Clash Verge的TUN模式与普通代理模式有什么区别？
Clash Verge 的 TUN 模式与普通代理模式，到底该怎么选？
许多 Clash Verge 用户常常面临一个困惑：默认的普通代理模式（Rule Proxy）已经能正常工作，为什么还要开启 TUN 模式？开启后会不会影响速度？哪些场景非用不可？本文将从原理到实操，帮你彻底理清TUN 模式与普通代理模式的区别，并根据实际网络环境给出可复现的选型建议。
提示：本文基于 Clash Verge 的公开最新版本（可前往 GitHub Releases 页查看具体版本号）。所有路径描述均以 Windows/macOS/Linux 桌面端为例，移动端（如有）操作逻辑类似但入口可能不同。
一、核心区别：流量捕获范围与工作层级
要理解两者的本质差异，先要搞清楚 Clash 作为代理客户端的工作方式。下面分别说明两种模式如何捕获流量。
普通代理模式（Rule Proxy / System Proxy）
普通代理模式是 Clash Verge 的默认设置。它的核心机制是修改操作系统的系统代理设置，让浏览器以及部分支持系统代理的应用程序（如许多即时通讯软件）的 HTTP/HTTPS 流量流经 Clash 内核，再由规则集决定是否通过代理节点发出。
换句话说，只有那些会主动读取系统代理设置的应用才会被代理。很多软件并不遵守系统代理——典型的有：
- 绝大多数网络游戏（游戏通常直接发送 UDP/TCP 包，不查询代理设置）
- UWP 应用（Windows 商店应用默认不走系统代理）
- 命令行工具（如 curl、wget 在不加参数时不一定读取代理环境变量）
- 部分 PT 下载软件、BT 客户端
适用场景假设：假设你日常只使用 Chrome 浏览器浏览网页，偶尔用 Telegram 聊天。此时普通代理模式完全够用——绝大多数 Web 流量被正确捕获，CPU 和内存开销极低（经验性观察，内存占用通常在 50–80 MB 范围）。你甚至可以在 Clash 日志中看到每条 HTTP 请求都被精准路由。
TUN 模式（Virtual Tunnel Interface）
TUN 模式的出现正是为了弥补普通代理模式的盲区。它会在系统安装一个虚拟网卡（TUN 设备），让所有本机发出的 IP 层流量都先流经这个虚拟网卡，再由 Clash 内核判断是否需要走代理。它工作在网络层（第三层），而非应用层。
这意味着：任何尝试发送数据包的进程——不论它是否知道系统代理——都会被 Clash “看到”并有机会被代理。包括：
- 游戏流量（TCP/UDP）
- UWP 应用流量
- Ping、DNS 查询（默认 DNS 也可能被接管）
- 系统更新流量
- 其他所有非 HTTP 协议的流量
从用户的角度看，开启 TUN 模式后，几乎“整个系统”都处于代理环境下，不需要再去单独配置每个应用。这也是 TUN 模式被称为“全局代理”的原因——但它实际上仍然是规则驱动的，并非所有流量都强制走代理。
注意：虽然 TUN 模式捕获所有 IP 流量，但 Clash 内核仍会根据规则集（Proxy Group 和 Rule）决定哪些流量走代理、哪些直连、哪些拒绝。因此“全局”仅指流量捕获范围，而非路由策略。
二、功能定位：各自解决什么问题
普通代理模式：轻量、省心、兼容性好
对于 90% 以上的普通用户——只使用浏览器、社交应用、看视频——普通代理模式是首选。原因如下：
- 不需要管理员权限：修改系统代理无需安装虚拟网卡驱动，一般用户账户即可操作。
- 更低的资源消耗：没有额外的 TUN 虚拟网卡处理，CPU 占用几乎可以忽略（经验性观察，在轻负载下 CPU 占用低于 1%）。
- 不易引起网络冲突：很多企业网络工具或安全软件会监控网卡状态，TUN 设备可能被误判为异常网络适配器。
- 开机启动更顺畅：不需要提权或处理网络适配器等待问题，启动速度更快。
简而言之，普通代理模式是日常轻量使用的理想选择，几乎不需要额外配置，兼容性也最广。
TUN 模式：补全代理盲区，实现“全应用代理”
TUN 模式解决的核心问题就是“代理不到的应用”。随着现代操作系统和应用程序越来越多地使用非 HTTP 协议或绕过系统代理设置，普通代理模式显得力不从心。例如：
- UWP 应用（如 Xbox Game Pass、Windows 商店下载的游戏）
- Steam 游戏的部分通信（游戏内语音、UDP 底层连接）
- 一些冷门软件自己实现 libcurl 但未遵循系统代理
如果你需要让这些应用也走代理（例如加速游戏联机、访问受限的 UWP 服务），TUN 模式就是唯一选项。它本质上是创建了一个“代理网络层”，所有 IP 包都经过它，很像一台微型代理服务器。
三、操作路径：如何开启与切换（分平台）
