為什麼在 Windows 上常要開 TUN 模式
許多桌面程式不會自動讀取系統 Proxy，只會照預設路由與 DNS 直接對外連線。若你只用「系統代理」或手動指定 SOCKS／HTTP，瀏覽器多半沒問題，但遊戲啟動器、開發工具、部分通訊軟體或背景更新程式，可能仍從本機網路直接出去。
TUN 模式透過虛擬網卡把流量納入核心處理，較接近「透明轉送」：由 Clash／Mihomo 決定哪些封包要進隧道、哪些可以直連。對想一次涵蓋多數應用程式的使用者來說，這通常比反覆為每個軟體單獨設代理來得省事。代價是：只要虛擬介面、驅動或路由表任一環節出錯，體感就會變成「整台電腦沒網路」，因此值得用固定流程排查。
下文以 Mihomo（Clash Meta 路線）與常見圖形介面為情境說明；請在合法合規前提下操作，本文不提供規避法規或濫用網路資源的指引。
Wintun 是什麼，和「裝不上」有什麼關係
在 Windows 上，多數 Clash 系用戶端的 TUN 會透過 Wintun 這類使用者模式驅動建立虛擬介面。你可以把它想成：作業系統多了一張「虛擬網卡」，路由與 DNS 規則能把流量導向這張卡，再由核心接手分流。
若安裝流程被擋、驅動版本殘留不相容、或安全軟體攔截，介面就無法正確建立，圖形介面可能顯示「TUN 啟動失敗」「無法安裝驅動」之類訊息。此時不要急著反覆開關同一個按鈕，先確認底層是否已有殘留或權限問題，否則只會在同一個錯誤狀態打轉。
Wintun 安裝失敗：建議排查順序
1. 管理員權限與 UAC
驅動類元件通常需要提升權限。請以系統管理員身分啟動用戶端，或在安裝／修復 Wintun 時允許 UAC 提示。若你習慣從工作列捷徑開啟，確認捷徑沒有被限制在沙箱或低權限容器內執行。
2. 舊版或重複的 Wintun 網路介面
升級用戶端或反覆實驗後，裝置管理員裡可能留下多個相關介面。可先在網路介面清單觀察是否出現異常停用項目，必要時在備份設定後移除明顯重複、名稱指向舊版驅動的介面，再重啟用戶端讓它重新建立。操作前建議建立還原點或記下原本可連線的狀態，避免一次刪過頭。
3. 防毒、EDR、公司資安代理
企業環境常見「攔截虛擬網卡驅動」或「禁止非公司 VPN」政策。家用情境下，某些即時掃描也會在驅動載入瞬間鎖檔。可暫時以排除用戶端目錄與驅動暫存路徑的方式測試（仍須衡量安全風險），或改向資訊部門確認是否允許第三方面 TUN。
4. 其他 VPN 或過濾驅動搶占
若同一台電腦同時安裝多個 VPN、廣告過濾器、或「網路加速」類軟體，它們可能各自注入 TUN／TAP 或 Winsock LSP。建議先完全結束其他 VPN，在「程式和功能」確認沒有背景服務占用虛擬介面後，再啟用 Clash 的 TUN。
TUN 開了卻「整台沒網路」：先看 DNS 還是路由
症狀常見兩種：瀏覽器顯示已連線但什麼都打不開，或連線圖示直接顯示無網際網路。兩者都可能同時存在，但切入點略有不同。
DNS 看似正常、實際解析不到
TUN 啟用後，系統預設 DNS 可能被改寫到本機或由核心代答。若核心的 dns 區塊未啟用、上游不可達、或 fake-ip 與規則不一致，就會出現「ping 得到 IP、網頁卻開不了」或反過來的混亂現象。建議搭配本站DNS 防洩漏與解析設定指南，核對 dns.enable、enhanced-mode 與 fallback 是否符合你的訂閱與法域需求。
路由與預設閘道被改壞
TUN 會改寫路由表，把應走隧道的目標導向虛擬介面。若同時存在另一個程式也在改路由，或手動靜態路由與自動下發衝突，可能出現迴圈、黑洞、或預設路由指錯介面。排查時可記錄「關閉 TUN 可恢復、開啟即失效」這個對照，代表問題高度集中在虛擬介面建立之後的幾秒內路由變更。
