客户端里总有两个选项：TUN 模式和系统代理。很多人凭感觉开一个，能用就不管了。但这两者的工作层级完全不同，选错了会出现"浏览器能上、App 上不了"之类的怪问题。今天把原理讲透，再教你按场景选。
原理：它们在网络栈的不同楼层干活
系统代理工作在应用层：它告诉操作系统"所有应用的网络请求先经过我"。听起来很全，但有个致命弱点——应用可以不听话。很多 App（尤其是国内大厂的）会无视系统代理设置，直接自己发请求，于是出现代理"漏网之鱼"。
TUN 模式工作在网络层：它在系统里创建一张虚拟网卡，所有进出本机的 IP 包都要经过它。这是操作系统级别的接管，应用想绕都绕不过去。用个比喻：系统代理是前台登记，来客可以翻窗户；TUN 是整栋楼只留一个门，所有人都得走。
各自的代价
TUN 的代价是权限和兼容性：需要安装虚拟网卡驱动（Windows 上是 wintun），部分杀毒软件会报警，极少数老旧软件可能冲突。系统代理的代价是覆盖不全：UWP 应用、部分游戏、命令行工具经常不走代理，需要额外配置。
选择步骤：四步定案
第一步，看你的主力场景。如果主要是浏览器上网、偶尔用几个 App，系统代理足够，轻量稳定。如果要让"所有流量"都走代理（游戏、终端、各类客户端），直接上 TUN。
第二步，看你的客户端。Clash 系（Clash Verge、Mihomo Party、FlClash）都内置 TUN 开关，一键启用；v2rayNG 在安卓上走的是 VpnService，本质也是 TUN 思路。具体可参考 Clash TUN 模式科普 和 Mihomo Party 教程。
第三步，处理 TUN 的副作用。开了 TUN 后建议做两件事：把国内常用软件（杀毒、网银、办公协同）加进直连/绕过名单，避免误伤；检查 DNS 设置，确保 DNS 查询也被接管，否则会有 DNS 泄露 的风险。
第四步，验证。用 IP 查询确认出口，跑一遍 DNS 泄露检测，再打开几个平时"不听话"的 App 试试。如果一切正常，就可以长期开了。
常见问题排查
开了 TUN 之后如果遇到问题，按这个顺序查。第一，软件打不开网页：先确认 TUN 的虚拟网卡驱动装成功了，Windows 上可以在网络适配器里看到新增的网卡；没装成功就重装客户端或手动安装驱动。第二，特定软件异常：大概率是被 TUN 误伤，把它加进绕过名单。第三，网速明显变慢：检查是不是 DNS 解析走了远路，或者策略组选了高延迟节点，换个节点再测。第四，开机后 TUN 自动失效：部分客户端需要管理员权限才能创建虚拟网卡，设置开机自启时记得给足权限。
还有一个经典坑：同时开了 TUN 和系统代理。两者叠加不会"双倍加速"，反而可能互相干扰。建议只开一个，TUN 优先。
TUN 和游戏：一个常见误区
很多人开 TUN 是为了玩外服游戏，这里有个误区要澄清：TUN 接管的是"走不走代理"，不解决"代理快不快"。游戏卡顿首先看节点延迟和线路质量，TUN 只是保证游戏流量确实进了隧道。如果节点本身延迟高，开了 TUN 照样卡。正确的顺序是：先选到低延迟的节点，再用 TUN 保证流量不绕路。
另外，部分竞技类游戏对外挂和代理环境敏感，用代理登录可能触发安全验证。这是游戏厂商的风控，和 TUN 本身无关，遇到时按游戏的申诉流程处理即可。
一句话建议
新手从系统代理起步，够用就别折腾；当你开始遇到"这个 App 怎么不走代理"的灵魂拷问时，就是 TUN 登场的时候了。至于开了代理之后流量怎么分（全局还是按规则），可以接着看 全局代理、规则分流、直连模式怎么选。