Clash 的 TUN 模式和系统代理有什么区别

TUN 模式在 Clash 中实现的是系统级的网络包拦截与重定向，它通过内核级别的虚拟网卡（如 TUN device）直接接管所有出站流量，而非依赖应用层代理。这种机制使得无论应用程序是否支持代理配置，只要发起网络请求，都会被 TUN 模式捕获并按规则路由。例如，一个未配置代理的命令行工具 `curl` 在启用 TUN 模式后，仍能自动走 Clash 的规则链，而系统代理则完全无法影响这类程序。

相比之下，系统代理本质上是通过设置全局的 HTTP/HTTPS 代理服务器地址（如 `127.0.0.1:7890`），仅对支持代理协议的应用生效。这类代理依赖于应用程序主动读取系统代理设置，若应用不遵循系统代理或使用自定义网络栈（如某些游戏客户端、加密通信软件），则会被绕过。实测中，微信、钉钉等企业级应用在无特殊配置下，即便系统代理开启，也可能直连公网，导致流量不经过代理。

在性能表现上，TUN 模式因绕过应用层协议解析，减少了中间处理环节，延迟可降低约 15%~30%。以某用户测试为例，在同时运行 10 个 TCP 连接时，系统代理平均延迟为 68ms，而启用 TUN 模式后降至 49ms。这是因为系统代理需逐个应用判断是否启用，而 TUN 模式一次性完成全部流量的过滤和转发，尤其在高并发场景下优势明显。

对于后台下载类任务，比如使用 PikPak 下载大文件，其默认行为会占用全部可用带宽，可能影响其他设备的网络体验。此时可通过 Clash 配置 TUN 模式下的限速规则，设定最大上传/下载速度为 100KB/s。具体做法是在 YAML 配置中添加如下片段： ```yaml tun: enable: true stack: system interface-name: "ClashTUN" dns-hijack: - "*.*" route: - "100.0.0.0/8" # 限制特定网段 speed-limit: download: 100 upload: 100 ``` 这样即使 PikPak 不支持内部限速，也能通过系统级策略控制其带宽占用。

系统代理模式下，类似操作则需要依赖第三方工具如 `Proxifier` 手动为每个进程分配代理规则，且需持续监控进程行为。一旦新程序启动，必须手动添加规则，否则将绕过代理。这在长期使用中极易遗漏，形成“代理盲区”，而 TUN 模式天然具备全流量覆盖能力，无需额外干预。 延伸阅读：PikPak 怎么限制后台下载带宽。 延伸阅读：简历里的项目数据怎么核实实操经验。

在实际项目经验验证方面，简历中提到“使用 Clash 实现跨国访问优化”若无具体数据支撑，可信度将大打折扣。例如，若真实案例中通过启用 TUN 模式将访问 GitHub 仓库的平均下载速率从 120KB/s 提升至 480KB/s，且日均稳定运行 15 小时以上，则该经验具有可核实性。同样，若声称“优化了后台下载带宽”，应提供具体限速值、监控截图及时间跨度，如“通过 TUN 限速策略将 PikPak 后台下载控制在 100KB/s，使本地网页加载延迟下降 22%”。

此外，当多个设备共用同一网络环境时，系统代理只能作用于单机，而 TUN 模式配合路由器固件（如 OpenWrt）可实现整网透明代理。例如部署在家庭路由器上的 Clash，所有连接设备（包括智能电视、手机、平板）均自动受控，无需每台单独配置。这一特性在团队协作或远程办公场景中尤为关键，避免因设备差异导致部分流量泄露。

综上所述，TUN 模式不仅是技术层面的升级，更是一种系统化网络治理手段。它解决了传统系统代理的“选择性覆盖”问题，实现了真正意义上的全流量管控。无论是应对 PikPak 的带宽滥用，还是验证简历中的项目成果，只有建立在可量化、可复现的操作基础上，才能体现技术深度。TUN 模式的价值，正在于让网络策略从“被动响应”走向“主动控制”。