客户端里有两个开关：“系统代理”和“TUN 模式”。浏览器能上了，终端里的 git、curl 却还是连不上；或者开了 TUN，反而网络变得不正常。很多朋友卡在这一步，这篇就讲清楚它俩到底差在哪、该开哪个。
先说结论：日常刷网页、看视频，开“系统代理”就够了，简单也省事；碰到命令行、游戏、某些不读系统代理的 App 连不上，再开 TUN。两个别一上来都开，一次只改一个条件，出问题好排查。下面的内容小编查了 mihomo 内核文档和 Clash Verge Rev 官方文档，信息查询日期为 2026 年 11 月 7 日。
一、系统代理：靠程序“自觉”去读设置
Clash Verge Rev 官方名词解释页是这么说的：开启系统代理后，客户端会把代理地址写到操作系统约定的位置（比如 Windows 的注册表），程序自己去读，才会走代理。关键就在“程序自己去读”，不读的程序，客户端也没办法。该页面还写明，系统代理不能代理 UDP 流量。
Mac 上也是同样的逻辑。按 Apple 官方说明，您可以在“系统设置 → 网络 → 详细信息 → 代理”里看到网页代理（HTTP）、安全网页代理（HTTPS）、SOCKS 代理等选项，客户端的“系统代理”开关，本质上就是帮您改这几项。详见 Apple 支持：在 Mac 上更改代理设置。
Windows 方面，微软文档提到，面向桌面交互的 WinINet 会自动沿用用户的 Internet 选项配置，而 WinHTTP 是另一套独立的 HTTP 栈，主要面向服务和后台程序，详见 微软：WinINet 与 WinHTTP 对比。简单讲，不同程序用的网络库不一样，不是每个程序都会乖乖听系统代理的。至于哪些具体软件会无视它，小编没有查到官方清单，就不乱点名了。
二、TUN 模式：给电脑加一块“虚拟网卡”
Clash Verge Rev 官方名词解释页对 TUN 的描述是：内核创建一块虚拟网络适配器，把系统的流量引到这块网卡上，程序本身不需要做任何配置，TCP 和 UDP 都能处理。mihomo 文档里对应的是 auto-route 这项，写的是“自动设置全局路由，把全局流量路由进 TUN 网卡”。
说白了：系统代理是“请程序自己绕路”，TUN 是“在路口直接把车拦下来改道”。所以不读系统代理的命令行工具、游戏、部分客户端，开了 TUN 后也能被接管。
三、一张表看懂两者区别
| 对比项 | 系统代理 | TUN 模式 |
|---|---|---|
| 原理 | 把代理地址写进系统设置，程序自己读取 | 创建虚拟网卡，用路由把流量引进去 |
| 需要程序配合吗 | 需要，不读设置的程序不走代理 | 不需要 |
| UDP 流量 | 官方名词页写明不能代理 UDP | 官方名词页写明 TCP、UDP 都处理 |
| 权限 | 普通权限一般即可（Mac 上改锁定的系统设置可能要管理员密码） | 需要管理员或服务模式，Windows 上还可能要放行防火墙 |
| 出问题的概率 | 较低，主要是系统代理被残留 | 相对更高，可能和其他虚拟网卡、安全软件冲突 |
| 适合谁 | 主要用浏览器的朋友 | 要接管终端、游戏、其他 App 的朋友 |
注意：上表里“出问题的概率”是小编根据官方 FAQ 列出的问题类型做的归纳，不是实测数据。
四、到底该开哪个：按场景选
- 只用浏览器看网页、视频：开系统代理。排查最简单，关掉也不留痕迹。
- 终端里 git、npm、pip、curl 连不上：先确认命令行有没有读系统代理，没有的话再开 TUN。
- 游戏或某个 App 完全不走代理：开 TUN 试试。但游戏是否能连得上，还取决于节点和游戏本身，TUN 不是万能药。
- 和公司 VPN、虚拟机、安全软件共存：先别开 TUN，官方 FAQ 就提到过多网卡会冲突，详见下文第六节。
- 只想让部分网站走代理：这和 TUN 没关系，是“规则模式”的事，可以看看 推特（X）用机场打不开、一直转圈怎么办 里对规则模式的讲解。
五、Clash Verge Rev 怎么开 TUN
官方名词页写明了服务模式的作用：服务以管理员身份安装并启动，再由它拉起内核，这样内核就带有管理员权限，您不用每次都以管理员身份运行软件就能开 TUN。大致步骤如下（界面文字以您的版本为准）：
- 先按教程装好客户端并导入订阅，Windows 用户可以看 Windows 怎么用机场：Clash Verge Rev 导入订阅教程，Mac 用户看 Mac 怎么用机场：Clash Verge Rev 导入订阅教程。
- 进入“设置”，找到“服务模式”，点击安装，按系统提示授权。
- 安装完成后，在“设置”里打开 TUN 模式开关。
- 开之前建议把系统代理关掉，先单独验证 TUN 能不能用。
