TUN 是什么？和「系统代理」根本差别在哪里
在日常使用 Clash 时，很多用户会先打开「系统代理」，让浏览器、部分桌面应用把 HTTP/HTTPS 流量送到本机的 mixed-port 或 SOCKS 端口。这种方式简单直观，但有一个结构性局限：它依赖应用程序主动“愿意”使用系统代理。不少游戏启动器、对战平台、语音软件与 P2P 组件会忽略系统代理，直接发起TCP/UDP 的 IP 层连接，结果就是你明明看到 Clash 已显示连接成功，但游戏延迟依旧异常，或语音断断续续。
TUN（虚拟网卡 / 三层隧道）的思路完全不同：由操作系统把符合条件的 IP 数据包导向一块虚拟网卡，Clash 在内核或用户侧栈里把这些包捡起来，再按规则分流决定直连还是进入某个代理出站。对绝大多数应用来说，这就像多了一张“逻辑网卡”，无需应用自己支持代理，也能被统一接管。
本指南面向基于 Mihomo（Clash Meta）内核的主流客户端（如 Windows/macOS 上的 Clash Verge Rev、macOS 的 ClashX Meta 等）。不同客户端按钮名称略有差异，但底层概念一致：管理员权限、虚拟网卡/网络扩展、tun 段落配置、DNS 与路由协同。
为什么游戏、语音与 UDP 场景更依赖 TUN
网络游戏的流量特征通常是：长连接、低延迟敏感、大量 UDP（语音、状态同步、反作弊心跳等）。如果你只用系统代理，常见问题包括：
- 进程不走代理端口：可执行文件直接绑定网卡出站，浏览器正常但游戏不正常。
- UDP 路径不一致：部分工具对 TCP 做了环境变量注入，但 UDP 仍直连，导致匹配服务器分区错误或 NAT 行为异常。
- 分应用绕过：某些反作弊或加速器组件会以驱动层方式发送数据包，更不可能尊重应用层代理。
当 TUN 开启后，Clash 能在更底层把TCP 与 UDP 一并纳入同一套规则与策略组。再结合订阅里已经写好的 GEOIP、DOMAIN-SUFFIX、IP-CIDR 等规则，你可以让国内对战服务器直连、海外登录与匹配走代理，减少“看起来开了代理，游戏里却没有”的错位感。
需要强调的是：TUN 不是万能的。如果节点本身不支持 UDP、或出口 NAT cone 类型不理想，依然可能出现语音不通。此时应在同一套 TUN 路径下更换协议/节点，而不是反复切换系统代理开关自欺欺人。
开启前的条件、风险与心态预期
在动手之前，请先确认下列前提，能避免 90% 的“开启即断网”：
- 客户端版本：使用仍在维护的 Meta 系客户端；过期分支可能与新系统不兼容。
- 权限：Windows 往往需要管理员权限安装 Tun 驱动；macOS 可能弹出「网络扩展」授权。
- 配置来源可信：TUN 会扩大 Clash 的流量覆盖面，请不要导入不明来路的订阅或覆写。
- 先能用系统代理：若系统代理模式都走不通，先修节点/DNS，再开 TUN。
Windows：安装驱动、管理员运行与开启 TUN
Windows 上最常见的可行路径是使用 Clash Verge Rev 一类自带 Tun 组件的发行版。建议步骤如下：
- 干净安装或覆盖升级后，首次启用 TUN 时允许驱动安装（Wintun 等），若被杀软拦截需手动放行。
- 右键或以兼容策略管理员身份启动客户端；否则路由表无法正确写入。
- 在「设置 → 网络 / Tun」中找到 启用 Tun 模式 开关，保持与当前 Profile 对应。
- 观察系统设备管理器中虚拟网卡是否出现且无黄色感叹号。
若你在升级 Windows 大版本后突然失效，通常重装客户端或「修复/重装 TUN 驱动」即可恢复。不要同时开多个声称「全局」的虚拟网卡软件，否则路由指标可能被反复改写。
macOS：网络扩展、签名与 Apple Silicon 注意点
macOS 上 TUN 往往以 Network Extension 形式出现。ClashX Meta 或 Verge 系列一般会引导你在「系统设置 → 隐私与安全性」里允许相关扩展。若你刚换机或恢复系统，请检查：
- 客户端是否为正确架构（Apple Silicon 优先原生 ARM64）。
- 是否存在旧的 VPN Profile 占用同类接口。
- 工作区 MDM 是否禁止第三方网络扩展。
与 Windows 相比，macOS 对签名与权限更敏感：请只从可信渠道获取安装包。本站下载页提供镜像与校验思路时，可优先对照官方渠道发布的校验方式，降低供应链风险。
配置里你需要认识的 tun 字段（示例说明）
图形界面背后的 Profile 仍然是 YAML。下列片段为教学示例，具体键名以你当前 Mihomo 版本文档为准，请勿盲目复制到生产环境：
tun:
enable: true
stack: system
auto-route: true
auto-detect-interface: true
strict-route: false
