Clash 的 TUN 模式和系统代理有什么区别

Clash 的 TUN 模式和系统代理的本质区别，在于流量接管的层级与范围——系统代理仅作用于特定应用程序或浏览器，而 TUN 模式则在操作系统内核层拦截所有网络请求，无论应用是否支持代理配置。当你在使用 Clash 时发现某些应用（如微信、钉钉）无法正常联网，或者视频软件播放卡顿、下载速度异常，这往往不是代理设置错误，而是你误用了系统代理模式，导致部分应用绕过代理直连，从而造成网络行为不一致。

以 Windows 系统为例，若你选择“系统代理”模式，Clash 仅通过修改全局系统代理设置，将符合规则的应用流量引导至本地代理端口。但问题在于，许多现代应用（尤其是基于原生网络库或使用自定义证书验证的）会跳过系统代理，直接连接服务器。此时即使你开启了代理，这些应用依旧走的是真实网络路径，导致分流失效、数据暴露或被屏蔽。而 TUN 模式通过创建虚拟网卡，将所有出站流量强制经由内核级隧道处理，确保从系统层面彻底接管，实现真正意义上的全流量透明代理。

要确认当前模式是否正确，可查看 Clash 客户端状态栏：若显示“TUN Mode Active”，即为激活状态；若仅提示“System Proxy Enabled”，则仍处于传统代理模式。切换方式在 Clash for Windows/Clash Verge 等客户端中通常位于“配置”→“启动选项”或“运行模式”中，选择“TUN 模式”并启用。注意，开启 TUN 模式需管理员权限，且部分系统（如旧版 macOS）可能因安全策略限制无法使用。

实际操作中，常见误区包括：认为只要开了代理就万事大吉，却未检查是否真正生效。判断方法是打开命令行工具，执行 `ipconfig /all`（Windows）或 `ifconfig`（macOS/Linux），观察是否存在名为“Clash Tun”或类似名称的虚拟网卡接口。若不存在，则说明 TUN 模式未成功加载。此外，可通过访问 [https://www.iplocation.net](https://www.iplocation.net) 查看当前公网 IP 是否与代理节点一致，若显示为国内地址，说明流量未经过代理，应检查 TUN 模式是否启用或防火墙是否阻止了虚拟网卡通信。

另一个易被忽视的问题是系统级防火墙或杀毒软件的干扰。例如，Windows Defender 或某些第三方安全软件会默认阻止未知虚拟网卡的通信，导致即便开启 TUN 模式也无法上网。此时需进入防火墙设置，手动允许 Clash 进程和虚拟网卡的出入站权限。macOS 用户则需在“系统设置”→“隐私与安全性”中解除对 Clash 的限制，否则无法加载 TUN 驱动。

至于招聘软件上的打招呼语怎么写，以及 PikPak 下载任务一直显示等待的原因——前者属于用户行为优化范畴，后者涉及底层协议调度机制，二者虽看似无关，但都反映出同一个核心问题：当系统代理模式失效时，应用行为变得不可预测。比如 PikPak 若因代理中断导致无法建立连接，下载任务将长期挂起；而招聘软件若因网络环境不稳定，用户发出的问候消息可能根本未送达，这种“看似无解”的现象，实则是底层网络控制权缺失的表现。

因此，解决这类问题的第一步永远是确认是否启用了 TUN 模式。只有当系统真正接管了全部出站流量，后续的网络行为才具备可预测性。若仍存在问题，再逐项排查应用本身、证书信任、防火墙规则或服务端限速。记住，系统代理只是表象，真正的控制力来自内核层的流量拦截。