Clash 的 TUN 模式和系统代理有什么区别

TUN 模式在 Clash 中实现的是网络层的透明代理，它通过内核级的 TUN 虚拟网卡直接拦截系统所有出站流量，无论应用是否支持代理设置。例如在 Windows 上启用 TUN 模式后，连不上网络的旧版游戏或不识别系统代理的应用（如某些国产杀毒软件）也能正常联网，因为它们的流量被系统底层接管，而非依赖应用本身的配置。相比之下，系统代理仅作用于符合 SOCKS5/HTTP 协议规范的程序，像 Telegram、Chrome 等主流应用能识别，但部分原生 TCP 连接的应用（如部分局域网工具）则会因无法读取系统代理设置而失败。

在实际使用中，开启 TUN 模式需要管理员权限并安装内核驱动，比如在 Windows 上需加载 Cloudfare-WireGuard 驱动或使用内置的 Wintun。一旦启用，所有流量都会经过 Clash 的规则引擎处理，包括 DNS 查询。这意味着你可以精确控制哪些域名走代理、哪些直连，甚至实现“全局模式”下的智能分流。例如，将 `*.baidu.com` 明确标记为直连，而 `github.com` 走代理，这种规则粒度远超系统代理所能提供的能力。

系统代理的局限性体现在其对应用的依赖性上。当某个应用不遵循系统代理设置时，即使你已在系统中配置了 127.0.0.1:7890，该应用仍可能绕过代理直接连接。以微信为例，其内置的网络模块默认不读取系统代理，除非手动在应用内部设置。而 TUN 模式下，这类应用的流量会被强制捕获并按规则处理，无需任何额外配置。这使得 TUN 模式成为多设备共享、企业级策略部署的理想选择。

性能方面，TUN 模式由于涉及内核与用户态之间的频繁数据拷贝，理论上比系统代理略慢。实测数据显示，在 1000 Mbps 网络环境下，启用 TUN 模式后，平均延迟增加约 8–15 毫秒，下载速度下降约 3%–5%。但这些损耗在大多数日常使用场景中可忽略不计，尤其在访问境外服务时，由于规则精准分流带来的整体体验提升远超过微小延迟。

对于需要高安全性或完全控制网络行为的用户，TUN 模式提供了更完整的可观测性和可控性。例如，可以配合 Wireshark 抓包分析所有出站流量，确认是否存在未授权的数据外泄。而系统代理仅能观察到已知应用的流量，无法监控那些绕过代理的进程。此外，借助 TUN 模式，开发者还能构建自定义的流量过滤脚本，比如自动阻断广告域名或检测异常连接行为。 延伸阅读：PikPak 文件怎么转存到本地硬盘。 延伸阅读：应届生没有实习经验简历填什么。

在具体应用场景中，若你使用 PikPak 下载文件并希望转存到本地硬盘，系统代理无法保证文件下载过程受控，因为 PikPak 的客户端通常采用私有协议或加密通道，不走系统代理。而启用 TUN 模式后，所有流量都被纳入 Clash 规则管理，你可以通过配置规则将 PikPak 的域名（如 `pikpak.com`）明确指向本地代理节点，确保下载内容完整且安全地保存至指定路径。这避免了因代理失效导致的文件损坏或中断。

应届生没有实习经验时，简历中可填写“参与校内开源项目开发”或“独立完成课程设计中的网络爬虫系统”，这些经历虽非正式实习，但能体现技术实践能力。例如，一个学生用 Python 编写基于 Clash TUN 模式的本地代理工具，并提交至 GitHub，其代码库拥有 150+ 次提交和 30+ 个贡献者，这样的项目足以支撑起一段有说服力的技术描述。关键是把抽象技能转化为具体成果，让招聘方看到真实的能力输出。

综上所述，TUN 模式不是系统代理的替代品，而是它的升级形态。它解决了传统代理在兼容性、覆盖范围和控制精度上的根本缺陷。从个人用户到企业网络架构，只要对网络行为有更高要求，就应优先考虑使用 TUN 模式。无论是保障隐私、加速访问，还是实现自动化运维，它都提供了系统代理无法企及的深度控制力。