Windows 上的 TUN 模式是什麼，什麼時候值得啟用
如果你在 Windows 使用 Clash Verge Rev，通常可以透過系統 Proxy 讓瀏覽器、部分桌面應用程式或支援環境變數的工具連線到 Clash。不過，並不是每個程式都會讀取 Windows 的系統代理設定。有些遊戲、命令列工具、Electron 應用程式、開發工具或自行建立 TCP／UDP 連線的程式，可能直接使用系統網路介面，因此即使瀏覽器已經可以正常連線，這些應用程式仍然會顯示無法連線、登入逾時或服務載入失敗。
TUN 模式的用途，就是在較底層的網路層接管符合條件的流量，再交由 Mihomo 核心依照規則模式、全域模式或直連模式進行處理。它不是一個「自動讓所有網站變快」的開關，也不會替你修正錯誤的節點、失效的訂閱或不合理的分流規則。正確理解 TUN 的角色很重要：它主要解決的是應用程式沒有使用系統代理這類問題，而不是取代設定檔與策略組的選擇。
啟用前也要考慮使用場景。若你只需要讓 Chrome 或 Edge 使用代理，先開啟系統 Proxy 通常足夠；若你需要處理不支援系統代理的桌面程式、某些 UDP 流量，或想確認某個應用程式是否完全繞過了系統代理，TUN 才是比較合適的測試工具。公司 VPN、零信任軟體、遊戲加速器和其他虛擬網路介面可能會與 TUN 競爭路由，因此不建議在尚未確認基本設定前就長期全域啟用。
啟用前的 Windows 檢查與權限準備
開始之前，先確認 Clash Verge Rev 已經能正常啟動，而且設定檔中至少有一個可用的代理節點與策略組。TUN 只能接管流量，不能在沒有節點的情況下建立代理出口。建議先用瀏覽器測試目前的系統 Proxy，再處理 TUN，這樣可以把「訂閱或節點本身有問題」與「應用程式沒有進入代理」分開。
- 確認 Windows 版本：Windows 10 與 Windows 11 的設定名稱可能略有不同，請以目前介面顯示的選項為準。若系統長期未更新，虛擬網路介面或驅動元件可能出現相容性問題。
- 關閉衝突工具：暫時退出其他 Clash 用戶端、VPN、代理軟體、遊戲加速器或網路過濾器。多個程式同時建立虛擬介面時，可能造成路由循環、DNS 失敗或連線忽快忽慢。
- 確認系統權限：TUN 通常需要建立虛擬網路介面或安裝相關服務，第一次啟用時可能出現 Windows UAC 管理員授權提示。只應對你確認來源可信的 Clash Verge Rev 安裝版本授權。
- 記下目前狀態：先記錄 Windows 是否已開啟系統 Proxy、目前使用的設定檔、mixed-port 或其他本機埠號，以及是否有自訂 DNS。之後若遇到問題，還原時會更容易比較。
若程式每次啟用 TUN 都要求重新安裝元件，或按下開關後立即自動關閉，可以先完全退出 Clash Verge Rev，再以系統管理員身分啟動一次。請不要為了排錯而永久關閉 Windows Defender、核心隔離或其他安全功能；如果是公司管理的電腦，則應先確認網路政策是否允許建立虛擬介面。
Clash Verge Rev 啟用 TUN 模式的分步流程
不同版本的 Clash Verge Rev 可能將功能放在「設定」、「網路設定」、「核心設定」或「Profiles」相關頁面，中文與英文介面名稱也可能不完全相同。不要只依賴某張舊版截圖；只要找到與 TUN、Service Mode、虛擬網路或 Network Stack 相關的區域，通常就能完成設定。
- 啟動 Clash Verge Rev：確認主程式已經載入，而且目前使用的是你想要測試的設定檔。若設定檔剛更新，先等待節點與規則載入完成。