- 在浏览器和终端各打开一个国外网站，确认都能通。
官方 FAQ 还提到，TUN 模式需要在系统防火墙里放行内核文件 verge-mihomo 和 verge-mihomo-alpha，并说明默认的 TUN 堆栈是 GVisor。mihomo 文档里列出的堆栈选项有 system、gvisor、mixed，其中防火墙开着时，system 和 mixed 需要先放行内核程序才能用。新手保持默认就好，不用折腾。
六、开了 TUN 之后常见问题
| 现象 | 官方文档的思路 |
|---|---|
| 开 TUN 后整台电脑网络异常 | Windows FAQ 写到，系统里可能有多个网络适配器或子网与配置规则冲突，建议在网络设置里移除多余的适配器 |
| 提示“服务内核未通过安全检查，已切换到普通模式（Sidecar）” | 说明普通账户能修改内核文件或其上级目录，服务拒绝启动内核；可用管理员身份运行，或修复文件权限后到“设置 → 服务模式”重装服务 |
| 服务模式装不上 | FAQ 提到部分国产杀毒软件会拦截服务安装，需要检查安全软件 |
| 开 TUN 后 DNS 被改 | Mac 官方 FAQ 写明会把系统 DNS 改成 223.6.6.6，关闭后恢复 |
| 虚拟机、VirtualBox 异常 | mihomo 文档在 strict-route 说明里提醒，它在特定场景下可能让 VirtualBox 之类的程序异常 |
Windows FAQ 原文见 Clash Verge Rev Windows 常见问题。如果您在 Android 手机上用，思路也类似，可以对照 安卓怎么用机场：FlClash 导入订阅教程。
七、DNS 泄露要不要担心
开 TUN 的朋友常问：DNS 会不会漏？mihomo 文档里有几处相关说明，小编照实转述：
dns-hijack可以把匹配的 DNS 连接重定向到内核自带的 DNS 模块；在 Windows 上，hijack模式需要配合strict-route。- Windows 上的
strict-route会添加防火墙规则，用来避免多网卡解析造成的 DNS 泄露。 - 文档也直接写了：在 macOS 和 Windows 上，无法自动劫持发往局域网的 DNS 请求。
- Android 上如果开了“私人 DNS”，DNS 请求同样无法被自动劫持。
也就是说，TUN 不等于“DNS 一定不漏”。这些字段是给懂配置的朋友调的，新手使用订阅自带配置即可；想了解节点本身怎么传输数据，可以读读 机场节点协议有什么区别？六种主流协议一文看懂。以上内容摘自 mihomo 官方文档 TUN 页面，字段和默认行为可能随版本变化，以您使用的内核版本为准。
八、使用时的几个提醒
- 订阅链接要保密：它相当于账号钥匙，别贴在公开群里或截图里。
- 按月购买：机场服务商可能随时停运或跑路，新手别一上来就买长期套餐。
- 关软件前先关代理：官方 FAQ 提到，残留的 Windows 系统代理设置可能让您关掉客户端后断网，遇到时到系统代理设置里关掉即可。
- 客户端只走官方发布页：别下载来路不明的“整合版”。
- 遵守当地法律法规：本文只讲技术原理和操作，不构成法律意见。
常见问题（FAQ）
系统代理和 TUN 可以同时开吗？
可以同时开，但小编不建议新手这么做。一次只开一个，哪个出问题就一目了然。
开了 TUN 以后还需要开系统代理吗？
多数情况下不需要，因为 TUN 本身会接管系统流量。如果开着 TUN 某个程序仍有异常，可以再试着加开系统代理对照，看看哪种组合有效。
TUN 模式会让网速变慢吗？
小编没有做测速，也没有查到可靠的官方对比数据，所以不下结论。网速主要还是看节点线路和您的本地网络。
为什么每次开 TUN 都要管理员权限？
因为创建虚拟网卡、修改路由都是系统级操作。服务模式的意义就是装一次，之后不必每次以管理员身份运行软件。
开了 TUN 后国内网站也走代理了吗？
走不走代理取决于“规则模式 / 全局模式 / 直连模式”和订阅里的规则，不取决于 TUN。TUN 只负责把流量引进来，具体怎么分流由规则决定。
总结
系统代理靠程序自觉去读设置，简单、稳定，适合浏览器；TUN 用虚拟网卡接管流量，能管到不读系统代理的程序，但要权限、要防火墙放行，也更容易和其他网卡、安全软件冲突。先用系统代理，不够用再开 TUN，是最省心的路线。本文信息查询于 2026 年 11 月 7 日，具体以官方文档和您下载的版本为准。
参考来源：mihomo 文档：TUN、Clash Verge Rev 名词解释、Clash Verge Rev Windows FAQ、Clash Verge Rev macOS FAQ、Apple 支持文档、微软 WinINet 与 WinHTTP 对比。