在 Windows 上使用 Clash Verge Rev 时，普通系统代理只能接管遵循系统代理设置的浏览器和桌面应用；一些游戏、命令行工具、UWP 应用或自行建立网络连接的软件，可能完全绕过这条路径。TUN 模式通过创建虚拟网络接口接管系统层面的 IP 流量，再交由 Mihomo 核心按照规则分流，因此能够覆盖更多应用。本文以 2026 年常见的 Clash Verge Rev 界面为例，详细说明管理员权限、TUN 开关位置、DNS 配合、配置验证以及无法联网时的处理方法。

先理解 TUN 模式解决了什么问题

TUN 可以理解为一个由代理核心创建的虚拟网卡。Windows 应用发出的 TCP、UDP 流量先进入这个虚拟接口，Mihomo 根据域名、IP、进程或规则集判断应该代理还是直连，随后再将流量转发到目标地址。与仅修改浏览器代理地址相比，TUN 不依赖应用是否支持 HTTP 或 SOCKS 代理，所以覆盖范围更广。

两种工作方式的差异可以概括为：

  • 系统代理：通常只影响读取 Windows 代理设置的应用，配置简单，适合浏览器和常规桌面软件。
  • TUN 模式：在网络层拦截更多 TCP、UDP 请求，适合游戏启动器、终端工具、商店应用以及不支持手动代理的软件。
  • 透明代理：TUN 本身不是一个节点或协议，它只是流量接管方式，最终仍然要由代理组和规则决定出口。

开启 TUN 后并不代表所有流量都会自动走代理。Clash 仍然会执行配置文件中的 rules，例如命中 GEOIP,CN,DIRECT 的请求仍会直连，命中代理规则的请求才会通过当前策略组。因此，TUN 解决的是「应用流量能否进入 Clash」，而不是替你决定每个域名的分流策略。

适用建议：如果你只是想让浏览器使用代理，可以先开启系统代理；如果某个应用始终不响应代理、命令行工具无法联网，或者需要接管 UDP，再考虑启用 TUN。TUN 的权限和兼容性要求更高，不建议在不了解规则的情况下长期开启全局代理。

开启前的 Windows 准备工作

在设置 Clash Verge Rev 之前，建议先完成以下检查。很多人找不到 TUN 开关，或者开关打开后立即关闭，并不是配置写错，而是程序权限、核心版本或虚拟网卡组件没有准备好。

  1. 确认使用 Clash Verge Rev：不同客户端的菜单名称并不完全一致，本文中的「设置」「系统代理」「TUN 模式」以 Clash Verge Rev 为准。
  2. 确认核心支持 TUN：在客户端的内核或版本信息中确认当前使用的是 Mihomo（原 Clash.Meta）核心。过旧核心可能没有完整的 TUN 功能。
  3. 使用管理员权限运行：创建虚拟网络接口通常需要 Windows 管理员权限。右键程序图标，选择「以管理员身份运行」，首次安装或更新后尤其建议这样操作。
  4. 暂时关闭冲突工具：其他 VPN、网络加速器、虚拟网卡工具、旧版透明代理软件可能修改路由表，导致 TUN 启动失败或流量循环。
  5. 确认网络基础正常：先不启用 TUN，选择一个可用节点并测试普通系统代理。若节点本身不可用，直接排查 TUN 会把问题复杂化。

管理员权限并不是为了提高代理速度，而是为了允许核心执行创建虚拟网卡、设置路由和调整 DNS 等系统操作。如果客户端每次启动都没有管理员权限，TUN 开关可能显示为不可用，或者点击后没有明显反应。你也可以在 Windows 的「任务管理器」中检查 Clash Verge Rev 是否正在运行，再重新以管理员身份启动，避免同时存在两个进程。

不要随意删除虚拟网卡：如果之前安装过其他 TUN、Wintun 或 VPN 软件，设备管理器中可能存在多个虚拟适配器。除非明确知道某个适配器属于已卸载的软件，否则不要直接删除正在使用的网络设备。

在 Clash Verge Rev 中开启 TUN 模式

Clash Verge Rev 的具体界面会随版本和语言略有变化，但设置逻辑基本一致。建议按照下面的顺序操作，不要一开始就同时修改 DNS、规则和路由，否则出现问题时很难确定原因。

