Системный прокси вежливо просит программы ходить через прокси; TUN забирает трафик на сетевом уровне. Создаётся виртуальный сетевой адаптер, владеющий маршрутом по умолчанию, - и весь TCP/UDP-трафик оказывается в ядре Clash, включая консольные утилиты, игры и клиенты, игнорирующие настройки прокси.

Включение

  1. Установите Service Mode: Settings → Service Mode → Manage (нужны права администратора). Зелёная точка - успех. TUN требует прав на создание адаптера; их даёт служба.
  2. Включите TUN: на странице General переключатель TUN Mode.
  3. Появится сетевой адаптер Clash, а на Connections пойдут соединения от самых разных процессов.

TUN против системного прокси

Системный проксиРежим TUN
ОхватПрограммы, уважающие настройкиПрактически всё
ПраваНе нужныНужен Service Mode
DNSНа совести каждой программыЦентрализованно у Clash (fake-ip)
Типовое применениеОбычный сёрфингCLI, игры, UWP, полный перехват

Могут работать одновременно без конфликтов; можно и один TUN.

Детали конфигурации (продвинутое)

TUN опирается на секции tun и dns. Если их нет в подписке, внедрите через Mixin:

mixin:
  tun:
    enable: true
    stack: gvisor
    dns-hijack:
      - 198.18.0.2:53
  dns:
    enable: true
    enhanced-mode: fake-ip
    nameserver:
      - 1.1.1.1
      - 8.8.8.8
  • stack: gvisor - пользовательский стек с максимальной совместимостью; system быстрее, но капризнее - при проблемах возвращайтесь на gvisor.
  • С fake-ip Clash отвечает на DNS адресами зарезервированного диапазона (198.18.0.0/16) и восстанавливает домен при подключении - ниже задержка резолвинга и никаких утечек DNS. Подробнее в Настройке DNS.
Не стартует? Полный чек-лист отказов TUN и «включил - пропал интернет» в Проблемах TUN.