TUN模式怎么开启？解决游戏与终端命令行不走代理

1. 系统代理 (System Proxy) 的物理局限#

当你在 Clash Verge Rev、v2rayN 或 Shadowrocket 中勾选“开启系统代理”时，客户端底层只是通过系统 API（在 Windows 上修改注册表 WinINet 键值；在 macOS 上修改 Network System Preferences）写入了类似以下的配置：

1
HTTP 代理: 127.0.0.1:7890
2
Socks5 代理: 127.0.0.1:7891

• 遵守规范的应用：Chrome、Edge、Safari 等主流浏览器，以及 Telegram、Spotify 等桌面客户端在发起网络请求前，会先读取系统代理配置，自动将流量封装成 HTTP/Socks5 协议发送给 127.0.0.1:7890。
• 忽略规范的应用：
• 终端命令行：系统自带的 CMD、PowerShell、Git Bash、Linux Terminal 默认完全忽略系统代理。
• 外网游戏：大部分 3D 游戏（如 EA App、Steam 联机、Apex Legends、CS）采用底层 UDP 报文传输，根本不识别 HTTP/Socks5 代理端口。
• 虚拟化与开发环境：WSL2 (Windows Subsystem for Linux)、Docker 容器、Node.js 原生 HTTP 库等，均不自动继承宿主机的系统代理。
• Windows UWP 应用：如 Xbox App、微软应用商店，受系统沙盒“回环隔离 (Loopback Isolation)”限制，即使设置了代理也会被强行拦截。

2. TUN 模式：网络层 (Layer 3) 全流量接管#

TUN（Network TUNnel）是一种在操作系统内核层实现的虚拟网络设备。

1
+-----------------------------------------------------------------------------------+
2
| 代理接管模式层级与覆盖范围对比 |
3
+-----------------------------------------------------------------------------------+
4
| [应用层] 系统代理 (System Proxy) |
5
| - 仅支持读取注册表/环境变量的浏览器及少数软件。 |
6
| |
7
| [网络层] TUN 模式 (Virtual TUN Adapter) <--- 【推荐全盘接管方案】 |
8
| - 拦截系统底层所有 IP 数据包 (TCP/UDP/ICMP)，无视应用是否支持代理。 |
9
| - 支持：游戏、终端 Cmd/PowerShell/Git、Docker、WSL2、UWP 应用。 |
10
+-----------------------------------------------------------------------------------+

开启 TUN 模式后，代理软件会向操作系统申请创建一张名为 utun (macOS) 或 Clash TUN (Windows) 的虚拟网卡，并将操作系统的默认路由表（Default Route）指向该虚拟网卡。

此时，无论任何软件、任何命令行或任何游戏发出的数据包，在离开物理网卡前，都必须先强制经过 TUN 虚拟网卡。代理内核（Mihomo/Sing-box）拦截数据包后，自动提取目标 IP 和端口，匹配分流规则后加密发送，从而实现真正意义上的“无死角代理”。

1. TUN 与 TAP 的本质区别#

很多用户在老旧软件中看到过“TAP 模式”，经常将 TUN 与 TAP 混淆：

• TAP (Network Tap)：工作在 OSI 数据链路层 (Layer 2)。它模拟的是一张物理以太网卡，处理的是包含 MAC 地址的以太网帧（Ethernet Frames）。TAP 需要处理大量二层广播报文，协议开销极大，且容易在 Windows 上引发网卡驱动蓝屏。
• TUN (Network TUNnel)：工作在 OSI 网络层 (Layer 3)。它只处理独立的 IP 数据包（IP Packets），不关心底层的 MAC 地址。由于去除掉了二层封装开销，TUN 模式的 CPU 占用率极低，网络吞吐性能远超 TAP 模式。现代代理客户端（Clash Verge Rev、Stash、Sing-box）已全面放弃 TAP，转向纯 TUN 模式。

2. 核心死锁防范：路由环路 (Loopback Deadlock) 避让机制#

开启 TUN 模式后，系统所有数据包都被重定向到了 TUN 虚拟网卡。此时产生了一个极其严峻的逻辑矛盾：

应用流量 -> 进入 TUN 虚拟网卡 -> 代理内核解密打包 -> 发送到真实物理网卡 -> 经过物理网卡再次被 TUN 捕捉?!

