系统代理与TUN虚拟网卡模式区别：什么时候必须打开TUN

很多新手在使用Clash时常有这样的困惑：明明浏览器已经可以顺畅打开Google和YouTube，但在Windows控制台中运行‘git clone’或‘npm install’依然超时失败；打开Steam外服游戏或Epic启动器依然提示网络连接断开。

这是因为传统的‘系统代理’仅仅是一个应用层的‘建议性设置’，并不是真正的全系统底层网络接管。只有深入理解系统代理与TUN虚拟网卡模式的底层差异，才能彻底解决应用层漏网的痛点。

系统代理本质上是操作系统（Windows/macOS）提供的一个全局环境标记（如修改Windows Internet设置中的HTTP/HTTPS代理参数）。

它的局限性非常明显：它只能影响‘自觉遵守系统代理规范’的应用程序，例如Chrome、Edge浏览器以及大多数办公软件。但许多底层开发工具（如Git、Docker、终端命令行）、游戏客户端以及部分没有使用系统网络栈的软件，会完全无视这一标记，继续尝试直连公网，从而导致连接失败。此外，系统代理只能转发TCP流量，对游戏所需的UDP流量无能为力。

TUN模式（TUN interface）则是通过在操作系统内核中安装一个虚拟网络适配器（Virtual Network Adapter，如Wintun驱动）。

在TUN模式下，客户端接管了操作系统的三层IP路由表。在网络协议栈看来，这块虚拟网卡就像一条真实的物理网线一样具有最高优先级。无论什么软件，不管是浏览器、大型3D网游、命令行终端、虚拟机还是后台静默服务，只要发出任何网络数据包（无论是TCP还是UDP），都会被系统内核强制无缝引入TUN网卡中进行加密代理。

降维优势：真正的绝大多数情况下全应用接管，无需针对Git或游戏单独配置端口，彻底解决任何‘开代理却不管用’的疑难杂症。

在手机端与电脑端同时使用科学上网时，用户经常面临两套配置文件规则不同步、或者手机端规则过于庞大导致耗电增加的问题。高效的跨平台管理技巧是‘动静分离、基线统一’。可以通过私有GitHub Gist或WebDAV网盘托管一份通用的分流规则基线文件，PC端与手机端均通过订阅URL订阅该统一远程规则。

在具体策略差异上，针对移动端网络环境多变（Wi-Fi与5G基站频繁切换）的特性，在移动端客户端中应开启‘自动降级重试’和‘断网自动休眠代理’，避免手机在弱网环境下频繁发起无谓的代理连接探测。而在桌面端，由于具备稳定的有线网络与充沛的CPU算力，可以开启更激进的DNS并发解析与TUN虚拟网卡全流量捕获，最大化释放宽带性能。

何时开启：需要玩外服游戏联机、进行专业编程开发拉取代码、使用Discord语音通话，或者使用Windows UWP原生应用时，果断开启TUN模式。

开启规范：在Clash Verge Rev中开启TUN模式通常需要先安装‘服务模式（Service Mode）’，并赋予Windows管理员权限。日常办公与单纯网页浏览时，仅使用普通系统代理即可，开销更低；遇到全应用加速诉求时再一键激活TUN模式。

系统代理与TUN虚拟网卡模式的根本差异在于其接管网络流量的深度。系统代理仅对遵循系统环境变量的标准浏览器和HTTP应用生效，而无法接管命令行终端、Docker容器或在线竞技游戏。

对于程序员和重度游戏玩家，开启基于Wintun驱动的TUN模式能将整台电脑的网络数据包在网卡底层全部捕获并按规则分流，显著降低终端命令行‘无法出海’的死穴，享受全盘无死角的透明加速体验。