  1. 启动 Clash Verge Rev，确认主界面已经加载配置，并且当前配置中存在可用的代理节点或策略组。
  2. 打开左侧的「设置」页面，找到与系统代理、内核或网络相关的设置区域。
  3. 找到「TUN 模式」、「启用 TUN」或类似名称的开关。部分版本会将它放在「内核设置」或「服务模式」附近。
  4. 开启开关后，Windows 可能弹出用户账户控制提示，选择「是」以允许 Clash Verge Rev 修改网络设置。
  5. 如果界面提供「服务模式」或「安装服务」选项，按照提示完成安装。服务模式可以帮助程序在需要时获得更稳定的系统权限，但是否需要取决于当前版本。
  6. 返回主界面，重新选择一个确定可用的策略组，并观察 TUN 状态是否保持为开启，而不是自动回到关闭状态。
  7. 如客户端提示重启核心或重载配置，执行对应操作。部分 Mihomo 设置只有在核心重新启动后才会生效。

启用后常见的 TUN 选项包括接口名称、栈类型、自动路由、严格路由和 UDP 支持。入门用户通常保持默认值即可。auto-route 负责将系统路由导向 TUN 接口；strict-route 会更严格地处理路由，能够减少部分流量绕过，但在多网卡、虚拟机或公司网络环境中也可能增加兼容性问题。

如果客户端允许选择 TUN 栈，一般优先使用默认推荐项。不同 Mihomo 版本支持的栈名称和实现细节可能不同，不能简单照搬其他文章中的固定值。你真正需要关注的是：开关能否保持开启、虚拟网卡是否出现、浏览器和目标应用的请求是否能在连接列表中看到。

常见选项应该怎么选

  • 自动路由：通常建议开启，否则虚拟网卡建立后，系统可能不会把普通流量送入 TUN。
  • 严格路由：普通家庭网络可以先关闭；遇到 DNS 绕过或部分应用直连时再测试开启。
  • UDP：需要游戏、语音、QUIC 或其他 UDP 应用时再开启，并确保节点和策略支持 UDP。
  • 绕过局域网：访问打印机、NAS、路由器管理页时通常需要保留局域网直连规则，不能只依赖这个开关。
  • 混合接口或接口名称：除非你有多网卡、虚拟机或特殊路由需求，否则保持默认，避免与已有适配器名称冲突。

TUN 与 DNS、规则配置的配合

TUN 负责接管连接，DNS 负责将域名解析成地址，两者配合不好时就会出现「开了 TUN 但仍然打不开网站」「浏览器能用，某些应用不能用」等现象。Mihomo 常见的做法是使用 fake-ip，让规则尽量根据域名匹配，而不是过早依赖可能被污染的真实 IP。

如果你的配置已经由订阅服务生成，不建议直接覆盖整个 YAML 文件。可以先在客户端中确认 DNS 开关、增强模式以及 fake-ip 过滤列表，再根据实际问题调整。典型结构如下，字段是否可用应以当前 Mihomo 核心版本为准：

TUN 配合 DNS 的基础示例
dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - 223.5.5.5
    - 119.29.29.29
  fake-ip-filter:
    - '*.lan'
    - '*.local'
    - 'localhost'
    - 'time.*.com'

tun:
  enable: true
  stack: system
  auto-route: true
  strict-route: false
  dns-hijack:
    - any:53

上面的代码只是帮助理解配置关系，不一定需要手动粘贴。Clash Verge Rev 的图形界面可能会自动生成或覆盖 tun 字段。如果同时在 GUI 和 YAML 中配置同一个选项，应以客户端当前实际加载的配置为准。修改前最好复制一份原配置，出现问题时可以快速恢复。

fake-ip-filter 不能无限添加域名。局域网域名、部分游戏服务、打印机发现、路由器后台和依赖真实地址的应用，可能需要加入过滤列表；但如果把所有域名都加入过滤，fake-ip 的优势就会消失。更稳妥的方法是只针对出现故障的域名逐项排除。