如果处理不当，代理内核发送出去的加密数据包会被系统路由再次塞回 TUN 虚拟网卡，导致数据在本地陷入无限死循环，表现为电脑瞬间全盘断网，CPU 飙升至 100%。

1. Windows 平台：Clash Verge Rev 开启 TUN 模式#

在 Windows 系统中，开启 TUN 模式的前提是代理软件必须获得管理员权限，以便创建虚拟网卡驱动。

1
[Windows Clash Verge Rev 开启 TUN 模式三步法]
2
 Step 1: 安装服务模式 (Service Mode)
3
 - 打开 Clash Verge Rev -> 点击左侧【设置 (Settings)】
4
 - 找到“服务模式 (Service Mode)” -> 点击右侧“安装 (Install)”
5
 - 授权 Windows UAC 提示，安装完成后右侧显示绿色打勾
6

7
 Step 2: 开启 TUN 模式主开关
8
 - 在【设置】界面中，找到“TUN 模式 (TUN Mode)”开关
9
 - 点击拨动开启 TUN 模式
10

11
 Step 3: 验证虚拟网卡状态
12
 - 打开 Windows【设备管理器 -> 网络适配器】
13
 - 确认出现名为 “Clash TUN” 或 “Mihomo TUN” 的虚拟网卡设备

• 为什么推荐安装“服务模式”？：如果直接以普通用户运行软件开启 TUN，每次开机都必须手动右键点击“以管理员身份运行”。安装服务模式后，clash-verge-service 会作为 Windows 后台服务（service.exe）静默启动，免去每次手动提权的麻烦。

2. macOS 平台：Clash Verge Rev / Stash 开启 TUN 模式#

在苹果 macOS 系统中，创建 utun 设备需要获得系统的 Sudo 授权。

1. 安装 Helper 工具：

• 打开 Clash Verge Rev for Mac -> 进入【设置】。
• 找到 Clash Field / Helper，点击“安装 Helper”。
• 系统会弹出提示框：“Clash Verge 想要安装一个新帮助程序”，输入 macOS 屏幕解锁密码放行。

2. 开启 TUN 开关：

• 拨动 TUN 模式 开关。
• 首次开启时，macOS 系统可能会弹窗提示：“网络拓展请求修改网络配置”，点击 “允许” (Allow)。

3. 验证检查：

• 打开 macOS 终端，输入 ifconfig，在输出列表中若能看到 utun0、utun1 或 utun2 设备且分配了 IP 地址（如 198.18.0.1），说明 TUN 模式已成功接管 macOS 网络。

3. Android 平台：v2rayNG / Sing-box / Flclash 开启 TUN#

安卓手机端的 VpnService 本质上就是 TUN 模式。

1. 进入客户端设置，找到“V2RayN / TUN 模式设置”。
2. 将 “启用 TUN 模式” 设为开启。
3. 拨动主界面开启开关，当系统弹出 “应用程序想要创建 VPN 连接” 时，点击 “确定” 允许。

核心参数详解：#

1. stack: gvisor: TUN 模式的网络栈。可选 gvisor（Google 采用 Go 语言重写的用户态网络栈，稳定安全）、system（直接使用操作系统的 TCP/IP 协议栈，性能极强但可能存在兼容问题）或 mixed。推荐使用 gvisor。
2. dns-hijack: any:53。非常关键的设置！许多终端命令行或旧软件不向系统注册的 DNS 服务器发请求，而是写死了向 8.8.8.8:53 发送 DNS 查询。配置该项后，TUN 虚拟网卡会将所有发往 53 端口的 DNS 流量无缝强行劫持到本地代理 DNS 解析，彻底杜绝 DNS 污染。
3. mtu: 1420: 最大传输单元（Maximum Transmission Unit）。因为 TUN 模式会在原有的 IP 数据包外层再封装一层代理标头，将 MTU 稍微调小（从默认 1500 调至 1420），可以有效避免数据包二次分片（Fragmentation），显著提升网速与丢包抗性。

1. Windows PowerShell 检查 TUN 网卡与路由连通性#

打开 Windows PowerShell（无需管理员权限），运行以下指令：

1
# 执行目的：检查 Windows 系统中是否存在名为 Clash/Mihomo 的 TUN 虚拟网卡
2
# 适用系统：Windows 10 / 11 PowerShell
3
Get-NetAdapter | Where-Object { $_.InterfaceDescription -like "*TUN*" -or $_.Name -like "*Clash*" }
4

