TUN模式常见术语解释

好的，我来为你写一篇关于TUN模式术语的博客文章。我会用一场虚拟币圈常见的“科学上网”事故作为开场，带你身临其境，然后层层拆解那些让你头疼的术语。

---

凌晨三点，比特币价格突然插针，从67000美元瞬间砸到61000。你盯着屏幕上的红色瀑布，手心冒汗，手指在键盘上疯狂敲击，准备挂单抄底。然而，就在你点下“买入”的那一刻——

交易所的App卡死了。 转圈，转圈，再转圈。三秒后，弹出一行红字：“网络连接异常，请检查您的代理设置。”

你骂了一句脏话，切到Clash Verge界面，发现“系统代理”明明是开的，但节点延迟显示888ms，而且流量图表纹丝不动。你试着打开谷歌，白屏。再打开币安，也是白屏。只有火币和OKX这种国内能直连的交易所还能勉强刷新，但你要抄底的那个币，偏偏只在币安和Bybit上架。

你急了，开始翻设置。看到“TUN模式”这个开关，你以前从没点过它，因为旁边有个小字写着“(需要管理员权限)”。你心想：这玩意到底是干嘛的？跟“系统代理”有什么区别？为什么开了它，有些App就能通，有些还是不通？

这就是今天我要写的故事。你不是一个人。在虚拟币圈，至少有80%的“网络故障”问题，根源就是没搞懂TUN模式与系统代理的区别，以及围绕它的一堆术语。下面，我用一场“深夜抄底救援”的场景，带你把这些词全部嚼碎。

---

场景一：你打开了“系统代理”，但交易所App就是不走代理

你现在的状态：Clash Verge里选了香港节点，延迟50ms，很绿。但币安App(手机或PC客户端)就是连不上，而浏览器里的币安网页版却能打开。你百思不得其解。

这里的关键词是 “系统代理”。它的工作机制是：修改操作系统的网络设置，告诉系统“HTTP和HTTPS请求请转发到本地端口(比如7890)”。

问题在于：很多应用程序根本不理会系统代理。 比如：

• 币安PC客户端、Bybit的桌面App：它们是用Electron或Qt写的，有些版本直接调用系统API，但有些版本自己实现了网络栈，根本不读系统代理配置。
• Telegram：虽然它读系统代理，但你如果开了“快速启动”，它可能缓存了旧配置。
• 游戏、命令行工具：比如npm install、git clone，它们默认走环境变量，不读系统代理。

所以，你看到的现象就是：浏览器能翻墙，但交易所App死活用不了。这时候，如果你点开那个叫 “TUN模式” 的开关，一切就变了。

---

场景二：你打开了TUN模式，但所有流量都堵死了，连微信都发不出去

你心想：“行，那我开TUN模式。” 你点击开关，Clash提示“需要安装虚拟网卡驱动”，你点了同意。然后，瞬间，你的所有网络连接都断了——微信发不出去，网页打不开，甚至交易所App直接显示“无网络”。

你慌了。这又是怎么回事？

这里要引入第一个核心术语：虚拟网卡。

TUN模式 的原理，不是去“请求”应用程序配合，而是在操作系统层面创建一张虚拟网卡。这张网卡会拦截所有经过系统的IP数据包——不管你是哪个App发起的连接，不管是TCP还是UDP，不管是HTTP还是HTTPS，甚至是你Ping网关的ICMP包，它都照单全收。

然后，Clash这个“路由器”会把网卡收到的流量，按照你的规则(比如“币安App走香港节点”、“Netflix走美国节点”、“国内网站直连”)进行转发。

听起来很完美对吧？但为什么你开了TUN模式，反而全断了？

因为你开了TUN模式，但你的“规则”里没有配置“绕过局域网”和“允许局域网”。具体来说，你遇到了以下三个问题之一：

1. DNS劫持失败：TUN模式下，Clash会接管你的DNS请求。如果你之前手动设置过DNS(比如8.8.8.8)，而你的节点又刚好屏蔽了8.8.8.8，那么所有域名解析都会超时，表现为“什么网站都打不开”。
2. 回环路由：你的Clash监听端口是7890，而TUN网卡的流量又指向了7890，但你的规则里把Clash自身的流量也代理了，导致死循环。
3. 防火墙拦截：Windows或macOS的防火墙弹窗，你没点“允许访问”，导致虚拟网卡被系统屏蔽。

这时候，你需要冷静下来，记住下面这些术语，才能自救。

---

术语拆解：从“路由规则”到“分流”

