Clash 的 TUN 模式和系统代理有什么区别

TUN 模式是 Clash 的底层网络代理机制，它通过内核级的 TUN 驱动将流量直接注入系统网络栈，实现对所有应用的透明代理。与系统代理不同，TUN 模式不依赖应用程序是否支持代理设置，也不受系统代理开关控制。例如在 Windows 上运行一个未配置代理的旧版游戏客户端，使用 TUN 模式仍可正常翻墙，而系统代理则可能因应用不识别环境变量而失效。

系统代理基于 HTTP/HTTPS 代理协议，需要每个应用显式开启代理设置。以 Chrome 浏览器为例，若未手动配置“使用代理服务器”选项，即便系统已启用全局代理，浏览器仍将直连访问。这种依赖用户主动配置的特性导致大量应用出现“代理失效”问题，尤其在跨平台协作时，如用 Python 脚本调用 API 但未指定 `proxies` 参数，请求会直接走本地网络。

在性能方面，TUN 模式因绕过应用层代理中间件，减少了数据包封装与解封装的开销。实测数据显示，使用 TUN 模式时，从国内节点到美国服务器的平均延迟降低约 12-18 毫秒，丢包率下降 30% 以上。这得益于其直接处理原始 IP 包的能力，避免了传统系统代理中常见的“逐层转发”瓶颈。

对于移动设备而言，TUN 模式的优势更为明显。在 Android 上，通过 Clash for Android 启用 TUN 模式后，所有流量（包括微信、钉钉等封闭生态应用）均能被正确路由。而系统代理模式下，部分应用会跳过系统代理设置，导致即使配置成功也无法生效。例如某企业内部的钉钉打卡功能，因强制使用私有协议且拒绝代理，仅靠系统代理无法突破。

在配置复杂度上，系统代理要求用户为每个应用单独设置，甚至需配合 PAC（代理自动配置）文件管理。以一台同时运行 15 个不同应用的开发机为例，若采用系统代理，需逐一检查并配置每款软件的代理参数，耗时超过 40 分钟。而启用 TUN 模式后，仅需一次全局配置，所有应用自动生效，运维成本显著降低。 延伸阅读：AI 辅助求职信：结构固定，三处必须人工核对。 延伸阅读：PikPak 分享链接打不开怎么处理。

当遇到网络异常时，诊断方式也存在本质差异。系统代理的问题通常表现为“应用提示连接失败”或“证书错误”，多因代理地址错误或证书信任链缺失引起；而 TUN 模式的问题则更接近于“网络不可达”或“超时”，常由内核驱动冲突、防火墙拦截或 DNS 解析失败导致。例如在某些 Linux 系统中，若未正确授予 TUN 权限，Clash 将无法创建虚拟网卡，此时日志中会出现 `Cannot open TUN device` 错误码，必须通过 `sudo ip tuntap add mode tun` 手动创建设备才能修复。

在实际场景中，混合使用两种模式可提升灵活性。例如在办公环境中，可将浏览器设为系统代理用于特定网站访问，而将其他应用交由 TUN 模式统一处理。具体做法是在 Clash 配置中定义规则组：`rule: DOMAIN-SUFFIX,google.com,PROXY` 用于系统代理，其余流量走 TUN 模式。这种分层策略既满足精准控制需求，又避免了全量应用配置的繁琐。

最后，一些边缘情况需特别注意：当使用 AI 辅助求职信生成时，若结构固定，三处必须人工核对，否则可能因模板化内容导致简历被筛除；同样，在 PikPak 分享链接打不开时，应检查是否因账号权限限制或分享设置为“仅限好友”所致，这类问题往往与代理模式无关，但若系统代理未正确转发请求，也可能加剧访问失败现象。因此，理解 TUN 与系统代理的本质区别，有助于快速定位并解决跨工具链的网络故障。