏览器首页是否能够打开。

如何确认 TUN 真正生效？

不要只根据 TUN 开关的颜色判断成功。最可靠的验证方式是结合客户端状态、连接日志、Windows 网络适配器和实际应用进行多层检查。首先观察 Clash Verge Rev 的 TUN 状态是否保持开启，Mihomo 内核是否持续运行；如果开关几秒后自动恢复关闭，说明权限、服务、驱动或配置仍存在问题。

  1. 检查虚拟网卡：打开 Windows「设置 → 网络和 Internet → 高级网络设置」或「网络连接」，观察是否出现由 Mihomo 创建的虚拟适配器。
  2. 检查连接日志：在 Clash Verge Rev 的 Connections 或 Logs 页面打开一个平时不会直连的网页，确认出现对应域名和目标策略组。
  3. 检查浏览器出口：访问可靠的 IP 或 DNS 检测页面，比较开启 TUN 前后的出口地址，并确认结果与所选节点地区大致一致。
  4. 检查终端：在 PowerShell 中执行 curl.exe -I https://example.com 或实际需要访问的服务，观察客户端连接列表是否出现相应请求。
  5. 检查不支持系统代理的应用：关闭浏览器后，用 Git、包管理器或目标开发工具发起一次请求，确认 TUN 能捕获它的连接。
  6. 恢复测试：关闭 TUN 和系统代理，重新测试同一地址，比较两次连接日志和出口变化，避免把浏览器缓存误认为代理生效。

如果网页可以打开，但连接列表中没有任何对应请求，可能是浏览器使用了缓存、独立 DoH 或其他代理扩展；如果连接列表有请求但全部显示 DIRECT，则应检查规则顺序和策略组选择。若连接命中了代理组却不断超时，则问题更可能在节点质量、TLS、DNS 或远端服务，而不是 TUN 本身。

现象 常见原因 排查方向
TUN 开关立即关闭 权限不足、服务模式未安装或驱动被拦截 管理员运行客户端，检查服务状态和 Windows 安全中心记录
开启后整机断网 默认路由冲突、DNS 配置错误或其他 VPN 抢占路由 关闭第三方 VPN，暂时关闭 DNS 劫持并确认自动检测网卡
浏览器正常，终端仍失败 规则命中直连，或 TUN 没有接管该进程 查看 Connections，确认域名、端口和策略组
局域网设备无法访问 内网流量被错误代理或路由被重写 检查局域网绕过规则、系统路由和虚拟网卡优先级
开机后 TUN 不自动恢复 客户端未自启动或服务模式状态异常 启用开机启动，重新安装服务并观察内核日志

TUN 开启失败后的安全恢复与长期设置

如果 TUN 导致断网，第一步不是删除配置，而是通过客户端关闭 TUN 和系统代理，然后检查 Windows 是否恢复正常。若界面无法操作，可以暂时退出 Clash Verge Rev，进入 Windows 的网络设置确认代理开关已经关闭。仍然无法联网时，重启系统通常可以清理临时路由；如果问题反复出现，再使用管理员 PowerShell 检查路由和网卡状态。不要随意执行来源不明的「一键修复网络」脚本，因为它可能重置全部网络配置，反而增加后续排障难度。

服务模式反复失败时，可以在 Clash Verge Rev 的设置中执行卸载服务，再重新安装。安装过程中要观察 Windows 弹出的账户控制提示，确认实际运行的客户端与安装服务的客户端版本一致。部分安全软件会在后台隔离网络驱动或阻止服务启动，可以查看隔离区和防护历史，但不要为了测试而长期关闭全部安全防护。

稳定运行后，建议采用相对保守的长期配置：使用 Rule 模式，开启自动路由与自动检测接口，保留对局域网地址的合理绕过规则，并为需要固定出口的服务使用手动选择或稳定的策略组。对于开发机，可以把 Git、包管理器、容器和 WSL 的访问分别测试一次；对于游戏电脑，则重点测试 UDP、更新器、语音服务和局域网联机。只要记录好哪些流量需要代理、哪些地址必须直连，后续升级订阅或更换节点时就不必重新猜测。

与只提供系统代理开关的旧式客户端相比，部分同类 Windows 工具在 TUN 场景下往往存在菜单层级复杂、服务状态不透明、内核版本落后或中文排障资料不足的问题，遇到「开关亮了但终端不通」时很难判断是路由、DNS 还是权限造成的。Clash 官网 的优势在于围绕 Clash Verge Rev、Mihomo、Windows 权限、TUN 路由和连接日志提供连续的操作说明，能够把启用、验证与恢复拆开处理，不必盲目切换全局模式；如果你准备按本文配置 Windows 的 TUN 环境，可以先前往下载，再回到步骤逐项完成设置。