Windows TUN 模式教程：让游戏、UWP 应用、终端也走机场（2026）

系统代理为什么管不到游戏、UWP 和终端

先把原理讲清楚，后面的设置才不会靠猜。Windows 的「系统代理」本质上是在注册表里写了一条「请使用 127.0.0.1:某端口 作为 HTTP 代理」的建议。浏览器、Office、很多国产桌面软件会读这条建议并照做；但下面这几类程序不会：

• 游戏。游戏客户端大多直接用 TCP / UDP 套接字连服务器，不走 HTTP 代理，更不会读系统代理设置。
• UWP 应用（Windows 商店应用）。它们运行在应用容器里，默认被隔离，不能访问本机回环地址，即使读了系统代理也连不上 127.0.0.1。
• 命令行工具。git、curl、pip、npm、ssh 只认环境变量或自身配置，不认系统代理。
• 一些客户端软件。Steam、Discord、Telegram 桌面版、各种启动器，有的有自己的代理设置，有的根本没有。

TUN 模式换了一条路：客户端创建一张虚拟网卡并把它设为系统默认路由，所有程序发出的数据包都先经过这张网卡进入内核，内核按规则决定直连还是走机场节点。程序本身毫无感知，所以「全都能走」。它的代价是需要更高权限、略高的资源占用，以及更多可能出错的环节。

开 TUN 模式之前要确认的权限和客户端

客户端的基础导入步骤分别见Clash Verge Rev 教程、sing-box 教程与v2rayN 教程，本文只讲 TUN 相关部分。

在 Windows 上开启 TUN 的步骤

第一阶段：开启前的准备

1. 确认当前在系统代理模式下能正常上网，节点延迟正常。这样后面开 TUN 出问题时可以确定是 TUN 环节而不是节点问题。
2. 退出其他 VPN、游戏加速器、虚拟机网络工具等会创建虚拟网卡的程序。
3. 在客户端里把「系统代理」开关关掉。
4. 如果安全软件弹出关于驱动或服务的拦截提示，选择允许，并把客户端目录加入白名单。

第二阶段：在各客户端中开启 TUN

1. Clash Verge Rev：进入「设置」，找到「TUN 模式」开关。首次打开会提示安装服务，点确认并在系统弹窗里授权。安装完成后开关变为开启状态，设置里会出现堆栈、设备名、严格路由、自动路由、DNS 劫持等子选项，先全部保持默认。
2. sing-box 图形客户端：sing-box 默认就以 TUN 方式工作。右键快捷方式以管理员身份运行，或在属性里设置永久以管理员运行；启动配置后仪表盘显示运行中即表示 TUN 已建立。若配置里同时有 mixed 入站，不影响。
3. v2rayN：以管理员身份运行主程序，在主界面或托盘菜单勾选「启用 Tun」。首次启用会下载或释放 TUN 相关组件，等待完成后状态栏显示 Tun 已开启。确认系统代理处于「清除系统代理」状态。

第三阶段：确认虚拟网卡与路由

1. 打开「控制面板 → 网络和 Internet → 网络连接」，应多出一张名称类似客户端名或 Meta / sing-box 的虚拟网卡，状态为已连接。
2. 打开终端执行 route print，默认路由（0.0.0.0）里应有一条指向虚拟网卡且跃点数更低的记录。
3. 浏览器访问国外网站确认能开，再访问国内网站确认不绕路。

TUN 模式下 DNS 与路由的关键设置

服务与管理员权限

创建虚拟网卡与修改路由表都是特权操作。Clash Verge Rev 的做法是安装一个常驻系统服务代为执行，之后客户端以普通权限运行即可；sing-box 与 v2rayN 的做法是整个程序以管理员运行。两种做法都可以，但要注意：以管理员运行的程序，其打开的浏览器链接、拖放文件等交互在 Windows 的权限隔离下可能异常，这是正常现象。

堆栈（stack）：system / gvisor / mixed

这是数据包在虚拟网卡里被处理的方式。system 借用 Windows 网络栈，性能最好；gvisor 是用户态实现，兼容性最广但吞吐略低；mixed 对 TCP 用 system、UDP 用 gvisor，是多数客户端的默认。默认即可，只有在某个游戏或软件表现异常时才换。

自动路由与严格路由

自动路由（auto route）让客户端自动把默认路由指向虚拟网卡，关闭它 TUN 就形同虚设，务必开着。严格路由（strict route）会进一步阻止流量绕过虚拟网卡，防泄露更彻底，但可能让局域网设备（NAS、打印机、投屏）访问失败。遇到局域网问题就关掉它或给私有网段加直连规则。

DNS 劫持与 Fake-IP

TUN 模式下客户端会劫持系统的 DNS 查询并按规则解析，国内域名用国内 DNS 直连查询、国外域名经代理查询，这样分流才准确。多数订阅采用 Fake-IP 模式返回假 IP 加速匹配，少数程序（部分游戏反作弊、一些局域网发现协议）不适应，可把对应域名加到 Fake-IP 过滤列表。DNS 配错是「开 TUN 后没网」最常见的根源。

IPv6

如果运营商给了 IPv6 地址而节点或规则没处理好 IPv6，会出现部分网站打不开、部分正常。在 TUN 设置里关闭 IPv6 支持，或在网卡属性里暂时禁用 IPv6，问题通常消失。

验证方法：确认游戏、UWP、终端真的走了机场

1. 终端验证：打开终端执行 curl -I 加一个国外网站地址，不设置任何环境变量就能返回响应头，说明命令行流量被 TUN 接管。再 curl 一个国内网站确认速度正常。
2. UWP 验证：打开 Microsoft Store 或任意商店应用，能正常加载商店页面与下载；之前因代理打不开的商店现在应正常。
3. 游戏验证：启动游戏后在客户端的「连接」面板查看，游戏进程名出现在列表里，出站显示为节点组或 DIRECT（取决于规则）。海外服延迟应与节点延迟相近。
4. 出口 IP：浏览器访问「查我的 IP」网站，地区应为所选节点地区；再用一个不读系统代理的程序（比如 PowerShell 的网络请求）查 IP，结果一致才算 TUN 真正接管。
5. DNS 泄露检测：访问 DNS 泄露检测网站，不应出现国内运营商 DNS。
6. 连接面板观察：国内域名走 DIRECT，国外域名走节点，没有大量不认识的进程占用流量。

TUN 模式的常见问题速查

按场景的推荐配置

游戏场景下节点质量比客户端设置更重要，专线与 UDP 支持是硬指标，参考游戏低延迟机场推荐。

适合 TUN 模式重度用户的机场

TUN 模式把整台电脑的流量都交给机场，对节点的要求是：延迟低且稳定（游戏与开发工具都敏感）、支持 UDP、流量充足。UDP 支持与节点数各家品牌资料都没有统一说明，以实际节点为准。下表按评分列出 17 家的入门套餐与线路：

月付 ¥14.9 的宇宙云（VLESS + IEPL 专线，自研客户端）是不想年付的用户里门槛最低的专线选择，设备数以官网为准。线路差异见IEPL 与 IPLC 对比。

常见问题