Clash Verge Rev 的 TUN 模式适合什么场景？

如果你在 Windows 上使用 Clash Verge Rev，已经导入订阅并打开了系统代理，但仍然发现终端、游戏、开发工具、Microsoft Store 应用或某些桌面软件无法联网，那么问题通常不在节点本身，而在于这些程序没有遵循 Windows 的系统代理设置。系统代理主要影响浏览器和主动读取代理配置的应用，而 TUN 模式会在系统网络层创建虚拟网卡，由 Mihomo 内核接管符合条件的 TCP 与 UDP 流量，因此覆盖范围更广。

本文针对 Windows 10 和 Windows 11 上的 Clash Verge Rev，完整说明 TUN 模式的开启方法。内容包括管理员权限、Service Mode、运行模式、虚拟网卡、自动路由、DNS 劫持以及联网测试。你不需要一开始就修改大量 YAML 参数，建议先按界面完成基础设置，再根据连接日志和实际应用表现进行调整。这样可以避免把权限问题、订阅问题和路由冲突混在一起，导致「一开 TUN 就断网」却不知道从哪里恢复。

先理解差异：系统代理是应用主动使用本机 HTTP 或 SOCKS 代理端口；TUN 模式则更接近虚拟网卡级别的透明接管。TUN 并不是节点加速开关，也不会自动修复失效订阅。开启前请确认已有一个能正常使用的配置，并记住如何关闭 TUN 和系统代理。

开启前的准备：订阅、权限与端口检查

开始之前，先打开 Clash Verge Rev，确认至少有一个配置文件处于可用状态。进入「订阅」或「配置」页面，检查远程订阅是否已经成功下载，配置列表中是否能看到代理节点和策略组。如果配置文件为空、解析失败，或者所有节点都显示为不可用，应该先处理订阅导入，而不是直接开启 TUN。TUN 只负责接管流量，不负责生成节点，也不会替你修复 YAML 格式错误。

其次，建议使用较新的 Clash Verge Rev 版本和 Mihomo 内核。不同版本的界面名称可能略有差异，有些版本把相关选项放在「设置 → 系统设置」，有些版本则显示为「设置 → 内核」或「服务模式」。如果你在设置页找不到 TUN，不要马上判断客户端不支持，可以先扩大窗口、滚动页面，或查看设置中的高级选项。Windows 安全中心、第三方杀毒软件和企业策略也可能阻止虚拟网卡或后台服务运行。

还要确认本机没有其他透明代理软件同时接管网络，例如旧版 Clash for Windows、某些 VPN 客户端、游戏加速器、网络调试工具或其他基于 Wintun 的程序。多个软件同时修改默认路由、DNS 或虚拟网卡，容易产生循环代理、DNS 超时和局部断网。排查时最好只保留 Clash Verge Rev 一个透明代理组件，待 TUN 测试稳定后再逐一恢复其他工具。

  • 保存订阅地址：订阅链接相当于账户凭证，不要公开发到群聊或截图中；如果怀疑泄露，应在服务商后台重置。
  • 确认管理员权限：右键 Clash Verge Rev，选择「以管理员身份运行」，观察 Windows 是否弹出 UAC 授权窗口。
  • 记住混合端口：在设置中查看 HTTP、SOCKS 或 Mixed Port，后续终端测试可能会用到。
  • 关闭冲突软件：暂时退出其他 VPN、代理客户端和网卡管理工具，减少路由表竞争。

第一步：安装 Service Mode 并授予管理员权限

Clash Verge Rev 的 TUN 模式通常需要后台服务或管理员权限来创建和管理虚拟网卡。如果服务模式没有安装成功，即使界面上的 TUN 开关可以点击，也可能出现开关自动回弹、提示权限不足、启动后立即停止等现象。因此，第一步不是反复点击 TUN，而是先确认 Service Mode 的状态。

  1. 打开 Clash Verge Rev，进入左侧的「设置」页面，找到「系统设置」「服务模式」或名称相近的权限管理区域。
  2. 点击「安装服务」「Install Service」或「管理服务」，根据 Windows 弹出的用户账户控制提示选择「是」。
  3. 等待状态变为已安装、运行中或绿色 Active。若没有任何状态变化，完全退出客户端后，再使用管理员身份重新启动。
  4. 回到设置页面，确认内核能够正常启动；如果内核路径为空或提示启动失败，先修复内核安装，再继续配置 TUN。

部分电脑安装服务后需要重新启动 Clash Verge Rev，甚至需要重启 Windows，尤其是系统刚安装过网络驱动或 Windows 更新之后。不要连续点击安装按钮，以免留下多个服务记录。若服务显示已安装但 TUN 仍无法启动，可以先执行卸载服务，再重启客户端并重新安装。操作期间建议暂时关闭第三方安全软件的网络防护模块，但不要长期关闭 Windows 安全功能；完成测试后应恢复正常防护。

权限提示：不要从不明网站下载所谓「TUN 修复驱动」或单独替换系统 DLL。Windows 上常见的 Wintun 组件应由可信客户端和内核管理，来路不明的驱动可能造成蓝屏、网卡异常或安全风险。