- 開啟服務模式或相關權限：部分 Windows 版本需要先安裝 Service Mode，才能讓 TUN 元件以較高權限建立虛擬網路介面。按下安裝或啟用後，依 Windows 對話框完成授權，再重新開啟程式。
- 進入 TUN 設定：找到 TUN 開關後，先查看 DNS、堆疊模式、路由設定和自動路由等選項。初次使用不建議同時修改多個進階參數，否則出錯時很難判斷是哪個選項造成影響。
- 啟用 TUN：將開關切換為開啟，等待幾秒鐘，觀察狀態是否顯示已啟動。若畫面出現驅動、服務或權限錯誤，先記下完整訊息，不要連續快速重試。
- 選擇規則模式：初次測試建議使用 Rule 或規則模式。全域模式可以用於短時間排除規則因素，但不適合在未確認 DNS、公司內網與本機服務相容性前長期使用。
- 套用並重新測試：先開啟一個普通網站，再測試原本不支援系統 Proxy 的應用程式。觀察 Clash 的 Connections 或連線頁面，確認請求是否進入核心，以及最後套用的是哪個策略。
部分版本會提供「自動設定路由」、「嚴格路由」或「防止 DNS 洩漏」等選項。這些功能的實際效果取決於 Mihomo 核心版本、Windows 網卡和目前的 DNS 配置，不能把名稱直接視為所有環境都適用。一般來說，先使用預設值完成基本連線測試，再一次只調整一項設定，會比一次打開所有選項更穩妥。
規則、DNS 與 TUN 的關係：避免看似啟用卻沒有走代理
成功開啟 TUN，只代表流量有機會進入 Clash 核心；最後是否走代理，仍由模式、規則、策略組和 DNS 解析結果共同決定。假設某個網域被規則命中為 DIRECT，TUN 仍然可能正常接管連線，但核心會依設定把它送出直連。這種情況不是 TUN 失效，而是分流結果與你的預期不同。
測試時請先在連線頁面搜尋該應用程式的程序名稱、目的地網域或 IP。確認它確實出現在列表後，再查看命中的規則與策略。如果連線出現但顯示 DIRECT，可以檢查設定檔中是否有較前面的 GEOIP、GEOSITE、DOMAIN-SUFFIX 或自訂規則提前匹配。Clash 規則通常具有順序性，後面新增的規則不一定能覆蓋前面已經命中的結果。
| 觀察結果 | 較可能的原因 | 建議處理方式 |
|---|---|---|
| 連線列表完全看不到該程式 | 程式未被 TUN 接管、流量走其他 VPN，或應用程式使用特殊通道 | 確認 TUN 狀態、關閉其他虛擬網路工具，再重新啟動應用程式 |
| 看得到連線但策略是 DIRECT | 規則順序、網域分類或模式設定使請求被判定為直連 | 檢查命中規則，必要時在設定檔中加入更精準的網域規則 |
| 策略正確但仍然逾時 | 節點不穩定、DNS 解析錯誤、MTU 或長連線相容性問題 | 更換節點，分別測試 DNS 與不同協定，不要只反覆切換 TUN |
| 瀏覽器正常，某個程式無法使用 | 程式使用 UDP、QUIC、獨立 DNS 或被防火牆攔截 | 查看連線紀錄與防火牆提示，必要時暫時關閉該程式的 QUIC 進行對照 |
DNS 是另一個容易被忽略的環節。若系統先以本地 DNS 解析出錯誤結果，或應用程式自行建立 DNS 通道，單純啟用 TUN 不一定能解決問題。你可以在 Clash 的 DNS 設定中確認目前使用的解析方式，並觀察開啟與關閉 TUN 後目的地是否改變。調整 DNS 後要重新啟動受影響的應用程式，因為部分程式會快取解析結果。
如何驗證 TUN 是否生效，以及常見故障排除
