Clash 的 TUN 模式和系统代理有什么区别

Clash 的 TUN 模式和系统代理的本质区别，在于流量的处理层级与系统权限的介入深度。系统代理（如 PAC、PAC + GFWList）仅在应用层拦截特定进程的请求，依赖应用程序主动遵循系统代理设置，而 TUN 模式则在操作系统内核层面构建虚拟网络接口，实现对所有网络流量的统一接管——无论应用是否支持代理，只要走系统网络栈，就会被 TUN 捕获并路由。这种差异导致两者在行为表现上截然不同：系统代理可能因某些应用绕过代理或使用私有协议失效，而 TUN 模式能覆盖更完整的网络路径，包括系统服务、后台更新、甚至部分加密隧道。

实际使用中，你若发现某些应用（如微信、钉钉、游戏客户端）始终无法走代理，或提示“连接失败”“证书错误”，但浏览器却正常，这通常是系统代理未生效的表现。此时应检查 Clash 是否已正确启用系统代理（系统设置中代理状态为“已开启”），且该应用是否明确禁用了系统代理（如部分 App 会自行配置 SOCKS5 连接，不读取系统设置）。而当你发现即使关闭了系统代理，仍能访问外网，或看到日志中大量来自 `tun0` 接口的流量，那就是 TUN 模式正在工作。它会在系统中创建一个虚拟网卡，所有出站数据包经由该接口被 Clash 内部规则匹配并转发。

要判断当前模式，最直接的方式是查看 Clash 日志输出。在 TUN 模式下，你会看到类似 `[TUN]` 或 `[TUN-Interface]` 的标记，且日志中频繁出现 `TUN: incoming packet from [IP]`。同时，系统网络接口列表中会出现名为 `tun0`（或 `clash-tun`）的新设备，可通过 `ip addr show` 命令确认。若无此接口，则为系统代理模式。

操作上，进入 Clash 配置界面，选择「TUN 模式」后，必须确保以下条件满足：1. 操作系统具备 TUN 支持（Linux/macOS 通用，Windows 需安装 TAP 驱动）；2. 管理员权限运行 Clash（尤其 Windows）；3. 在系统设置中关闭“自动代理检测”或“脚本代理”等冲突项；4. 若使用全局规则，需注意部分系统服务（如 Apple ID 同步、Windows Update）可能因证书验证失败被阻断，此时应添加例外规则或使用白名单策略。 延伸阅读：PikPak 怎么保护分享出去的链接。

常见误区在于误以为启用 TUN 模式就等于“全网走代理”。实际上，只有当规则命中时才会走代理，否则仍走直连。若你希望某应用强制走代理，可为其单独配置规则，而非依赖模式切换。此外，某些安全软件（如杀毒软件、防火墙）会拦截 TUN 接口的通信，导致连接中断，此时需在安全软件中放行 Clash 可执行文件及 `tun0` 接口。

关于应届生简历自我评价怎么写实操经验，其核心在于用具体项目或任务体现技术动作而非空泛描述。例如，“参与某系统代理模块开发，负责解析 PAC 文件并集成至本地代理服务”比“熟悉系统代理原理”更具说服力。同样，对于 PikPak 分享链接的保护，关键不是简单设密码，而是结合时间限制与访问次数控制，真正实现“防扩散”。比如设置链接有效期为 24 小时、仅允许下载 3 次，这比单纯加密码更有效防止信息泄露。

最终，选择哪种模式取决于你的需求：若追求兼容性与稳定性，且主要使用浏览器、主流应用，系统代理足矣；若需要彻底控制所有网络行为，尤其是应对复杂环境（如企业网络封锁、动态域名解析），则必须启用 TUN 模式。但代价是更高的系统资源占用与潜在的兼容问题。没有万能方案，只有适配场景的权衡。