系统代理是“请程序自觉走代理”，TUN 模式则是“在网络层直接把流量拿过来”。它通过创建一块虚拟网卡接管系统的默认路由，让所有 TCP/UDP 流量都进入 Clash 内核，包括不理会系统代理的命令行工具、游戏和各类客户端软件。

开启步骤

  1. 安装服务模式：Settings → Service Mode → 点击 Manage 安装服务（需要管理员权限）。安装成功后旁边的圆点变为绿色。TUN 需要创建网卡的权限，服务模式让内核以系统服务身份获得该权限。
  2. 开启 TUN：回到 General 页面打开 TUN Mode 开关。
  3. 此时“网络连接”里会出现一块名为 Clash 的适配器，Connections 页面开始出现来自各种进程的连接。

TUN 与系统代理如何取舍

系统代理TUN 模式
覆盖范围遵守系统代理的程序几乎全部程序
权限要求无需要服务模式
DNS 处理由浏览器/程序自理由 Clash 统一接管（fake-ip）
典型用途日常浏览命令行、游戏、UWP、网卡级分流

两者可以同时开启，互不冲突；日常也可只开 TUN。

配置细节（进阶）

CFW 的 TUN 依赖配置中的 tun 与 dns 段。订阅若未包含，可通过 Mixin 注入：

mixin:
  tun:
    enable: true
    stack: gvisor
    dns-hijack:
      - 198.18.0.2:53
  dns:
    enable: true
    enhanced-mode: fake-ip
    nameserver:
      - 223.5.5.5
      - 119.29.29.29
  • stack: gvisor 是用户态网络栈，兼容性最好；system 栈性能更高但对系统环境更敏感，出问题时优先换回 gvisor。
  • fake-ip 模式下 Clash 用保留网段（198.18.0.0/16）的假 IP 响应 DNS，再在建立连接时映射回域名，能显著降低 DNS 泄漏与解析延迟，详见 自定义 DNS。
开不起来？TUN 启动失败、开启后断网等问题的完整排查见 TUN 模式无法启动或没有网络。