TUN 模式詳解：接管全部系統流量

系統代理是「請程式自覺走代理」，TUN 模式則是「在網路層直接把流量拿過來」。它透過建立一塊虛擬網路卡接管系統的預設路由，讓所有 TCP/UDP 流量都進入 Clash 核心，包括不理會系統代理的命令列工具、遊戲和各類用戶端軟體。

開啟步驟

1. 安裝服務模式：Settings → Service Mode → 點選 Manage 安裝服務（需要管理員許可權）。安裝成功後旁邊的圓點變為綠色。TUN 需要建立網路卡的許可權，服務模式讓核心以系統服務身份獲得該許可權。
2. 開啟 TUN：回到 General 頁面開啟 TUN Mode 開關。
3. 此時「網路連線」裡會出現一塊名為 Clash 的介面卡，Connections 頁面開始出現來自各種處理程序的連線。

TUN 與系統代理如何取捨

兩者可以同時開啟，互不衝突；日常也可只開 TUN。

設定細節（進階）

CFW 的 TUN 依賴設定中的 tun 與 dns 段。訂閱若未包含，可透過 Mixin 注入：

mixin:
  tun:
    enable: true
    stack: gvisor
    dns-hijack:
      - 198.18.0.2:53
  dns:
    enable: true
    enhanced-mode: fake-ip
    nameserver:
      - 223.5.5.5
      - 119.29.29.29

• stack: gvisor 是使用者態網路棧，相容性最好；system 棧效能更高但對系統環境更敏感，出問題時優先換回 gvisor。
• fake-ip 模式下 Clash 用保留網段（198.18.0.0/16）的假 IP 響應 DNS，再在建立連線時映射回域名，能顯著降低 DNS 洩漏與解析延遲，詳見 自定義 DNS。