5
# 预期输出结果：
6
# Name InterfaceDescription Status MacAddress
7
# ---- -------------------- ------ ----------
8
# Clash TUN Mihomo TUN Adapter Up 00-15-5D-00-00-01
9

10
# 执行目的：测试 PowerShell 命令行在未设置 $env:HTTP_PROXY 环境变量的情况下，是否成功通过 TUN 访问海外
11
curl.exe -I https://www.google.com

• 诊断分析：
• 若 Get-NetAdapter 返回空，说明 TUN 驱动未能成功安装或服务未启动。
• 若直接运行 curl.exe https://www.google.com 成功返回 HTTP/2 200，说明 TUN 模式已成功接管了命令行网络，不再需要手动在终端中输入代理环境变量！

2. macOS Terminal 检查 utun 网卡与默认路由表#

在 macOS 终端中运行以下指令：

1
# 执行目的：检查 macOS 上的 utun 虚拟网卡列表及其分配的 Fake-IP 地址
2
# 适用系统：macOS Terminal
3
ifconfig | grep -A 4 "utun"
4

5
# 执行目的：查看系统默认路由表 (Default Gateway) 是否已成功重定向至 utun 网卡
6
netstat -nr | grep "default"
7

8
# 预期输出结果：
9
# default 198.18.0.1 UGSc utun3

• 诊断分析：若默认网关显示为 utun3（或对应的 utun 接口），说明 macOS 的全局全流量已被代理完全接管。

案例 1：开启 TUN 模式后，电脑瞬间断网，所有网页提示“无法连接到互联网”#

1
[故障诊断树]
2
现象：开启 TUN 模式后电脑瞬间全局断网
3
 │
4
 ├── Step 1: 检查客户端服务模式 (Service Mode) ──> 服务未成功安装或运行?
5
 │ ├── 是 ──> 进入【设置】重新安装服务模式，授权 UAC 提权
6
 │ └── 否 ──> 进入 Step 2
7
 │
8
 ├── Step 2: 检查网卡冲突 ──> 本地存在旧的 TAP 驱动/VMware/VirtualBox 虚拟网卡?
9
 │ ├── 是 ──> 禁用 VMware/VirtualBox 虚拟网卡，清理旧的 TAP 驱动
10
 │ └── 否 ──> 进入 Step 3
11
 │
12
 └── Step 3: 检查自动检测网卡参数 ──> auto-detect-interface 是否开启?
13
 └── 解决：配置文件添加 auto-detect-interface: true 防止路由死锁

案例 2：开启 TUN 模式后，Windows 终端或 WSL2 / Docker 依然无法访问外网#

1
[wsl2]
2
networkingMode=mirrored # 开启镜像网络模式，使 WSL2 完全共享宿主机的 TUN 网卡路由
3
dnsTunneling=true

案例 3：Windows 11 UWP 应用（微软商店/Xbox App）在开启 TUN 模式后提示无法联网#

1
# 执行目的：在 Windows 终端中一键解除所有 UWP 应用的网络回环隔离限制
2
# 适用系统：Windows 10 / 11 (需以管理员身份运行 PowerShell)
3

4
FOR /F "tokens=11 delims= " %a IN ('CheckNetIsolation LoopbackExempt -s') DO CheckNetIsolation LoopbackExempt -a -p=%a

1. 优化 MTU 规避 IP 包二次分片#

物理以太网卡的标准 MTU 为 1500 字节。开启 TUN 模式后，数据包外层会被追加加密标头。如果 TUN 网卡的 MTU 同样设置为 1500，会导致生成的加密数据包体积膨胀到 1540 字节，超过物理网卡承载上限，迫使系统将其强行拆分成两个分片包（Fragmentation），造成网速下降 30% 且 CPU 占用剧增。

• 优化方案：在 tun 配置中，将 MTU 明确指定为 1420 或 1400。

2. 避免打国服游戏时被错误代理#

开启 TUN 模式后，如果分流规则不够完善，国服游戏（如英雄联盟、王者荣耀、原神国服）的 UDP 数据包可能会被错误塞给海外代理节点，导致打国服游戏延迟从 20ms 飙升至 200ms。

• 优化方案：确保配置文件中的分流规则里放置了 GEOIP,CN,DIRECT 与 GEOSITE,cn,DIRECT 规则，确保国服游戏 UDP 数据包直接走 DIRECT 直连通道输出。

