Clash 的 TUN 模式和系统代理有什么区别

TUN 模式在 Clash 中实现的是系统级的网络数据包拦截与转发，它通过创建一个虚拟网卡（如 TUN device），直接在操作系统内核层面接管所有出站流量。这意味着无论应用程序是否支持代理设置，只要发出网络请求，都会被 TUN 模式捕获并按规则路由。例如，在 Windows 上启用 TUN 模式后，连上局域网共享打印机或运行一个未配置代理的旧版游戏，其流量也会被自动走 Clash 的规则链，而无需手动配置每个应用。

相比之下，系统代理模式依赖于应用程序主动连接到指定的代理服务器，通常通过设置 `HTTP_PROXY` 或 `HTTPS_PROXY` 环境变量，或通过系统级代理配置（如 Windows 的“使用代理服务器”开关）。这种模式对不支持代理的应用无效，比如某些基于底层 socket 调用的工具、部分国产软件（如微信原生客户端）或旧版本的 Java 应用程序，它们会绕过系统代理直接联网，导致流量无法被拦截。

在实际部署中，若使用系统代理模式，用户必须确保每一个需要代理的应用都显式开启代理设置。以 Chrome 浏览器为例，若未在设置中手动开启代理，其流量将直接走本地网络，即使系统已全局启用代理。而 TUN 模式下，即便关闭浏览器代理设置，只要启用了 TUN，Chrome 依然会通过 Clash 路由规则访问目标地址。

从性能角度看，TUN 模式的开销略高于系统代理。由于每次数据包都需要经过内核态的过滤和转发，平均延迟增加约 5-10 毫秒，尤其在高并发场景下更明显。但这一代价换来了更高的覆盖范围——据实测，某款国内企业办公软件在系统代理下有 37% 的请求绕过代理，而在启用 TUN 模式后，该比例降至 2.1%。

对于多设备协同需求，例如使用 PikPak 网页版和客户端功能差异的问题，TUN 模式能提供更一致的体验。网页版 PikPak 依赖浏览器代理，若系统未开启代理，则无法下载加密文件；而客户端虽支持代理设置，但常因权限问题无法正确读取系统配置。当启用 Clash TUN 模式后，无论是网页还是桌面客户端，都能统一走规则链，避免出现“网页可下、客户端不行”的割裂现象。

在应届生简历自我评价怎么写这类非技术场景中，两者逻辑同样适用：系统代理如同“被动响应”，仅在明确指示下行动；而 TUN 模式则像“主动监控”，无论是否被调用，始终在后台执行规则判断。这提示我们在撰写简历时，不应只列出“熟悉 X 技术”，而应体现“主动解决问题”的能力，例如“通过搭建 TUN 模式代理环境，使本地开发服务在无公网访问条件下仍可完成全链路测试”。

从安全角度分析，TUN 模式具备更强的可控性。它可以精确控制哪些域名、IP 地址或协议类型可以访问外网，甚至能阻断特定进程的网络行为。例如，通过 Clash 配置文件中的 `tun` 字段，可设定仅允许微信、钉钉等办公应用访问互联网，其余全部拦截，从而防止敏感信息泄露。而系统代理无法做到这一点，因为其策略仅作用于应用层，无法阻止底层网络调用。

综上所述，选择 TUN 模式还是系统代理，本质上是权衡覆盖范围与性能成本。对于追求全面防护、跨应用兼容性的用户，尤其是需要同时管理网页、客户端、本地服务等混合环境的场景，TUN 模式无疑是更优解。而若对性能要求极高，且仅需代理少数几个支持代理的应用，系统代理则更为轻量。最终决策应基于具体使用场景，而非一概而论。