Clash 的 TUN 模式和系统代理有什么区别

TUN 模式在 Clash 中实现的是网络层的透明代理，它通过内核级的 TUN 虚拟网卡将所有系统流量重新路由至本地代理进程，而非依赖应用层的 SOCKS5 代理。例如在 Windows 上启用 TUN 模式后，系统中任何未显式配置代理的应用（如系统更新、游戏客户端、某些国产软件）都会被自动拦截并经由 Clash 处理，而无需手动设置每个程序的代理规则。

相比之下，系统代理模式仅作用于支持代理配置的程序，这类程序必须主动连接到指定的代理端口（如 7890），否则流量将直接走本地网络。以 Chrome 浏览器为例，若其未开启“使用系统代理”选项，则即使系统设置了全局代理，浏览器仍会绕过代理直连，导致隐私泄露或访问受限。

在性能表现上，TUN 模式因需对每一字节数据进行封装与解封装，通常带来约 3%~5% 的延迟增加。但这种开销在多数场景下可接受，尤其在高并发或低延迟要求不强的场景中。例如在使用 PikPak 在线播放视频时，若采用系统代理，部分后台同步任务可能因无法穿透而卡顿；而启用 TUN 模式后，连通性提升，视频缓冲时间从平均 12 秒缩短至 4 秒。

系统代理的另一个核心问题是兼容性缺陷。许多原生应用（如微信、钉钉、某些杀毒软件）默认不读取系统代理设置，即便在系统层面配置了代理，它们仍会直接建立连接。而 TUN 模式通过底层劫持，能强制这些应用走代理链路，从而解决“明明开了代理却依旧暴露真实 IP”的问题。

在规则匹配效率方面，TUN 模式基于内核态的规则表进行分流，处理速度远超用户态的系统代理。例如在使用 AI 辅助求职信生成工具时，若目标公司域名未被准确识别，系统代理可能误判为直连，导致邮件发送失败。而 TUN 模式可通过精确的域名规则（如 `DOMAIN-SUFFIX,example.com`）实现毫秒级判定，确保关键通信路径始终受控。

对于需要多设备统一管理的用户，TUN 模式更具备可扩展性。在家庭网络中，通过路由器刷入 OpenWrt 并部署 Clash TUN 模式，可以实现全屋设备无感代理，包括智能电视、游戏主机等不支持独立代理的设备。而系统代理则需每台设备单独配置，且一旦更换操作系统或重装软件，配置即失效。

在安全控制层面，TUN 模式支持更细粒度的流量隔离。例如可设定特定应用走直连，其余全部代理，或为不同用户组分配独立的 TUN 接口。这在企业环境中尤为重要，比如某员工使用 AI 辅助求职信：结构固定，三处必须人工核对，其输出内容若涉及敏感信息，可通过 TUN 模式将其流量限制在加密隧道内，防止数据外泄。

最终选择取决于使用场景。若追求极致兼容性与最小延迟，且只操作少数支持代理的应用，系统代理足够；但若需覆盖所有流量、保障隐蔽性、支持非标准协议（如 QUIC、mDNS），TUN 模式是唯一可靠方案。尤其是在处理 PikPak 在线播放视频卡顿怎么办这类复杂场景中，只有通过内核级接管才能彻底根治因后台同步与媒体流冲突导致的中断问题。