系统代理 vs TUN 模式：到底差在哪里？一文彻底搞懂

很多人在使用 Clash、V2Ray、Sing-box、Nekobox 等代理工具时都会遇到同一个问题：

明明代理已经开启，浏览器能正常访问 Google、YouTube，但游戏、桌面客户端、某些软件却完全无法联网。

这是为什么？今天这篇文章就用最通俗易懂的方式，把系统代理和TUN 模式的本质区别讲清楚，帮助你快速选择合适的工作模式。

---

一、核心区别：流量拦截的层次不同

代理工具的工作模式，本质上决定了它能在哪个层面”接管”你的网络流量。

1. 系统代理模式（System Proxy）——“礼貌型”代理

工作原理：

代理客户端在操作系统设置中（Windows 注册表、macOS 网络偏好设置等）声明一个代理地址和端口。只有主动遵守系统代理设置的应用程序才会把流量发送给它。

典型表现：

• Chrome、Edge、Firefox 等主流浏览器会自动读取并使用。
• 支持 HTTP/SOCKS5 代理的软件也能正常工作。
• 大部分命令行工具（如 curl、git）可以通过环境变量配置。

优点：

• 配置简单，几乎零学习成本
• 资源占用低，速度更快
• 延迟通常更小

缺点：

• 很多软件完全无视系统代理（尤其是游戏、Electron 客户端、Steam、Epic Games 等）
• 一般只支持 TCP，不支持 UDP（打游戏、语音聊天、视频会议容易出问题）
• 分流规则只能对”听话”的软件生效

比喻：你在公司门口贴了一张”请把文件交给我”的告示，只有听话的员工会照做，其他人直接从后门走了。

2. TUN 模式（虚拟网卡模式）——“强制型”代理

工作原理：

代理工具创建一个虚拟网卡（TUN/TAP 设备），然后修改系统路由表，让所有（或指定）的网络数据包先经过这张虚拟网卡。代理程序在底层对数据包进行解析、匹配规则、加密转发。

典型表现：

• 几乎所有软件的流量都会被接管，不管它是否支持代理设置
• 支持 TCP + UDP 全协议
• 游戏、系统更新、桌面客户端全部走代理

优点：

• 真正的全局代理效果
• UDP 支持良好，游戏延迟更稳定
• 分流规则对全系统生效

缺点：

• 需要管理员/root 权限
• 资源占用稍高，可能有轻微额外延迟
• 配置不当容易导致全网断连
• 极少数游戏的反作弊系统可能会检测虚拟网卡

比喻：你在公司门口设立了强制安检通道，所有人（包括不想配合的）都必须经过检查。

---

二、实际使用场景推荐

使用场景	推荐模式	推荐理由
日常刷网页、ChatGPT、API 调用	系统代理	够快、够简单
玩游戏、用客户端软件	TUN 模式	全局覆盖 + UDP 支持
混合使用（部分走代理、部分直连）	系统代理 + 规则	灵活省资源
需要极致全局、多设备共享	TUN / 透明代理	最彻底（适合软路由）
对速度和低延迟极致敏感	系统代理优先	轻量无感

---

三、常见问题快速排查

1. 浏览器能上，外服游戏上不去 → 切换到 TUN 模式。
2. TUN 模式下部分网站打不开 → 检查分流规则、尝试关闭 GVisor 栈，或临时切回系统代理。
3. 开启 TUN 后整个网络断掉 → 路由冲突，检查虚拟网卡设置，重启客户端即可恢复。
4. 权限问题 → Windows 建议以管理员身份运行，或安装为系统服务；macOS/Linux 需要 sudo。
5. 进阶方案：Proxifier（按进程规则代理） + 系统代理组合使用，可实现更精细控制。

---

四、总结

系统代理是轻量、依赖合作的”君子协议”；TUN 模式是霸道、底层强制的”全局接管”。

理解了二者的本质区别，你就不会再被”开了代理却没效果”困扰。选择哪种模式，取决于你的实际需求：日常轻度使用选系统代理，需要彻底全局就上 TUN。

---

参考视频：Bilibili 搜索《系统代理和 TUN，到底差在哪？》（UP 主：飞行认知），短短 3 分 44 秒，动画演示非常清晰，建议配合观看。