Clash Verge 開啟 TUN 模式教程：服務模式安裝與參數設定

TUN 模式讓所有應用的流量都進入代理核心，不再依賴應用是否遵守系統代理設定。原理講解在系統代理與 TUN 的區別一文，這裡只講怎麼開、參數怎麼調。

前置條件：服務模式

建立虛擬網絡卡需要系統級許可權。Clash Verge 通過一個後臺服務（服務模式）來長期持有這個許可權，避免每次啟動都彈 UAC 視窗。

開啟「設定」，找到「服務模式」，點選安裝。Windows 會彈出 UAC 確認，macOS/Linux 需要輸入密碼。裝好後狀態顯示為「已啟用」。

開啟 TUN 開關

回到設定頁，開啟「TUN 模式」開關。此時系統裡會多出一塊名為 Mihomo 或 utun 的網路介面卡，所有流量開始經由它進入核心。瀏覽器隨便開個網頁驗證一下連通性即可。

開啟 TUN 後，「系統代理」開關可開可不開——TUN 的覆蓋範圍是系統代理的超集。保留系統代理開關的意義在於部分應用能更快感知代理存在。

值得了解的三個參數

設定頁 TUN 區域有幾個選項，預設值適合大多數人，但瞭解含義有助於排障：

• Stack（協議棧）：預設 Mixed。遇到個別應用連線異常時，可切換成 gVisor 或 System 對比測試。
• DNS 劫持：預設 any:53，把所有明文 DNS 查詢劫持進核心處理，是防止 DNS 洩漏的關鍵，建議保持開啟。細節見 DNS 與洩漏防護。
• 嚴格路由（Strict Route）：防止流量繞過 TUN 網絡卡。開啟後覆蓋更徹底，但個別區域網服務（印表機、投屏）可能受影響——遇到再關。

平臺差異速記

• Windows：必須先裝服務模式；個別 VPN 類軟體的虛擬網絡卡會與 TUN 搶路由，衝突時先停用另一方。
• macOS：首次開啟需要在系統彈窗中允許新增網路配置；如果開啟後斷網，檢查「系統設定」→「網路」裡 utun 介面的服務順序。
• Linux：服務模式基於 systemd；非 systemd 發行版需手動給核心授權 setcap cap_net_admin+ep。

驗證 TUN 是否真正生效

1. 開啟「連線」頁面，看列表裡是否出現了瀏覽器之外的程序名（遊戲、終端工具等）；
2. 命令列執行 curl ip.sb（不設任何環境變數），返回的應是代理出口 IP；
3. 用 DNS 洩漏測試確認解析也走了隧道。

遊戲場景下的 TUN 調優（UDP、延遲抖動）單獨寫在遊戲加速最佳化一文。