内核层网络包捕获机制：WFP 过滤驱动与 Fake-IP 物理映射#

为了更好地理解 TUN 模式为什么能够无死角捕获全盘流量，本章节深入剖析 Windows 过滤平台（WFP）与 Fake-IP 虚拟地址池的内核工作逻辑。

1. Windows Filtering Platform (WFP) 与网卡协议栈钩子#

在 Windows 10 与 11 中，普通的系统代理只是在应用层注册了 WinINet/WinHTTP 挂载点。而开启 TUN 模式后，clash-verge-service 会调用微软官方的 WFP (Windows Filtering Platform) 驱动体系。

• 内核级网络钩子 (Kernel-level Hooks)：WFP 允许驱动程序在 Windows TCP/IP 协议栈的各个层级（传输层、网络层、网络访问层）挂载过滤钩子（Callouts）。
• 全协议无缝捕获：当某款外网 3D 游戏（如 Apex Legends）或终端工具发出原始 IP 报文时，WFP 钩子在报文进入真实物理网卡之前将其截获，直接重定向给 TUN 虚拟网卡 Clash TUN。这也是为什么 TUN 模式无需软件支持代理协议，就能强制接管 UDP 游戏数据包的根本原因。

2. Fake-IP 地址池 (198.18.0.0/16) 映射逻辑#

在 TUN 模式配置文件中，通常会看到 enhanced-mode: fake-ip 与 fake-ip-range: 198.18.0.1/16 配置。这套机制彻底改变了传统代理的 DNS 解析顺序：

1
[Fake-IP 地址池与 TUN 路由协同工作流程]
2
 1. 应用程序发起 DNS 查询: chatgpt.com
3
 2. TUN 虚拟网卡接管 53 端口 DNS 请求，不向真实 DNS 发包
4
 3. 代理内核瞬间从 198.18.0.0/16 地址池分配一个保留 IP (如 198.18.0.45) 返回给应用
5
 4. 应用程序以为 chatgpt.com 的 IP 就是 198.18.0.45，立即向该 IP 发送 TCP 数据包
6
 5. TUN 虚拟网卡捕获目标为 198.18.0.45 的数据包，反查出原始域名 chatgpt.com
7
 6. 代理内核将域名与加密数据包直接打包发送至机场海外出口节点

• 三大物理优势：
• 延迟降低 100ms+：由于本地瞬间返回了假 IP 198.18.0.45，本地应用程序无需等待跨国 DNS 查询结果即可直接发送数据，首包响应速度极快。
• 彻底杜绝 DNS 污染：GFW 试图对 DNS 查询注入假 IP 的攻击完全失效。
• 精准域名分流：海外出口节点拿到原始域名后在远端进行解析，保证了 CDN 节点的最佳匹配。

终端开发者场景：彻底解决 Git SSH、Docker 与各语言包管理器代理难题#

对于程序员和开发人员而言，TUN 模式简直是提升开发效率的神器。传统开发流程中，各种工具的代理配置极其混乱：

1. 彻底解决 Git SSH ([email protected]) 连接超时#

许多开发者在终端中配置了环境变量 export http_proxy=http://127.0.0.1:7890，发现 git clone https://github.com/xxx 可以加速，但是使用 git clone [email protected]:xxx 时依然卡死报错。

• 原因分析：HTTP 环境变量只对 HTTPS 协议生效。Git SSH 采用的是 22 端口与原生 SSH 协议，完全忽略 HTTP 环境变量。
• TUN 模式解法：开启 TUN 模式后，由于 any:53 劫持与全局 IP 路由接管，发往 github.com 22 端口的 SSH 数据包被 TUN 虚拟网卡无缝捕获并代理转发，无需在 ~/.ssh/config 中编写任何复杂代理脚本，即可直接实现 Git SSH 的极速拉取！

2. 开发者包管理器（Npm / Pip / Maven / Cargo / Go module）无感加速#

在开发过程中，安装依赖包是高频操作：

• Python pip install 经常遇到下载源镜像同步不及时；
• Node.js npm install 或 Rust cargo build 拉取海外依赖库频繁超时。
• TUN 模式无感体验：开启 TUN 模式后，你无需再为每个包管理器单独配置临时代理参数，直接在终端中运行标准安装指令，所有流量均会被 TUN 网卡自动接管并加速。

