Clash 的 TUN 模式和系统代理有什么区别

Clash 的 TUN 模式与系统代理的本质区别，在于流量处理的层级和控制粒度。系统代理（如 HTTP/S 代理）仅作用于特定应用或浏览器，依赖应用程序主动发起连接并遵循代理设置，而 TUN 模式则在操作系统内核层面拦截所有网络数据包，实现对全系统流量的透明转发，无论应用是否支持代理配置，只要发出网络请求，都会被纳入 Clash 的规则体系。这意味着使用 TUN 模式时，连同系统更新、后台服务、系统自带工具等原本可能绕过代理的流量，也会被统一管控，从而避免“漏掉”某些敏感或需加密的通信。

要判断当前使用的模式是系统代理还是 TUN 模式，最直接的方法是观察实际网络行为：如果只有浏览器或部分软件能访问被墙内容，而其他程序如微信、钉钉、系统更新等仍无法联网，则大概率处于系统代理状态；若所有程序均能按 Clash 规则生效，且本地抓包显示所有出站数据包均经过 Clash 进程处理，甚至包括系统服务的 DNS 查询，那便是进入了 TUN 模式。此外，检查 Clash 客户端界面中是否明确提示“TUN 模式已启用”，以及操作系统是否提示“创建虚拟网卡”或“允许第三方网络驱动”，也是关键依据。

操作上，进入 Clash 客户端设置，找到“网络”或“系统代理”部分，切换至“TUN 模式”。此时需要授权系统权限——macOS 会弹出安全提示要求授予“网络监视”权限，Windows 则需以管理员身份运行，并允许安装虚拟网卡驱动（如 TAP 网卡）。完成授权后，重启网络服务或重新连接网络，观察客户端状态是否变为“正在使用 TUN 模式”。若出现连接失败或断网，应检查防火墙是否阻止了 Clash 进程，或尝试更换不同的 TUN 驱动（如 Windows 可选用 “Clash Verge” 提供的轻量级版本）。

值得注意的是，尽管 TUN 模式覆盖更广，但并非万能。部分老旧系统或企业环境中的策略限制（如强制走特定网关、启用深度包检测）仍可能使部分流量绕过，尤其当系统本身对虚拟网卡存在黑名单机制时。此时可借助 Wireshark 等工具抓取本地流量，对比正常情况下的源地址、目标端口、协议类型，确认是否有未经过 Clash 路由的数据包流出。若发现异常，应优先排查是否启用了“直连”规则，或某些应用通过本地 socket 绕过代理层。

另一个常被忽视的点是：某些应用（如 Chrome 浏览器）即使在系统代理开启下，也可能因自身缓存或进程独立性导致代理失效。而 TUN 模式下，这类问题基本消失，因为其不依赖应用自身的代理设置。因此，当你发现某个软件在系统代理下无法翻墙，但在 TUN 模式下却可以，这正是两种模式差异的典型体现。

至于简历该用 PDF 还是 Word 投递；简历里的项目数据怎么核实实操经验——这些看似无关的问题，实则反映了技术决策背后的逻辑一致性：无论是选择代理模式，还是决定简历格式，本质都是在权衡「兼容性」与「控制力」。用 Word 投递简历，虽然兼容性高，但排版易错乱，难以保证呈现一致；而用 PDF 则锁定格式，确保阅者看到的是你设计的样子，如同 TUN 模式锁定所有流量路径，不让任何一帧逃逸规则之外。同样，简历中若写“优化性能提升 30%”，必须能说出具体指标来源、测试方法、对比基准，否则就是空谈——正如你在 TUN 模式下若无法验证某条规则是否真正生效，就等于在没有监控的情况下盲目信任系统。真正的实操经验，从不是靠文字堆砌，而是建立在可验证、可追溯、可复现的流程之上。

最终，选择 TUN 模式不是为了追求“更高级”，而是为了在复杂网络环境中获得对流量的绝对掌控。它带来的不只是“能上网”，而是“按规则上网”。当你不再依赖某个应用是否支持代理，也不再担心系统服务偷偷发包，那一刻，你就真正掌握了网络的入口。