1. 路由规则

你打开Clash的“配置”文件(通常是YAML格式)，会看到rules:下面有一堆条目。这些就是路由规则。它们决定了“哪个IP或域名走哪个节点”。

常见的规则类型：

• DOMAIN-SUFFIX,binance.com,香港节点：意思是“所有以binance.com结尾的域名，都走香港节点”。
• IP-CIDR,192.168.0.0/16,DIRECT：意思是“192.168.x.x这个网段的IP，直连(不代理)”。
• GEOIP,CN,DIRECT：意思是“物理位置在中国大陆的IP，直连”。
• MATCH,PROXY：意思是“所有没被上面规则匹配到的流量，走默认代理”。

关键点：如果你在TUN模式下，没有写IP-CIDR,127.0.0.0/8,DIRECT这条规则，那么你访问本机服务(比如本地搭建的节点)都会被代理，造成死循环。

2. 分流

这可能是圈内最常说的黑话。分流 就是把不同的流量“分门别类”，决定是走代理还是直连。

• 为什么要分流？因为你访问国内网站(比如币安国内版、微信、支付宝)，如果走美国节点，速度会慢到崩溃，而且可能触发风控。
• 所以，你需要一套规则集。比如“国内域名列表”、“国外域名列表”、“广告拦截列表”。

在TUN模式下，分流尤为重要。因为系统代理模式下，很多App不走代理，你根本分不了流。而TUN模式强制接管所有流量，你才能精准地告诉Clash：“这个App的流量走香港，那个App的流量直连。”

3. 绕过局域网

这是TUN模式里最容易踩坑的术语。它的意思是：对于局域网内的IP地址(比如你的路由器IP 192.168.1.1，或者你家里NAS的IP 192.168.1.100)，不要走代理，直连。

为什么？因为如果你访问家里的路由器后台(192.168.1.1)，这明明是本地设备，结果Clash把请求发到了香港节点，香港节点再回连你的路由器，不仅慢，而且根本连不上(因为你的路由器没有公网IP)。

所以，规则里必须有IP-CIDR,192.168.0.0/16,DIRECT和IP-CIDR,10.0.0.0/8,DIRECT。

4. 全局模式 vs 规则模式

在TUN模式下，你还会看到两个按钮：

• 全局模式(Global)：所有流量都走同一个代理节点。不管你是访问币安还是访问百度，都走香港节点。
• 规则模式(Rule)：按照你写的路由规则，该走代理的走代理，该直连的直连。

虚拟币圈的正确姿势：永远用规则模式。因为如果你用全局模式，你访问国内交易所(比如OKX)的API接口，也会走香港节点，导致延迟暴增，甚至被交易所风控判定为“异地登录”。

5. DNS解析

这是TUN模式里最隐蔽的坑。在系统代理模式下，DNS解析是由你本机的系统DNS(比如114.114.114.114)完成的。但在TUN模式下，Clash会拦截所有DNS查询。

• 如果Clash配置了fake-ip模式：它会返回一个假的IP地址(比如198.18.0.1)给应用程序，然后Clash自己记录这个假IP对应哪个域名。当应用发起连接时，Clash再根据规则决定走哪个节点。这种方式非常快，但会导致某些P2P应用或网络测速工具显示异常。
• 如果Clash配置了redir-host模式：它会直接把域名转发给上游DNS服务器(比如8.8.8.8)查询，然后返回真实IP。这种方式兼容性好，但延迟高一点。

你的症状：如果你开了TUN模式，但所有网页都显示“无法解析DNS”，大概率是fake-ip模式和你节点的DNS不兼容。你需要在配置里把enhanced-mode改为redir-host，或者换一个支持UDP转发的节点。

---

场景三：你终于弄好了TUN模式，但OpenSea连不上，而币安却飞快

现在，你已经成功开启了TUN模式，而且规则也写好了。但新的问题出现了：你打开OpenSea(一个NFT交易平台)想看看你的猴子图片，结果转圈半天，最后显示“连接超时”。但你打开币安，秒开。

这是为什么？

这就要说到 “UDP转发” 和 “节点协议” 了。

6. UDP转发

OpenSea的网页版，以及很多Web3钱包(MetaMask)的API调用，会使用UDP协议进行通信(比如WebRTC，用于视频或实时数据)。而很多机场节点的协议(比如Shadowsocks)默认不转发UDP流量，只转发TCP。

在TUN模式下，Clash需要把UDP包也封装到代理隧道里。但如果你选择的节点是“仅TCP”的，或者你的Clash配置里udp: false，那么UDP流量就会被直接丢弃。

解决办法：

• 在Clash节点配置里，找到你的节点，手动添加一行udp: true。
• 或者，在“代理组”里，把“选择节点”的type改为select，并确保每个节点都支持UDP。

7. 节点协议(Shadowsocks vs Vmess vs Trojan)

还有一个冷知识：不同的协议对TUN模式的兼容性不同。

• Shadowsocks(SS)：对UDP支持一般，很多机场为了节省带宽，默认关闭UDP。
• Vmess：通常支持UDP，但如果你的机场节点是“负载均衡”的，可能偶尔丢包。
• Trojan：对TUN模式兼容性最好，因为它模拟HTTPS流量，不容易被GFW干扰，而且UDP转发很稳定。

