TUN 模式和系统代理的区别：4 个关键差异，一句话选对
更新于
什么是系统代理（system proxy）
系统代理是操作系统层面的一个开关：你告诉系统「把流量发到本地某个代理端口（HTTP / SOCKS）」，然后愿意读取系统代理设置的程序才会走代理。浏览器几乎都遵守，所以设好系统代理后网页通常立刻能用。但很多命令行工具、部分游戏、以及个别 App（某些版本的 Telegram、开发/终端工具）根本不读系统代理，会直接连出去、绕过代理——这就是「网页能开、某个 App 却连不上」的典型原因。系统代理不需要虚拟网卡，开销小、也不容易影响其它软件。
什么是 TUN 模式（TUN mode）
TUN 模式会创建一块虚拟网卡（TUN 设备），在 IP 层接管整机的所有流量，就像一条真正的 VPN 隧道。无论某个程序懂不懂代理设置，它的流量都会被路由进隧道。代价是：需要 VPN / 网络扩展权限（手机上表现为「添加 VPN 配置」，桌面上有时要管理员权限），并且同一时间通常只能有一个 TUN 类应用占用网卡，容易和系统自带 VPN 或另一个客户端冲突。
两者的关键区别
- 覆盖范围：系统代理只覆盖「读代理设置」的程序（主要是浏览器）；TUN 覆盖整机每个程序。
- 泄漏风险：不读代理的 App 在系统代理下会直连泄漏；TUN 下几乎不会（都进隧道）。
- 权限与冲突：系统代理无需特殊授权、少有冲突；TUN 需要 VPN 权限，且和别的 VPN / TUN 互斥。
- 开销：系统代理更轻；TUN 多一层虚拟网卡与路由处理，个别设备上略增耗电。
该选哪个（一句话判断）
只用浏览器上网、日常浏览：系统代理就够了，更轻、更不影响其它软件，也不用授予 VPN 权限。某个 App 不走代理（Telegram、游戏、开发/终端工具连不上），或想让整机都走代理：切到 TUN 模式。记住那个经典症状——「浏览器能开、App 打不开」，八成就是该打开 TUN。反过来，如果开了 TUN 后整机变慢或和公司 VPN 打架，可以退回系统代理只保浏览器。
在 Univista 上怎么用
- 导入订阅、选好一个低延迟且健康的节点，先用默认模式测试网页是否正常。
- 如果只有某个 App 连不上、网页却正常，在客户端里把连接模式从「系统代理 / 规则」切到「TUN / 虚拟网卡」再试。
- 桌面端切 TUN 可能要求管理员权限；手机端会弹出「添加 VPN 配置」，允许即可。
- 开 TUN 后请只保留一个客户端占用网卡，关闭其它 VPN / TUN 应用，避免互相抢网卡导致全都断。
- 分平台图文见「iOS」「Android」教程；协议原理见「VLESS Reality 是什么」。
常见问题
- TUN 模式和系统代理有什么区别？
- 系统代理只让「读代理设置」的程序（主要是浏览器）走代理，其它 App 会直连绕过；TUN 模式建一块虚拟网卡，在 IP 层接管整机所有流量，无论程序懂不懂代理都进隧道。
- 该选 TUN 还是系统代理？
- 只上网页用系统代理就够，更轻也不用 VPN 权限；如果某个 App 不走代理、连不上，或想整机覆盖，就用 TUN。
- 为什么网页能打开、App 却连不上？
- 多半因为那个 App 不读系统代理，在系统代理模式下会直连而失败。切到 TUN 模式让整机流量都进隧道，通常就能解决。
- TUN 模式更慢或更耗电吗？
- TUN 多一层虚拟网卡与路由处理，个别设备上会略增耗电或延迟，但差别通常不大；换来的是全应用覆盖与更少泄漏。
- 开了 TUN 还需要开系统代理吗？
- 一般不需要。TUN 已接管整机流量；两者同时开有时反而互相干扰，按客户端建议选其一即可。
- 为什么开 TUN 后其它 VPN 断了？
- 同一时间通常只能有一个应用占用 TUN 网卡。请只保留一个客户端，关闭其它 VPN / TUN 应用。
- 系统代理会泄漏真实 IP 吗？
- 不读系统代理的程序会直连、暴露真实出口；若你担心这类泄漏，用 TUN 模式让所有流量都走隧道更稳妥。
- Clash Verge / Clash for Windows 里 TUN 和系统代理的开关在哪、该开哪个？
- 这两个客户端把「系统代理」和「TUN 模式」做成两个<strong>独立开关</strong>：Clash Verge（含 Clash Verge Rev / Clash Meta 内核）在左侧栏或「设置」里分别有「系统代理」和「TUN 模式」；Clash for Windows 在「General」页有「System Proxy」和「TUN Mode」两个开关。日常浏览开「系统代理」即可；某个 App 绕过代理连不上，再开「TUN 模式」（首次开 TUN 通常要装一次服务或授予管理员权限）。不必两个都开，按需选一个。
- v2rayN、Nekoray/Nekobox 这类桌面客户端怎么切？
- v2rayN（Windows）：菜单里有「系统代理」几种状态和「Tun 模式」开关，Tun 需要先安装一次 tun 服务；Nekoray/Nekobox 桌面版：菜单里勾「TUN Mode」（要管理员权限），不勾时改用「设置系统代理」。判断标准与其它客户端相同——只用浏览器就系统代理，某个 App 绕过就切 TUN。
- 手机上（iOS 的 Shadowrocket / Stash / Surge、安卓的 Nekobox / v2rayNG / Happ）也分 TUN 和系统代理吗？
- 基本不用纠结——<strong>手机端几乎都是 TUN 式</strong>。iOS / 安卓的这类客户端靠系统的「VPN / 网络扩展」工作，一打开就等于建了一条接管整机流量的隧道（iOS 会弹「添加 VPN 配置」），并没有桌面那种单独的「系统代理」开关。所以「TUN 还是系统代理」主要是<strong>桌面（Windows / macOS）</strong>上的选择；手机上你要做的只是允许 VPN 配置、选一个健康节点即可。
相关教程
分享这篇指南
已购买？ 使用帮助 查看导入与排错步骤。
准备好稳定访问国际网络？
查看套餐本文仅为技术说明与教育目的。使用网络工具访问国际服务时，请遵守您所在地区的相关法律法规。Univista 不对用户的具体使用行为承担法律责任。