TUN 模式全局代理完全指南：原理、配置与常见问题

「系统代理已经开着，为什么这个软件还是连不上外网？」很多人用了一段时间之后都会碰到 这个问题，而答案往往指向同一个功能：TUN 模式。要弄明白它是干什么的，得先搞清楚系统 代理为什么会失灵。

系统代理为什么不是万能的

「自动配置系统代理」的本质，是客户端修改了操作系统层面的代理设置，绝大多数浏览器和 应用在发起网络请求时会主动读取这项设置，把流量转发给本地代理端口。但这套机制建立在 一个前提之上：应用程序必须「主动遵循」系统代理设置。命令行工具、部分游戏客户端、 某些即时通讯软件，出于性能或兼容性考虑，往往会绕开系统代理设置直接发起连接，这些 流量自然无法被代理覆盖，表现出来就是「代理开着但这个软件还是不通」。TUN 模式的思路 完全不同：它不再依赖应用程序「主动配合」，而是在操作系统网络协议栈中创建一张虚拟 网卡（TUN 设备），并修改系统路由表，让几乎所有流量在离开真实网卡之前先经过这张虚拟 网卡。客户端在虚拟网卡上截获原始数据包，解析出目标地址后按路由规则决定直连还是转发 给代理节点，再重新封装发出去。因为这一过程发生在网络层，几乎不依赖应用层是否「愿意 配合」，包括 UDP 流量、命令行工具、游戏客户端在内的绝大多数场景都能被覆盖，这才是 真正意义上的全局代理。

到底什么时候必须用它

不是所有人都需要天天开着 TUN 模式，但下面几种情况基本绕不开它：某些包管理器、 git、curl 这类命令行工具默认不读取系统代理设置，只能靠 TUN 模式或手动指定代理参数 解决；部分游戏客户端与启动器出于反作弊或性能考虑，也会绕开系统代理直接连接；如果你 的应用大量依赖 UDP（比如某些实时通信、DNS over UDP），系统代理通常只处理 TCP 流量， 往往完全不生效；如果你发现好几个应用同时存在代理绕过问题，与其逐个排查逐个配置例外 规则，不如直接开 TUN 模式一次性解决，省事很多。

开启只要四步，路由规则照样生效

开启过程并不复杂：在系统代理菜单中选择「TUN 模式」（Windows 需要以管理员身份运行 客户端），首次开启时系统可能弹出安全提示或要求安装虚拟网卡驱动，选择允许即可； 开启成功后托盘图标会显示 TUN 模式已激活，此时几乎所有流量都会经过虚拟网卡，但路由 规则依然生效——国内网站按规则直连，境外流量走代理，不用担心「全局代理」会让所有 流量都变慢。

开了之后连不上，大概率是这四个原因

TUN 模式涉及创建虚拟网卡和修改系统路由表，属于相对底层的操作，因此更容易和其他同样 会改网络设置的软件产生冲突。最常见的是和传统 VPN 客户端冲突：两者都想接管路由表， 同时开通常会导致其中一方失效，建议不要同时开启；其次是部分安全软件对虚拟网卡创建 行为高度敏感，可能会拦截或报毒，需要把客户端加入信任列表；再有就是虚拟网卡驱动版本 过旧——Windows 下常用的 WinTun 驱动如果版本偏老，容易和新系统版本出现兼容性问题， 更新驱动或客户端版本通常能解决；最后如果开启后发现内网服务连不上了，检查一下路由 规则里是否正确保留了 geoip:private 直连规则，避免内网请求被错误地送进 TUN 网卡处理。遇到问题时一个通用的排查思路是：先关闭 TUN 模式确认问题是否消失， 再逐一排查上面四种情况；如果暂时解不开，也可以先切回系统代理模式，只在少数必须用到 全局代理的场景临时开一下，用完就关，减少和其他软件冲突的机会。

会不会更耗资源

由于所有流量都要经过虚拟网卡多一次封包解析，TUN 模式相比单纯的系统代理确实会带来 略高的 CPU 占用，但在现在的设备上这部分开销通常并不明显，大多数人不需要因为担心 性能而刻意回避它；只有在低性能设备或者对延迟特别敏感的场景，才建议优先尝试系统代理 模式，确有必要时再切换到 TUN 模式。