旁路由 / 软路由 (OpenWrt / iStoreOS) 局域网 TUN 全局透明代理配置#

除了在单台电脑或手机上开启 TUN 外，许多极客选择在 OpenWrt 软路由上运行 Clash / Mihomo 内核的 TUN 模式，为全家所有设备提供透明代理服务。

1. 软路由 TUN 模式架构原理#

在 OpenWrt 旁路由中开启 TUN 模式后，软路由作为局域网网关（Gateway）。电视盒子（海信/索尼/Apple TV）、游戏主机（PS5/Switch/Xbox）无需安装任何代理软件，只需将其网络设置中的“网关”和“DNS”指向软路由 IP。

2. OpenWrt 内核配置核心参数#

1
# OpenWrt 软路由透明代理 TUN 配置范例
2
tun:
3
 enable: true
4
 stack: system # 软路由 Linux 内核推荐使用 system 栈获得极限吞吐
5
 auto-route: true
6
 auto-redirect: true # 关键参数：开启 Linux iptables/nftables 透明重定向
7
 auto-detect-interface: true
8

9
dns:
10
 enable: true
11
 listen: 0.0.0.0:53 # 监听局域网所有设备的 DNS 请求
12
 enhanced-mode: fake-ip

• 局域网无感体验：家里所有的智能设备（即使是无法安装软件的索尼电视）打开 YouTube 4K 或 Netflix 时，均能无感享受 TUN 模式带来的全自动分流与加速。

常见游戏与软件 TUN 兼容性故障排查案例#

案例 4：打外网游戏（CS2 / Valorant）开启 TUN 后提示“反作弊系统 (Vanguard / EAC) 拦截驱动”#

彻底防止 DNS 泄露：TUN 模式下的 DNS 泄露检测与防御#

开启 TUN 模式最大的隐藏价值之一，就是能够解决困扰无数用户的 DNS 隐私泄露（DNS Leak） 风险。

1. 什么是 DNS 泄露及其安全隐患？#

当你使用代理节点访问海外网站（如 OpenAI、Google、X）时，虽然你的网页内容数据包走加密代理传到了海外，但如果你的手机或电脑依然向国内运营商的 DNS 服务器（如 114.114.114.114 或本地宽带 DNS）查询这些海外域名的 IP 地址，这就构成了典型的 DNS 泄露。

• 隐私曝光：国内运营商与网络监管日志能够清晰记录下你发起的每一个域名查询请求，相当于你的外网访问轨迹完全处于公开暴露状态。
• DNS 污染拦截：国内 DNS 服务器会将海外敏感域名故意解析至不存在的假 IP 地址，导致访问报错。

2. TUN 模式如何彻底封堵 DNS 泄露#

传统的“系统代理”模式无法阻止某些顽固软件直接向系统注册的硬件 DNS 发发包。而在 TUN 模式下，结合 dns-hijack: ["any:53"] 规则：

• 53 端口强制重定向：操作系统中所有应用程序发出的底层 UDP/TCP 53 端口 DNS 请求，在触达物理网卡前就会被 TUN 虚拟网卡拦截。
• Fake-IP 闭环防护：代理内核在本地分配 Fake-IP 后，真实域名查询以加密形式随代理管道传送到机场海外出口节点，由海外节点直接向 Google DNS (8.8.8.8) 或 Cloudflare DNS (1.1.1.1) 发起解析。整个过程没有任何数据包接触国内 DNS 服务器。

3. DNS 泄露实测校验工具与验证步骤#

验证你的 TUN 模式是否真正封堵了 DNS 泄露：

1. 保持 TUN 模式开启，打开浏览器访问专业检测网站 https://browserleaks.com/dns 或 https://dnsleaktest.com。
2. 点击 “Extended Test” (深度测试) 按钮。
3. 查看结果判定：

• 安全无泄露 [PASS]：检测出的所有 DNS 服务器 IP 全部属于海外（如 Cloudflare、Google、或机场出口机房所在的香港/日本/美国 IP）。
• 存在泄露危险 [FAIL]：列表中出现了中国电信、中国移动、中国联通或 114 的 IP 地址，说明 TUN 模式未成功开启 DNS 劫持，需检查 dns-hijack 配置。

Linux 操作系统 TUN 模式高级配置与 Headless 服务器部署#

在 Linux（如 Ubuntu、Debian、CentOS）系统中，TUN 模式同样是实现全局透明代理的核心工具，特别是在没有图形界面的 Headless 服务器环境。