第二步：选择运行模式并开启 TUN

Service Mode 正常后，再进入 Clash Verge Rev 的 TUN 设置区域。常见的开关名称包括「启用 TUN 模式」「Tun Mode」「增强模式」或「虚拟网卡」。界面可能把「系统代理」和「TUN」放在同一个开关卡片中，但两者不是同一功能。系统代理可以继续保留，方便浏览器和其他遵循系统设置的应用使用；TUN 则负责覆盖不读取系统代理的程序。

  1. 在「设置」中找到「TUN 模式」或「网络增强」选项，先确认当前内核为 Mihomo，再打开 TUN 开关。
  2. 如果有「运行模式」选项，优先选择 rule，让流量按照配置文件中的规则、策略组和兜底策略处理。
  3. 保持「自动路由」「Auto Route」和「自动检测网卡」「Auto Detect Interface」开启，让内核自动识别当前 Wi-Fi、以太网或其他出口接口。
  4. 首次测试时不要同时修改 fake-ip、DNS 监听端口、MTU 和自定义路由；先使用客户端默认值确认基本链路。
  5. 保存设置并等待数秒，观察 TUN 状态是否保持开启，同时查看 Windows 任务栏网络图标是否恢复正常。

Rule 模式适合日常使用，因为国内域名、局域网地址和代理目标可以分别匹配不同策略。全局模式虽然容易理解，但会让所有流量都经过当前代理，可能增加延迟、影响局域网访问，也容易掩盖规则配置问题。只有在排查规则是否导致连接失败时，才建议短时间切换全局模式做对照，测试结束后再回到 Rule 模式。

如果界面提供 Stack 选项，通常可以先使用系统默认或自动值。Mihomo 的 TUN 实现可能支持 system、gvisor 等不同网络栈，但不同 Windows 版本、网卡驱动和应用的兼容性并不完全相同。普通用户不需要为了追求某个参数而频繁切换；出现特定应用不通时，应先记录日志、确认域名和规则命中情况，再针对性调整。

第三步：检查虚拟网卡、路由与 DNS

成功开启 TUN 后，Windows 通常会出现一个由客户端创建的虚拟网络适配器。它的名称可能包含 Wintun、Mihomo、Clash 或其他版本相关字样。不同系统显示的名称不一定相同，因此不要只凭名称判断是否成功，重点要看适配器是否已启用、是否没有黄色感叹号，以及开启 TUN 后路由和 DNS 是否仍然正常。

  1. 按 Win + R，输入 ncpa.cpl 并回车，打开「网络连接」窗口。
  2. 查看是否新增虚拟网卡；如果网卡被禁用，右键选择「启用」，但不要手动修改其 IP、网关或 DNS。
  3. 打开命令提示符，执行 ipconfig /all，确认物理网卡仍然拥有有效的局域网地址和默认网关。
  4. 执行 route print 查看路由表是否存在明显重复默认路由；如果同时运行 VPN 或虚拟机软件，应暂时退出后再次检查。
  5. 执行 nslookup example.com 或访问一个你确定可用的网站，观察是否能正常解析并建立连接。

DNS 是 TUN 排障中最容易被忽略的一环。网页打不开不一定代表代理节点失效，也可能是域名解析走了错误的 DNS、缓存了旧结果，或者 DNS 请求被另一个软件拦截。若开启 TUN 后所有域名都解析失败，可以先关闭 TUN，确认普通网络可用，再重新打开 TUN 并检查客户端 DNS 设置。不要一开始就同时启用多个增强 DNS 选项，因为这样很难判断究竟是路由、fake-ip 还是 DNS 劫持造成问题。

局域网访问也值得单独测试。尝试打开路由器管理页面、访问 NAS、连接打印机或使用远程桌面。如果公网正常而局域网全部失效，通常是局域网网段没有被正确排除，或某个全局路由规则把内网地址送进代理。可以在配置规则中确保常见私有地址段使用直连，例如 192.168.0.0/16、10.0.0.0/8 和 172.16.0.0/12，但具体写法应以当前配置格式和客户端版本为准。

第四步：用浏览器、终端和应用做三层联网测试

不要只打开一个网页就宣布 TUN 配置成功。完整测试应分成浏览器、终端和目标应用三层，因为每一层代表不同的网络调用方式。浏览器能访问网站，只能证明基本 TCP 和 DNS 链路可能正常；终端测试可以判断命令行程序是否被 TUN 接管；游戏、开发工具或 Microsoft Store 应用的测试，则能验证你最初开启 TUN 的实际目的。

  • 浏览器测试：打开多个国内外网站，检查页面、图片和脚本是否都能加载，不要只测试首页。
  • DNS 测试：使用 nslookup 或 Resolve-DnsName 检查目标域名是否能够稳定返回结果。
  • 终端测试：使用 PowerShell 执行 curl.exe -I https://example.com，注意 Windows PowerShell 中的 curl 可能是别名，最好明确写出 curl.exe。
  • 日志核对：在 Clash Verge Rev 的「连接」或「日志」页面查看请求是否出现，确认域名命中了预期策略组。
  • 应用测试：启动原本无法联网的软件，观察是否出现对应连接记录；若完全没有记录，可能是程序使用了特殊协议、独立代理设置或被防火墙阻止。