以下基于 Clash Verge 桌面端（Windows、macOS、Linux）的通用操作界面。移动端（如果有）的入口可能不同，但逻辑类似。
Windows / macOS / Linux 通用步骤
- 启动 Clash Verge，进入主界面。
- 点击左侧菜单的 “设置”（Settings）。
- 滚动找到 “TUN 模式”（TUN Mode） 开关。
- 将其开启（变成蓝色/启用状态）。
- 弹窗提示需要安装/启动 TUN 虚拟网卡，点击确认。可能需要管理员权限（Windows 会弹出 UAC 确认，macOS/Linux 可能要求输入密码）。
- 等待几秒钟，界面上方状态栏应显示“TUN 模式: 已开启”。
提示：如果你之前从未安装过 TUN 驱动，Windows 系统可能需要安装 WinTUN 驱动（Clash Verge 会自动下载并安装，无需手动操作）。macOS 和 Linux 通常使用内置的 utun 或 tun 驱动。首次开启后的几秒钟内，驱动加载可能略有延迟，请耐心等待。
关闭 TUN 模式回退到普通模式
只需再次进入设置，将 TUN 模式开关关闭即可。关闭后系统代理设置会自动恢复为普通的 HTTP/SOCKS5 代理模式（如果你之前启用了系统代理，建议保持开启）。部分用户关闭 TUN 后发现网络异常，那是因为系统代理可能也被自动关闭了。解决方式：手动检查设置中 “系统代理”（System Proxy） 开关是否仍为开启状态，若未开启则重新打开。
平台差异与注意事项
| 平台 | TUN 驱动 | 常见问题 |
|---|---|---|
| Windows | WinTUN（自动安装） | 需以管理员权限运行 Clash Verge；部分安全软件会拦截虚拟网卡安装，需添加信任。 |
| macOS | 系统 utun（utun0-utun3） | 开启 TUN 后可能需要手动输入密码授权；macOS 13+ 可能会弹窗“允许应用配置”，点击允许即可。 |
| Linux | TUN/TAP 内核模块 | 需确认内核编译了 TUN 支持（通常默认包含）；可能需手动加载模块 (modprobe tun)。 |
四、兼容性表现：哪些应用在两种模式下行为不同
要判断是否值得开启 TUN 模式，最直接的方法是测试你高频使用的应用是否在普通模式下无法被代理。下表中列出了一些典型应用的经验性观察结果（可复现验证步骤附后）。
| 应用类别 | 普通代理模式 | TUN 模式 | 验证方法 |
|---|---|---|---|
| Chrome / Edge / Firefox | 正常代理 | 正常代理 | 访问 ip.sb 查看出站 IP |
| UWP 应用（如 Xbox, Windows Store） | 一般不走系统代理 | 捕获并可以代理 | 开启后尝试下载应用，观察日志出现“TCP/UDP”连接 |
| 游戏（如 Steam, 原神） | 通常不走系统代理 | 可代理（UDP 需节点支持） | 游戏内查看延迟或访问被墙内容（谨慎测试） |
| 命令行工具 (curl, wget) | 需设置环境变量 HTTP_PROXY | 自动代理 | curl ip.sb 查看 IP |
| Ping / Nslookup | 直连 | 可被代理（ping 基于 ICMP，TUN 模式通常不捕获 ICMP，但 DNS 可被接管） | nslookup 某个域名查看返回 IP 是否为代理 DNS 结果 |
示例：以 UWP 应用为例，你可以在开启 TUN 后从 Windows Store 下载一个应用，并观察 Clash 日志中是否出现了 TCP/UDP 连接条目。如果出现，说明 TUN 成功捕获了该流量；如果未出现，请检查 TUN 是否已正确启动。
五、风险控制与副作用
开启 TUN 模式并非无代价。以下是你需要了解的可能影响及缓解方案，以便做出明智决策。
1. 性能开销上升
TUN 模式需要在用户态与内核态之间拷贝数据包，并且 Clash 内核需要对 IP 包进行 NAT 或路由处理。经验性观察，在千兆带宽下，CPU 占用可能增加 5–15%（因机器配置和并发连接数而异）。对于低配设备（如旧款 i3、ARM 单板电脑），长期开启 TUN 可能导致 CPU 风扇转速提高或系统响应变慢。
可复现验证：开启 TUN 模式后，打开任务管理器（Windows）或活动监视器（macOS），对比开启前后的 CPU 和网络占用，在同样进行大量网络请求（如同时下载文件、浏览多标签页）时观察增量。你也可以用 Speedtest 测速，比较开启前后 CPU 占用差异。
2. 网络冲突与工具不兼容