dns-hijack:
- any:53enable 控制总开关；auto-route 让内核把默认路由导向 Tun；strict-route 更“强硬”，可解决部分环境的分流问题，但也更容易与第三方 VPN 冲突。dns-hijack 用于把发往 53 端口的查询纳入 Clash DNS 模块，避免出现DNS 绕开代理导致的解析污染。
真实订阅里，机场可能已经写好 tun 段落；你也可以使用客户端的「覆写」功能把它与自家内网段、企业专线做共存。关键是：任何覆写都要让局域网段保持直连，不要把内网 CIDR 误伤进代理。
tun.stack：system 与 gVisor（用户态栈）怎么选
简单来说，system 把更多工作交给操作系统网络栈，吞吐量与延迟往往更好；gvisor 则在用户态实现协议栈，遇到某些畸形包或特定游戏反作弊环境时更“兼容”。没有银弹：
- 竞技类实时游戏优先尝试
system，观察 CPU 与延迟。 - 若出现莫名其妙的 UDP 丢包，可在备份配置后尝试切换栈类型对比。
- 每次只改一个变量，避免「同时改 DNS、规则、栈」导致无法归因。
DNS、fake-ip 与 TUN：三者要“商量好”
Mihomo 系列的 DNS 模块非常强大，但也最容易和 TUN 一起把人绕晕。实践建议是：
- 保持
dns.enable: true，并在订阅允许时使用enhanced-mode: fake-ip等模式以减少泄漏。 - 理解 fake-ip 是“映射层”：应用看到的可能是虚构地址，Clash 再把它还原成真实域名策略。
- 尽量让系统 DNS 指向 Clash 提供的监听地址，或在 tun 里做 53 劫持，避免查询走错出口。
如果你遇到「网页能开、游戏不能连」或相反，多半是DNS 与规则对同一个域名给出了不同答案。此时应在日志里查看具体域名命中了哪条规则，而不是反复重装客户端。
规则模式（Rule）下仍需核对的分流细节
TUN 只是把流量送进 Clash；最终走哪条出口仍由规则与策略组决定。请自查：
- 游戏相关的
DOMAIN/IP-CIDR是否被错误标成 DIRECT 或 REJECT。 - 是否误把 UDP 出口绑在不支持 UDP 的节点上。
MATCH兜底是否指向了你期望的代理组。
对多数用户而言，不建议在初学阶段手搓超长规则；更现实的做法是：信任成熟规则集 + 少量覆写，把公司内网、家用 NAS、打印机网段等放进 DIRECT。
安卓与局域网设备：顺带理解 TUN 的延伸场景
在 Android 上，支持 Mihomo 的客户端同样能使用 VPNService 形式的伪 TUN 接管；配置要点与桌面类似，但要额外注意省电策略与厂商后台斩杀。本文以桌面为主，但核心理念一致：先把 DNS、规则、UDP 支持跑通，再谈延迟优化。
若你希望游戏主机或其他设备共享代理，通常还需要网关级部署或热点共享，这已经超出单机电 TUN 的范畴；不要在未理解二层/三层路由的前提下硬开「全局」，否则很难维护。
故障排查：从“能上网”到“游戏也正常”的检查顺序
按顺序排查可以节省大量时间：
- 关闭 TUN，仅系统代理，确认浏览器访问正常。
- 打开 TUN，先访问纯 TCP 网站，再测 UDP（可用基础网络工具或游戏内置网络测试）。
- 查看日志：是被规则直连，还是确实走了代理；是否有 DNS 错误。
- 暂时关闭
strict-route、第三方防火墙/抓包驱动，排除路径冲突。 - 更换节点与传输协议（如 UDP 密集场景下对线路更敏感）。
正文同步：你可能还想问的几句话
篇幅有限，更系统的问答已写入页面结构化数据。这里用口语再压实四个高频点：开 TUN 断网先查路由与 DNS；游戏异常别只怪节点，先看进程有没有进 Clash；stack 切换是科学对照实验不是玄学；DNS 与 fake-ip 要和 hijack 一起设计。
为什么选择 Clash Meta 路线来做 TUN，而不是老旧分支
市面上仍能看到一些基于停更内核的客户端包装，它们往往在新协议、UDP 行为、路由表策略上滞后。对 TUN 这种深度介入系统的功能而言，「能用」和「敢用」不是一回事：老旧分支在遇到系统升级时，更容易出现驱动不兼容、tun 字段不支持、安全漏洞无人修补等问题。
相比之下，活跃的 Meta/Mihomo 系社区会持续跟进系统和协议变化，GUI 也能把 tun、DNS、覆写这些复杂概念封装成可视化开关。你自己在本文里已经看到，从游戏 UDP 到 DNS 污染，本质上都是在同一套规则语言下表达；这正是 Clash 的长板——与其在多个单点工具之间来回切换，不如先把内核版本、客户端维护与订阅质量这三个底座打稳。
如果你正在找一款能长期留在任务栏里、既适合日常浏览又能覆盖游戏与语音场景的客户端，不妨从本站提供的镜像入口获取已验证的安装包与更新节奏说明，把宝贵时间留给线路与规则，而不是折腾过期的安装介质。