如何确认 TUN 真的生效

不要只看开关颜色判断 TUN 是否工作。建议从虚拟网卡、连接记录、应用覆盖范围和 DNS 四个角度验证。

  1. 检查开关状态：重载核心或重启客户端后，TUN 仍保持开启，说明基础启动成功。
  2. 检查网络适配器：打开 Windows「设置」中的网络适配器列表，查看是否出现由 Mihomo 或 Wintun 创建的虚拟接口。名称可能因版本不同而变化。
  3. 检查连接记录：在 Clash Verge Rev 的连接页面启动一个原本不支持系统代理的应用，观察是否出现目标域名、进程或 IP 连接。
  4. 比较系统代理：关闭 Windows 系统代理，只保留 TUN，再测试命令行工具或应用。如果仍能按照规则访问，说明流量确实不再依赖系统代理。
  5. 检查策略命中：确认连接使用了预期的策略组。若连接显示为 DIRECT，不一定是 TUN 失效，也可能只是规则决定直连。
  6. 测试 UDP 场景：需要验证游戏或语音应用时，不能只用网页测试，还要确认节点、规则和核心都支持 UDP。

Windows 命令行也可以用来观察基础状态。例如，执行 ipconfig 查看网络适配器，使用 nslookup example.com 检查 DNS 响应，使用 route print 查看系统路由变化。不要仅凭某个网站显示的公网 IP 作结论，因为浏览器缓存、应用自带 DNS、IPv6 和分流规则都可能影响结果。

推荐验证顺序：先测试一个浏览器网页，再测试一个不读取系统代理的命令行工具，最后测试需要 UDP 的应用。每次只改变一个条件，并记录当前节点、规则和 TUN 状态，排查效率会高很多。

TUN 常见故障与处理方法

开关打开后马上关闭

优先检查管理员权限、服务模式和虚拟网卡冲突。完全退出 Clash Verge Rev 后，以管理员身份重新启动；如果仍然失败，暂时退出其他 VPN、加速器和透明代理软件，再尝试开启。还要查看当前 Mihomo 核心是否正常运行，核心启动失败时，前端的 TUN 开关也可能无法维持。

开启后所有网络都断了

这通常与默认路由、DNS 或代理节点不可用有关。先关闭 TUN，确认系统可以正常上网；然后选择一个确定可用的节点，恢复 TUN 的默认设置，暂时关闭严格路由，并检查是否误启用了全局代理或错误的 DNS 劫持。若网络恢复，再逐项开启高级选项。

浏览器正常，但某些应用仍然直连

检查应用是否使用 IPv6、QUIC、独立 DNS 或特殊网络接口。部分软件可能绕过系统路由，部分规则也可能明确将其设为 DIRECT。在连接页面查看该应用是否产生连接记录：完全没有记录时，重点检查 TUN、IPv6 和虚拟网卡；有记录但走直连时，重点检查规则和策略组。

网页提示 DNS 错误或加载很慢

可先将 DNS 恢复为客户端默认设置，清理 Windows DNS 缓存后重新测试。命令行执行 ipconfig /flushdns 可以清除本地缓存，但它不能修复错误的 Clash 规则。若只有局域网设备无法访问，把路由器地址、NAS 域名或 *.lan 加入合理的直连或 fake-ip 排除配置。

如何安全关闭 TUN

关闭前先停止正在进行的下载、游戏或视频连接，然后在 Clash Verge Rev 中关闭 TUN，等待几秒后再关闭系统代理。若 Windows 仍显示网络异常，可以重新连接当前 Wi-Fi 或网线，必要时重启 Clash Verge Rev。不要在 TUN 正在运行时强制结束进程，避免临时路由或 DNS 状态未及时恢复。

总体而言，Clash Verge Rev 的 TUN 配置可以按照「管理员权限、核心可用、开启自动路由、选择可用节点、逐步验证」这条路径完成。第一次配置时保持默认选项最稳妥，确认基础流量正常后，再根据游戏、局域网、IPv6 或 DNS 需求进行细化。这样既能让更多 Windows 应用使用 Clash，也能在出现问题时快速回退到普通系统代理。

立即开始

用 Clash 掌控你的流量

支持 Windows、macOS、Linux、Android 与 iOS，灵活规则，开箱即用。

免费下载 查看设置指南 →