TUN 模式本质上是创建了一个虚拟网络接口，可能与其他网络工具（如企业 Openprivacy tool、WireGuard、L2TP/IPsec）冲突。通常不建议同时开启多个 TUN/privacy tool 接口。如果遇到无法上网，先关闭 TUN 模式或另一个 privacy tool 来排查。
回退方案：关闭 TUN 模式，切换回普通代理模式。若仍无法联网，检查系统代理设置是否被意外关闭。
3. DNS 泄漏风险与配置注意
开启 TUN 后，Clash 默认会接管 DNS 请求（dns.enable 为 true）。如果配置不当，可能会发生 DNS 泄漏——即 DNS 查询直接发送到上游而未被加密路由。建议在 Clash Verge 的“设置”->“DNS”中确认使用了支持加密的 DNS（如 https://doh.opendns.com 或 tls://8.8.8.8），并勾选“DNS 劫持”选项（若有）。
4. 管理员权限与安全软件问题
Windows 下开启 TUN 需要以管理员身份运行 Clash Verge。如果你习惯开机自启，需要把 Clash Verge 设置为“以管理员身份运行”再放入启动项，否则 TUN 模式不会自动启动。macOS 下可能每次开关都需要手动输入密码（取决于安全设置）。部分安全软件可能会阻止虚拟网卡安装，请提前将 Clash Verge 加入信任列表。
六、适用与不适用场景清单
基于以上分析，下面给出明确的选型指南，帮助你快速判断当前场景是否应该开启 TUN 模式。
✅ 推荐使用 TUN 模式的情况
- 你需要代理游戏（特别是联机对战类，如《Valorant》《Apex Legends》的 UDP 通信）或 UWP 应用。
- 你使用命令行工具且不想每次都设置代理环境变量。
- 你希望所有网络流量都经过一次过滤（例如基于规则屏蔽广告或恶意域名）。
- 你在内网环境中想统一管理出站流量，不想逐个应用配置。
❌ 不建议使用 TUN 模式的情况
- 你的设备配置较低（内存<4GB，CPU 较老），且对性能敏感。
- 你同时需要连接企业 privacy tool（如 AnyConnect、Openprivacy tool），TUN 模式可能与 privacy tool 冲突。
- 你只需要浏览器代理，且不希望任何应用意外走代理（例如 BT 下载客户端可能通过代理产生额外流量）。
- 你使用 Clash Verge 作为旁路网关（如 OpenWrt 上的 Clash），此时不应在客户端再开 TUN。
七、最佳实践：如何根据场景切换
很多用户并不需要一直开着 TUN 模式，而是按需切换。以下是一套可落地的决策流程：
- 默认状态：关闭 TUN 模式，使用普通代理模式（系统代理开启）。适合 90% 日常时间。
- 接入 UWP 应用时：临时开启 TUN；结束后关闭。
- 启动游戏前：如果游戏不认系统代理，开启 TUN；如果游戏已经能代理（例如 Steam 可配置代理），则保持 TUN 关闭以节省性能。
- 下载大文件（BT/PT）：最好关闭 TUN，因为大量 UDP 流量会加重 CPU 负担，且可能使流量经过代理导致速度下降或节点被封。
这样做既享受了两种模式的优点，又规避了持续开启 TUN 的副作用。
八、常见问题（FAQ）
Q1：TUN 模式和“全局模式”是一回事吗？
MATCH,Proxy，但通常不推荐。Q2：开启 TUN 模式后，某些国内网站变慢怎么办？
Q3：TUN 模式是否支持 UDP 代理？
Q4：为什么开启 TUN 后，有些网络打印机或局域网共享设备无法访问？
Q5：普通代理模式和 TUN 模式可以同时开启吗？
总结：何时该用，何时不该用
Clash Verge 的 TUN 模式与普通代理模式并非替代关系，而是互补。普通代理模式是日常出行的“经济舱”——轻便、够用、兼容好；TUN 模式是“公务舱”——开销高但覆盖广。选择的关键在于：你是否有无论如何都代理不了的应用？
- 如果没有，保持普通代理模式——你几乎察觉不到它的存在，系统更稳定。
- 如果有，按需开启 TUN，完成特定任务后关闭。
- 如果经常需要，考虑升级硬件或优化规则减少性能影响。
最后，无论选择哪种模式，都建议定期更新 Clash Verge 到最新版本（从官方 GitHub Releases 页下载），以获得最新的性能优化和安全修复。
未来趋势与版本预期
随着 Clash 生态的持续发展，TUN 模式也在不断优化。社区讨论中，未来的 Clash Verge 版本可能会进一步降低 TUN 模式的性能开销，例如通过内核态加速或更精细的规则缓存。此外，对 UDP 代理的支持也将更完善，尤其是在游戏和实时通信场景下。用户界面方面，预计会出现更直观的 TUN 模式状态指示和流量统计，帮助用户实时了解哪些流量被捕获。如果你对性能敏感，建议关注官方更新日志，及时升级以获得最佳体验。