1. Linux 内核 TUN 模块与权限赋予#

Linux 内核原生支持 /dev/net/tun 设备。要在 Linux 系统中无 Root 权限报错地运行 Clash / Sing-box TUN 模式：

1
# 执行目的：检查 Linux 系统内核是否加载了 tun 模块
2
# 适用系统：Ubuntu / Debian / CentOS
3
lsmod | grep tun
4

5
# 若无输出，手动加载 tun 内核模块
6
sudo modprobe tun
7

8
# 为代理可执行文件 (如 mihomo-linux) 赋予网络管理 Capabilities 权限
9
# 允许其在无需 root 的情况下创建和配置 tun0 虚拟网卡
10
sudo setcap cap_net_admin,cap_net_bind_service=+ep ./mihomo-linux

2. Linux 命令行手动校验 tun0 设备与路由#

1
# 执行目的：查看 Linux 下 TUN 虚拟网卡状态
2
ip addr show tun0
3

4
# 执行目的：查看 Linux 主路由表中默认网关是否已重定向至 tun0
5
ip route show default

• 预期输出：default dev tun0 scope link。此时 Linux 服务器上运行的所有后台服务、Docker 容器以及用户 Shell 终端将全盘被代理重定向接管。

代理关闭后系统网络异常的紧急拯救恢复命令#

许多用户在使用 TUN 模式时，遇到过“突然断电、软件崩溃退出后，电脑彻底无法上网”的紧急故障。这是因为 TUN 模式修改了系统的底层路由表，软件异常退出时未能优雅还原路由所致。

以下提供 Windows 与 macOS 下的一键救急恢复命令：

Windows 系统一键重置网络命令#

打开管理员身份的 PowerShell，依次运行以下指令：

1
# 1. 重置 Windows Winsock 网络目录 (清理异常的网卡挂钩)
2
netsh winsock reset
3

4
# 2. 重置 IP 协议栈路由
5
netsh int ip reset
6

7
# 3. 清理系统 DNS 缓存
8
ipconfig /flushdns

• 运行完毕后重启 Windows 电脑，系统默认路由表将被自动修复，网络瞬间恢复正常。

macOS 系统一键重置网络路由命令#

在 macOS 终端中运行以下指令：

1
# 1. 强制清理 macOS 系统的网络路由表
2
sudo route -n flush
3

4
# 2. 重置 DNS 缓存服务
5
sudo killall -HUP mDNSResponder

• 运行完毕后，在【系统设置 -> 网络】中重新切换一次 Wi-Fi 开关即可还原默认网络配置。

Sing-box 客户端 TUN 模式原生 JSON 配置文件范例与参数深度拆解#

作为新一代高性能开源代理内核，Sing-box 在 TUN 模式的效率与内存开销方面表现极其出色。对于从 Clash 迁移到 Sing-box 的技术用户，理解其原生 JSON 格式中的 TUN 模块定义至关重要。

以下提供一份生产级别的 Sing-box inbounds.tun 模块配置范例：

1
{
2
 "log": {
3
 "level": "info",
4
 "timestamp": true
5
 },
6
 "dns": {
7
 "servers": [
8
 {
9
 "tag": "dns-remote",
10
 "address": "https://1.1.1.1/dns-query",
11
 "detour": "🚀 节点选择"
12
 },
13
 {
14
 "tag": "dns-direct",
15
 "address": "223.5.5.5",
16
 "detour": "direct"
17
 }
18
 ],
19
 "rules": [
20
 {
21
 "outbound": "any",
22
 "server": "dns-direct"
23
 },
24
 {
25
 "clash_mode": "Direct",
26
 "server": "dns-direct"
27
 },
28
 {
29
 "geosite": "cn",
30
 "server": "dns-direct"
31
 }
32
 ],
33
 "strategy": "ipv4_only"
34
 },
35
 "inbounds": [
36
 {
37
 "type": "tun",
38
 "tag": "tun-in",
39
 "interface_name": "sing-tun",
40
 "inet4_address": "172.19.0.1/30",
41
 "auto_route": true,
42
 "strict_route": true,
43
 "stack": "gvisor",
44
 "sniff": true,
45
 "sniff_override_destination": true
46
 }
47
 ],
48
 "outbounds": [
49
 {
50
 "type": "selector",
51
 "tag": "🚀 节点选择",
52
 "outbounds": ["香港 01 | IEPL 专线"]
53
 },
54
 {
55
 "type": "direct",
56
 "tag": "direct"
57
 }
58
 ]
59
}