測試不要只看「TUN 開關是否亮起」，而要用多個訊號交叉確認。第一步是打開 Clash 的連線列表，啟動目標應用程式並執行一個明確會產生網路請求的操作，例如登入、載入專案、更新資料或開啟遠端內容。若列表中出現對應程序或目的地，表示流量至少已經被核心觀察到。
第二步是比較策略結果。把同一個請求在規則模式與短時間全域模式下各測試一次，查看目的地、節點與錯誤訊息是否改變。若全域模式成功而規則模式失敗，通常應該回頭檢查規則和策略組；若兩種模式都失敗，則更可能是節點、DNS、憑證、MTU 或服務本身的問題。
第三步是確認應用程式沒有殘留舊連線。許多程式只在啟動時讀取網路設定，TUN 開啟後原本建立的連線不一定會重新建立。因此，修改 TUN、DNS 或模式後，請完整退出並重新啟動該應用程式。若程式由背景服務或啟動器管理，也要確認相關子程序已經一併結束。
常見錯誤與處理順序
- 開關無法保持開啟：先確認 Service Mode 是否安裝、Windows 是否允許該服務執行，以及是否有其他程式佔用虛擬介面。重新啟動 Clash Verge Rev 後再測試。
- 啟用後所有網站都無法連線：立即切回關閉 TUN，確認系統 Proxy 是否仍指向正確埠號，再檢查預設路由與 DNS。不要在網路完全中斷時反覆切換多項設定。
- 只有公司內網或印表機失效：可能是 TUN 把區域網路目的地也納入接管。檢查設定檔是否有 LAN、私有網段或本機回環位址的直連規則，並確認公司政策允許這樣調整。
- 遊戲或通話出現延遲：UDP、NAT、節點距離和伺服器區域都可能造成影響。先確認該流量是否真的需要代理，再比較 TUN 關閉、規則直連和指定策略三種狀態。
- 更新核心後突然失效：檢查 TUN 實作、服務模式和 DNS 選項是否因版本更新而改名或重設。不要直接套用其他版本的設定檔，先備份目前配置再逐項比較。
完成測試後，建議保留一份能正常工作的設定檔備份，並記下當時使用的 Clash Verge Rev 版本、核心版本、TUN 狀態和節點名稱。未來若更新 Windows、核心或 VPN 軟體，便能用同一組條件重新做 A／B 測試。若 TUN 造成無法上網，最安全的復原順序是關閉 TUN、關閉系統 Proxy、退出其他網路工具，最後再重新啟動 Windows 網路介面。
長期使用 TUN 的建議與安全邊界
TUN 適合解決明確的流量接管問題，但不代表應該在所有電腦上永久開啟。長期使用時，請定期更新 Clash Verge Rev 與 Mihomo 核心，並從可信來源取得安裝檔。更新前先匯出或備份設定，避免升級後無法判斷到底是核心行為改變，還是設定檔被覆蓋。
同時要留意隱私與帳號安全。訂閱網址通常包含識別資訊或存取憑證，不要直接貼到公開論壇、截圖或工作群組。連線紀錄可能包含你使用的服務名稱與網域，分享錯誤畫面前應先遮蔽帳號、內網主機名稱和訂閱資訊。代理工具的使用也應符合所在地法規、公司或學校的網路政策，以及各項服務的使用條款。
相較於只依賴系統 Proxy 的工具，部分簡化型代理程式在遇到不支援代理的應用程式時，往往只能要求你逐一設定環境變數，或完全無法處理底層連線；而單純全域 VPN 又可能缺乏清楚的規則、連線紀錄與策略切換。Clash Verge Rev 的優勢在於可以先用規則模式精準分流，再以 TUN 補足應用程式接管範圍，並透過連線列表逐筆確認結果，讓 Windows 上的代理設定更容易測試、回復與維護。如果你希望在相容性與可控性之間取得平衡，可以先取得適合目前平台的 Clash 用戶端，再依本文流程逐步啟用 TUN。