IPv6 與「半套隧道」
若系統優先走 IPv6，但隧道或規則只完整涵蓋 IPv4，可能出現部分網站可開、部分永遠轉圈。可暫時在測試階段觀察 IPv6 連線行為，或讓核心與系統的雙棧策略一致，避免「以為有代理、其實另一半流量仍從本機出去」。
設定檔與圖形介面：該對齊哪些觀念
不同 GUI 把選項放在不同分頁，但底下常見欄位大多能對到 Mihomo 的 tun 與 dns 區塊。實務上請至少確認：
- 啟用開關一致：GUI 的 TUN 開關與 YAML 中
tun.enable是否同一個來源，避免「介面顯示開、實際設定檔仍是關」。 - 堆疊（stack）選擇：在部分環境下，
system與gvisor等模式對相容性與效能影響不同；若預設模式異常，可在備份後嘗試另一種堆疊作為對照實驗。 - 自動路由與嚴格路由：與「哪些流量該進隧道」直接相關；過寬可能拖慢區網分享，過窄則像沒開 TUN。
- DNS 劫持或 redir-host／fake-ip 搭配：錯位時最常見的現象是少數網域永遠解析錯區域或連線逾時。
若你使用 Clash Verge Rev 等桌面用戶端，建議一併閱讀Clash Verge Rev 完整教學，把訂閱、設定檔版本與 TUN 啟動流程放在同一套敘事裡，較不容易漏掉「服務模式／開機啟動」造成的時序問題。
為什麼有些程式「還是不走代理」
即使 TUN 正常，仍有幾類例外：
- 內建硬編碼 DNS 或 DoH 的應用程式：它們可能繞過系統解析器；需靠更底層規則、或接受該程式不納入統一策略。
- 以系統服務身分執行、且早於用戶端啟動的程序：開機順序導致第一輪連線發生在 TUN 尚未建立時。
- 具簽章驅動的網路過濾或反作弊模組：可能直接在驅動層選路，與使用者模式 TUN 的優先順序不同。
遇到「只有某一個程式怪」時，先確認它是否走固定埠、固定 IP、或自己的憑證鎖定；再對照規則裡是否有意外的 DIRECT 或更高優先順序的規則集覆寫。
建議的實務排查流程（可重複驗證）
為了避免同時改太多變因而無法歸因，建議固定順序：
- 關閉 TUN，只用系統代理或手動代理確認節點與訂閱本身可用。
- 結束其他 VPN 與類似軟體，以管理員身分啟動用戶端，再開 TUN。
- 若仍失敗，檢查驅動與介面殘留，必要時修復或乾淨重裝用戶端（先備份設定）。
- 能建立介面但仍無網路時，優先檢查 DNS 與規則一致性，再檢查路由與 IPv6。
- 每完成一輪變更，重啟用戶端與瀏覽器後再測，避免舊連線快取誤導判斷。
開源核心與版本相容
Mihomo 的 TUN 與 DNS 行為會隨版本演進調整；若你想核對某欄位在當前版本的精確意義，可至 GitHub 上的 Mihomo 倉庫查閱文件與更新日誌。安裝包取得與桌面用戶端更新仍建議以本站下載頁為主，以降低「核心已升、GUI 還停在舊版」造成的行為落差。
小結
Windows 上的 Clash TUN 模式能把多數應用程式納入同一套路由與解析邏輯，但成敗高度依賴 Wintun 驅動是否乾淨載入、以及啟用後 DNS 與路由表是否與你的規則說同一套故事。相較於憑感覺反覆重裝，依序排除權限、驅動殘留、第三方 VPN 衝突，再對照 DNS 與 IPv6，通常能更快定位問題。
若你希望略過手動拼湊核心與圖形介面的時間，可改用已整合 Mihomo、並對常見 TUN／DNS 選項整理過的用戶端；與零散來源拼裝相比，這類組合在系統更新後也比較不容易出現「介面顯示正常、底層驅動其實不相容」的錯位。建議前往本站下載頁依平台取得安裝包，再依本文順序逐步核對。