Sing-box TUN 核心参数注解：#

1. "interface_name": "sing-tun"：在操作系统中创建的虚拟网卡自定义名称。
2. "inet4_address": "172.19.0.1/30"：指定分配给 TUN 虚拟网卡的 IPv4 网段，占用极小的掩码子网，防止与其他局域网网段重叠。
3. "sniff": true 与 "sniff_override_destination": true：开启应用层流量嗅探（Sniffing）。当 TUN 网卡捕获到无法识别域名的原始 IP 数据包时，通过分析 TLS ClientHello 中的 SNI 标头，自动还原出真实的域名，从而触发精准的规则匹配。

双网卡与多网络接口场景下的 TUN Metric 优先级竞争调优#

在复杂的网络环境中，许多电脑同时连接了有线以太网与无线 Wi-Fi，或者插有 4G/5G 随身 Wi-Fi 模块。这种多网卡环境下开启 TUN 模式，极其容易发生路由 Metric 优先级竞争冲突。

1. Windows 网络接口跃点数 (Interface Metric) 竞争机制#

Windows 操作系统通过“跃点数 (Metric)”决定优先从哪张网卡发出数据包。跃点数越小，优先级越高。

• 冲突现象：在同时连有 Wi-Fi 和有线网卡的电脑上开启 TUN 模式，发现系统没有将默认路由切换给 TUN 网卡，导致某些流量依然悄悄走有线网卡直连泄露。
• 手调命令：打开管理员 PowerShell，调整 Clash TUN 虚拟网卡的跃点数至最小值（如 1）：

1
# 查看所有网卡的 Metric 跃点数
2
Get-NetIPInterface
3

4
# 手动将 Clash TUN 网卡的 IPv4 跃点数修改为 1 (最高优先级)
5
Set-NetIPInterface -InterfaceAlias "Clash TUN" -InterfaceMetric 1

调整完成后，操作系统将毫无悬念地把 TUN 网卡设为最高优先级入口，确保全盘流量无漏网。

高并发场景下 TUN 虚拟网卡内存回收与套接字描述符调优#

在日常使用中，绝大多数用户的局域网并发连接数只有几百个。但是对于需要在本地运行自动化爬虫程序、并发拉取海量图片库、或者进行多线程大文件压测的高级技术用户而言，开启 TUN 模式后可能会面临高并发场景下的句柄耗尽与内存溢出风险。

1. 文件描述符 (File Descriptors) 限制与句柄溢出#

在 Linux 与 macOS 操作系统中，每一个由 TUN 虚拟网卡接管并建立的 TCP/UDP 连接，在底层内核中都对应着一个文件描述符 (fd)。

• 默认上限局限：操作系统给单个进程（如 Mihomo / Sing-box）默认分配的 ulimit -n 文件描述符上限通常为 1024 或 4096。
• 溢出崩溃现象：当自动化程序发起数千个并发 TCP 请求时，代理内核会弹出 too many open files 错误，导致 TUN 虚拟网卡停止响应，系统全盘断网。
• 调优解除方法：在启动代理客户端前，在终端中提升系统的文件描述符限制：

1
# 在 Linux / macOS 终端中解除文件描述符限制
2
ulimit -n 65536

2. gVisor 内存回收与 TCP Socket 垃圾回收 (GC)#

在 TUN 配置中如果选择了 stack: gvisor，内部的 TCP 状态机在经历 TIME_WAIT 与 FIN_WAIT_2 阶段时，依靠 Go 语言原生的垃圾回收机制 (GC) 释放内存。

• 内存积压防范：高并发压测后，如果发现代理内核占用内存居高不下（如从 50MB 飙升至 800MB），属于正常的状态机延迟回收现象。当系统空闲 1 到 2 分钟后，TUN 内核会自动释放已断开连接的 Socket 内存空间，无需手动重启应用。

3. 多网卡环境下的自动重路由机制与接口跃点数动态更新#

在使用带有移动 5G 网卡与无线 Wi-Fi 的双网卡移动设备上开启 TUN 模式时，系统的底层路由动态变更非常频繁。

• 物理接口动态切换响应：当你在室外断开 Wi-Fi 自动切换至 5G 移动网络时，操作系统的默认路由主接口发生了改变。如果代理内核没有配置 auto-detect-interface: true，TUN 网卡依然试图向已失效的 Wi-Fi 物理网卡发送加密数据包，导致全盘网络死锁。
• 内核检测机制：开启 auto-detect-interface 后，代理内核会通过监听系统的 Network Change Notification（网络变更通知事件），在毫秒级时间内自动将加密套接字重新绑定至新的 5G 物理网卡，从而保证了 TUN 模式在移动场景下的无感无断流使用。

