底层网络协议解析

系统代理与 TUN 模式有什么差异

作者：SSOne 技术文档中心 发布日期：2026-11-06 更新时间：2026-11-06 阅读时长：约 10 分钟

1. 核心技术结论

直接回答：“系统代理（System Proxy）”属于应用层（L7）协作机制，仅接管主动读取系统代理设置的软件（如浏览器）；而“TUN 模式”属于网络层（L3）虚拟网卡机制，通过在操作系统内核中创建虚拟网络适配器，全局无死角接管系统内所有 TCP、UDP 及 DNS 流量（包括命令行终端、游戏进程与专业工具）。

理解两者的本质差异，是解决“为什么浏览器能打开网页，但 Git/npm 命令行或部分客户端软件依然超时”这一高频技术难题的关键。

2. 系统代理 (System Proxy) 的运作机制与局限

直接回答：开启系统代理时，客户端会在 Windows 的注册表（Internet Settings）或 macOS 的 Network Preferences 中，将 HTTP 和 SOCKS 代理服务器地址设为本地监听端口（例如 127.0.0.1:7890）。

其运作机制高度依赖应用程序的主动遵从：

  • 天然支持的程序：Chrome、Edge、Safari、Firefox（默认遵循系统代理）以及大多数基于系统 WebKit 的应用。
  • 不支持或忽略系统代理的程序：PowerShell、CMD、Bash、Git、Node.js/npm、Python pip、Docker 容器以及绝大多数底层基于原始 Socket 通信的网络应用。
  • 局限性：系统代理通常无法有效拦截或代理非 HTTP/SOCKS 协议的 UDP 数据包，因此在需要 UDP 低延迟或特定域名解析的场景下显得力不从心。

对于常规网页检索与轻度多媒体浏览，系统代理轻量且资源占用极低，配置步骤详见《如何导入 SSOne 订阅并完成首次配置》。

3. TUN 虚拟网卡模式的底层接管优势

直接回答：TUN（Network TUNnel）模式通过在操作系统网络驱动层安装虚拟网卡（如 WinTUN），并在路由表中将默认路由指向该网卡，从而在 IP 数据包层面（OSI 第三层）劫持所有外发网络流量。

TUN 模式带来的核心优势包括：

  1. 真正的全局透明接管：无论应用程序是否配置了代理，只要产生网络通信，其 IP 数据包都会被系统内核自动投递至 TUN 虚拟网卡，由 Clash 内核统一按规则分流。
  2. 原生命令行支持：无需在终端中繁琐地 export 环境变量，git clone、curl、npm install 自动畅享加速。
  3. UDP 与 DNS 完整接管：杜绝因本地 DNS 污染导致的域名解析失败，支持代理链路上的远程 DNS 递归查询。

权限与内核要求：启用 TUN 模式需要操作系统管理员（Administrator/root）权限来安装网卡服务。在部分 Windows 环境中若与其他 VPN 虚拟网卡共存，可能会发生默认路由优先级竞争，建议在客户端中开启 Strict Route。

进入服务入口

4. 协议层级与能力全景对比表

直接回答：下表从工作协议层、接管深度、配置权限、终端支持及系统负载等多维度系统比对系统代理与 TUN 模式：

技术对比项 系统代理 (System Proxy) TUN 虚拟网卡模式
OSI 工作层级 应用层（L7）/ 传输层（L4 代理端口） 网络层（L3，直接处理原始 IP 包）
操作系统权限 普通用户权限即可修改 必须具有系统管理员 / root 权限
浏览器流量接管 完全支持，响应迅捷 完全支持，通过虚拟网卡透明接管
终端/命令行接管 不支持（需单独注入环境变量） 天然支持，无需任何终端额外配置
UDP / 复杂协议 支持受限，依客户端 Socks5 实现而定 全量透明支持，支持游戏与音频流量
系统资源消耗 极低（仅监听本地端口） 略高（虚拟网卡上下文切换有微小开销）

5. 如何在客户端中正确配置与切换

直接回答：在经过验证的 Clash Verge、Clash Party 等现代客户端中，开启 TUN 模式通常只需在“设置 → 服务模式”中点击“安装服务”，随后将“TUN Mode”开关置为开启状态即可。

注意事项：

6. TUN 模式常见技术 FAQ

推荐关闭系统代理开关。因为 TUN 模式已经在底层接管了所有经过网卡的流量，关闭应用层的系统代理设置能够减少一次本地端口转发，提升整体网络响应吞吐。

Windows 用户请右键客户端图标选择“以管理员身份运行”；macOS 用户在点击安装时需在系统弹窗中输入开机密码以允许内核扩展加载。

推荐阅读以下官方技术文档以进一步深化理解：

进入服务入口