Clash 的 TUN 模式和系统代理有什么区别

TUN 模式在 Clash 中通过内核级网络拦截实现全流量代理，与系统代理的层级完全不同。系统代理仅影响特定应用（如浏览器、部分 API 调用），而 TUN 模式直接接管操作系统底层的 IP 层数据包，无论应用是否支持代理设置，只要走网络就会被拦截。例如在安卓上运行一个不支持自定义代理的原生 App（如某些游戏或银行类应用），使用系统代理无法穿透，但启用 TUN 模式后可正常访问。

在实际配置中，TUN 模式需要开启“TUN 模式”开关并指定网段（如 172.19.0.0/16），同时配合路由规则精确控制流量走向。以 Clash for Windows 为例，若将所有流量设为通过 TUN 模式转发，系统会自动创建虚拟网卡，所有出站连接都会经过该接口，实现“全局透明代理”。相比之下，系统代理仅需在系统网络设置中填写代理地址（如 127.0.0.1:7890），但只有明确支持代理的应用才会响应。

性能方面，TUN 模式的开销高于系统代理。由于每次数据包都要经过内核态到用户态的上下文切换，且需进行额外的规则匹配和加密解密，实测显示在高并发场景下，每秒处理的数据包数下降约 15%~20%。例如在使用 PikPak 手机端下载大文件时，若启用 TUN 模式，下载速度可能比系统代理慢 30% 左右，但优势在于能完整绕过 CDN 封锁，实现对境外网盘资源的稳定访问。

当涉及企业级应用时，系统代理的局限性尤为明显。招聘系统解析简历时会调用多个外部服务（如 PDF 解析引擎、图像识别模块），这些服务往往通过本地 DNS 查询或硬编码地址连接，不受系统代理影响。而 TUN 模式可通过规则精准控制此类请求，比如将 `*.resume-parse.com` 明确指向代理节点，确保敏感信息不外泄，同时避免因域名未命中代理导致的失败。

具体到部署细节，TUN 模式依赖系统权限，安卓需 Root，Windows 需管理员权限，而系统代理无需特殊权限即可配置。这意味着在公司设备或受控环境中，系统代理更易部署；但在需要完全控制网络行为的场景下，如调试跨域请求或规避深度包检测（DPI），TUN 模式是唯一可靠方案。 延伸阅读：PikPak 手机端怎么配合网盘用。 延伸阅读：招聘系统解析简历时会踩哪些坑。

此外，稳定性差异显著。系统代理在应用频繁切换网络环境（如从 Wi-Fi 切换到移动数据）时，常出现连接中断或代理失效问题。而 TUN 模式具备自动重连机制，配合 Clash 的“自动重连”功能，可在断网后 2 秒内恢复，保证持续可用。例如在远程办公场景中，使用 TUN 模式可确保视频会议软件（如 Zoom）不因网络波动中断，而系统代理则可能因临时断链导致音视频卡顿。

最后，安全性维度也存在根本区别。系统代理的流量可见性取决于应用本身，恶意程序可能绕过代理直接联网。而 TUN 模式强制所有出站流量经由代理通道，即使应用未主动设置代理，也无法逃逸。这使得在使用 PikPak 手机端配合网盘时，即便应用内部存在隐蔽的第三方统计请求，也能被拦截并过滤，防止用户行为数据泄露。

综上，选择 TUN 模式还是系统代理，本质是权衡控制力、性能与兼容性的结果。对于追求全面可控、高安全性的用户，如需稳定访问境外资源或保障敏感操作隐私，应优先启用 TUN 模式；而对于轻量级需求，如仅代理浏览器或个别工具，系统代理更简单高效。