测试时建议先固定一个稳定节点，不要立即使用频繁测速的 url-test 或负载均衡策略组。长连接应用在连接建立后更换节点，可能表现为登录中断、下载失败或 WebSocket 断开。等 TUN 本身确认正常后，再恢复自动选择节点。对于 Git、包管理器和开发工具，还要注意它们可能读取 HTTP_PROXY、HTTPS_PROXY 环境变量，也可能完全不读取系统代理；TUN 能扩大覆盖范围，但不能保证每一种特殊网络库都能被透明接管。

排障技巧：当某个软件打不开时，先看 Clash 连接列表有没有它的请求。如果有请求但被分到直连，检查规则顺序和策略组；如果完全没有请求，再检查 TUN 是否仍在运行、应用是否使用 UDP 或特殊驱动，以及 Windows 防火墙是否拦截了该程序。

TUN 开启后断网或自动关闭的处理方法

如果打开 TUN 后立即断网，第一步是回到客户端关闭 TUN，并确认系统代理也可以暂时关闭。这样做不是放弃配置，而是先恢复一个可控的网络环境。随后重新启动 Clash Verge Rev，确认订阅、内核和 Service Mode 都处于正常状态，再逐项恢复设置。直接在断网状态下连续改 DNS、路由和代理模式，往往会让故障变得更复杂。

故障表现 常见原因 优先处理方式
TUN 开关自动关闭 Service Mode 未安装或权限不足 管理员身份运行客户端，重新安装服务并重启。
开启后所有网站超时 DNS、默认路由或其他 VPN 冲突 退出冲突软件，恢复默认 DNS 与自动路由后重试。
浏览器能用，目标应用不能用 规则未命中、应用使用特殊协议或连接未被记录 查看连接日志，确认域名、协议和策略组。
公网正常但 NAS 不通 局域网地址被送入代理 检查私有网段直连规则和局域网访问选项。
重启 Windows 后 TUN 失效 服务未随系统启动或安全软件阻止 检查 Service Mode 状态，并将客户端加入允许列表。

如果只有某个域名访问失败，先不要重装客户端。打开连接日志，查看请求是否命中了错误策略组，再临时切换一个明确可用的节点进行对比。如果所有请求都没有记录，重点检查虚拟网卡和服务状态；如果请求记录完整但返回 403、认证失败或应用层错误，则问题可能来自账号权限、服务端限制或应用自身，而不是 TUN 的路由能力。

在 Windows 网络设置中点击「网络重置」应当作为最后手段，因为它会删除部分虚拟适配器、重置网络配置，并影响其他 VPN、虚拟机和代理软件。更稳妥的顺序是：关闭 TUN，退出 Clash Verge Rev，禁用并重新启用物理网卡，确认普通网络恢复，再重新启动客户端。如果确实需要重置网络，请先记录当前 VPN、虚拟机和静态 IP 设置，避免恢复后无法连接局域网设备。

稳定使用 TUN 的配置建议

完成首次测试后，可以根据自己的使用习惯进行细化。日常办公和浏览建议使用 Rule 模式，让国内服务直连、需要代理的目标进入代理策略组；只有在排查规则或临时验证节点时才使用 Global 模式。节点选择方面，稳定性通常比瞬时测速更重要，尤其是远程桌面、代码拉取、在线会议和长时间下载等场景，不建议频繁切换出口。

建议保留一份原始订阅配置，不要直接在远程配置上做大量不可逆修改。如果需要自定义 DNS、规则或策略组，优先使用 Clash Verge Rev 的覆写、Merge 或 Patch 功能。这样在订阅更新后，节点列表可以继续刷新，本地的必要设置也不容易丢失。每次修改后只改一个变量，并用同一组网站和应用重复测试，才能知道变化究竟带来了改善还是新的冲突。

此外，TUN 并不意味着所有流量都必须代理。打印机、NAS、公司内网、虚拟机网段和本地开发服务通常应该保持直连。合理的分流可以降低延迟，也能减少代理节点的无效消耗。若你使用 WSL2、Docker、Hyper-V 或 VMware，虚拟网络可能拥有额外的网卡和路由，建议先在没有 TUN 的情况下确认虚拟环境正常，再开启 TUN 做对照测试；发现异常时，优先检查虚拟网段是否与代理路由重复。

相比一些只提供单一「增强模式」开关的同类工具，Clash Verge Rev 的不足是选项较多，新手需要理解 Service Mode、系统代理、TUN、DNS 和策略组之间的关系；某些轻量客户端虽然上手更快，但在查看连接日志、定位规则命中和保留本地覆写方面可能不够细致。Clash 官网 的优势正在于把 Windows 上常见的权限、虚拟网卡、路由冲突与联网验证拆成可执行的步骤，方便你在不同客户端之间对照排查，而不是只给出一个模糊的「打开 TUN」建议；如果你希望按照本文流程准备客户端，不妨前往下载，再从基础配置开始逐步验证。