与此同时，在配置 TUN 模式的日常维护中，用户还需注意及时更新客户端内核（如 Mihomo 或 Sing-box 内核版本）。随着操作系统（特别是 Windows 11 与 macOS 最新大版本）对网络驱动与虚拟化框架的升级，新版内核能够修复多网卡环境下的挂钩漏洞，进一步保障 TUN 模式的极速与无感体验。

常见问题 FAQ#

Q1：TUN 模式开启后，还需要开启“系统代理”开关吗？#

答：不需要。TUN 模式已经在系统内核层接管了包括浏览器在内的全盘所有 IP 流量。“系统代理”开关主要用于只接管浏览器等支持 HTTP 代理应用的小范围场景。开启 TUN 模式后，你可以放心关闭“系统代理”开关。

Q2：开启 TUN 模式会增加电脑的 CPU 和内存消耗吗？#

答：消耗极小且完全可以忽略。现代 Mihomo 内核在 stack: gvisor 或 stack: system 架构下经过了高度优化，处理 IP 报文的额外 CPU 占用通常低于 1%-3%，内存开销仅增加数兆字节，对现代电脑性能没有任何可感知的负面影响。

Q3：开启 TUN 模式打外网游戏可以替代专业的电竞加速器（如奇游/迅游）吗？#

答：如果你的机场包含优质的 IEPL/IPLC 专线，完全可以替代电竞加速器。因为 TUN 模式支持全盘接管游戏 UDP 数据包，配合专线的零丢包低延迟特性，效果丝毫不亚于传统游戏加速器。但如果你使用的是普通公网中继或直连机场，晚高峰丢包较高，体验可能不如专注游戏加速的服务。

Q4：提示“Service 安装失败”或“权限不足”怎么处理？#

答：这通常是因为 Windows UAC 提权被第三方杀毒软件（如 360、腾讯电脑管家）拦截。解决方法是暂时关闭杀毒软件，右键点击 Clash Verge 选择“以管理员身份运行”，然后重新在设置中点击安装服务模式。

Q5：TUN 模式下的 stack 选项选 gvisor 还是 system？有什么区别？#

答：强烈推荐选择 gvisor。gvisor 是 Google 开发的用户态网络栈，虽然理论峰值吞吐比 system 稍微低一丢丢，但兼容性极其优秀，绝不会引发系统崩盘；而 system 直接调用系统内核网络栈，在个别带有复杂虚拟网卡（如 Hyper-V、Docker）的 Windows 机器上可能导致网络配置死锁。

Q6：开着 TUN 模式可以进行迅雷 BT 下载或 P2P 传输吗？#

答：不建议。BT/P2P 下载会产生海量的并发 UDP/TCP 连接，不仅会瞬间刷满你的机场订阅流量，还可能因为被版权机构检测到盗版下载，导致机场节点的海外机房服务器收到 DMCA 警告而被封禁。

Q7：为什么关闭 Clash 软件后电脑依然无法上网？#

答：这是因为软件非正常退出（如强制关机或崩溃）时，没来得及将系统路由表还原。解决方法：再次打开 Clash Verge，开启 TUN 模式然后再正常点击关闭；或者在 Windows 终端中运行 netsh winsock reset 重置网络协议栈并重启电脑。

结论#

TUN 模式是解决“游戏、命令行、WSL2、Docker 及 UWP 应用不走代理”的终极技术方案。它打破了传统系统代理仅在应用层注册 HTTP 端口的物理局限，在内核层为整台设备构建了全流量接管的网关通道。

在日常使用中，推荐的标准配置习惯为：

1. 权限保障：在 Windows 上安装“服务模式” (Service Mode)，在 macOS 上安装 Helper 并允许系统网络扩展。
2. 内核设置：在 YAML 配置中指定 tun.enable: true、stack: gvisor、dns-hijack: ["any:53"] 以及 auto-detect-interface: true。
3. 分流防护：保持 GEOIP,CN,DIRECT 规则，确保国服游戏与国内通信不受影响，享受稳定、全盘无死角的极速科学上网体验。