你如果发现TUN模式下，某些去中心化交易所(DEX)的App连不上，优先检查你的节点是不是SS协议，并且是否开启了UDP。

8. 端口跳跃

这个术语可能比较高级。有些交易所或NFT市场，会检测你的“出口IP”和“端口”。如果你用TUN模式，Clash默认会随机分配一个本地端口(比如7890)作为源端口。但有些节点配置了端口跳跃，意味着你的每次连接，源端口都会变化。

这在某些风控严格的交易所(比如Coinbase)看来，就是“异常行为”。它会判定你的账号可能被盗，然后强制要求你二次验证，甚至暂时封禁提现。

怎么解决？在Clash的配置里，找到profile或general选项，把source-port固定成一个值，比如7890。这样你的所有连接都从同一个端口发出，看起来更“像真人”。

---

场景四：你抄底成功了，但第二天醒来，发现所有节点全部超时

你终于搞定了TUN模式，成功抄底了比特币。第二天醒来，你打开Clash，发现所有节点延迟都是9999ms，全部超时。你以为是机场跑路了，但打开机场官网，发现还能登录。

这其实是TUN模式的另一个坑：系统代理与TUN模式冲突。

你前一天晚上，为了某个操作，手动打开了“系统代理”，然后忘记关了。现在你又开了TUN模式。两个模式同时开启，会导致流量被双重代理，或者路由冲突。

术语：系统代理 vs TUN模式共存

• 系统代理，是“应用层”的代理，只对支持代理的应用生效。
• TUN模式，是“网络层”的代理，对所有应用生效。

如果你两个都开，Clash会尝试把系统代理指向TUN网卡，但TUN网卡又把流量发回Clash的监听端口，形成一个“环路”。结果是：所有连接都卡死。

正确做法：在Clash的“设置”里，开启TUN模式时，自动关闭系统代理。或者，你手动把系统代理关掉，只保留TUN模式。

另外，还有一个术语叫 “守护进程”。有些时候，Clash的后台进程因为异常退出，但TUN虚拟网卡没有被正确卸载。你会看到网络图标显示“无Internet”，但实际能Ping通网关。这时候，你需要去设备管理器里，找到“网络适配器”，手动禁用并启用那个名为Clash或TUN的虚拟网卡。

---

场景五：你终于连上了，但MetaMask里的Gas费显示异常高

你成功用TUN模式连上了Infura(以太坊节点API)，但发现MetaMask显示的Gas费是正常的10倍。你以为是链上拥堵，但打开Etherscan，发现Gas只有20 Gwei，而MetaMask显示200 Gwei。

这又是TUN模式惹的祸。

9. 延迟与区块同步

TUN模式虽然能让你连上MetaMask，但如果你选择的节点是美国西海岸，而你本人在中国大陆，那么你的请求到达Infura的延迟可能是300ms。对于钱包来说，这个延迟会导致它获取“最新区块”的速度变慢，从而误判链上拥堵。

更关键的是，有些机场节点会缓存Ethereum的RPC响应。当你在TUN模式下，所有流量都走这个节点，节点如果做了“内容过滤”或“缓存”，它可能会返回一个过时的区块信息，导致Gas费估算错误。

解决办法：在Clash的规则里，把infura.io和ethereum.org这些域名，设为直连。因为Infura本身不屏蔽中国大陆的IP，直连反而更快更准。

10. 流量伪装与SNI

最后，还有一个高级术语叫 SNI(服务器名称指示)。在TUN模式下，Clash会解析出你要访问的域名，然后把这个域名写在TLS握手包里的SNI字段。

如果你用的节点是“混淆”类型的(比如WS+TLS)，那么Clash会把所有流量的SNI都伪装成你节点的域名(比如cloudflare.com)。这对于访问普通网站没问题，但对于某些API服务(比如币安API)，它们会检查SNI是否匹配。

如果币安API发现SNI是cloudflare.com而不是api.binance.com，它会认为你是“恶意请求”，直接拒绝连接。所以，你会看到TUN模式下，币安网页版能打开，但API调用报错-1或-2。

解决办法：在Clash的规则里，针对币安API域名，强制使用DIRECT(直连)，或者使用一个不修改SNI的节点(比如裸SS)。

---

最终自救：给你的TUN模式写一套“保命规则”

经过这一夜的折腾，你终于明白了：TUN模式不是简单的“开个开关”，而是一套完整的网络路由系统。为了以后不再深夜崩溃，我给你一套“虚拟币专用TUN模式配置逻辑”：

1. 必开：TUN模式 + 规则模式。
2. 必关：系统代理(让TUN独占)。
3. 规则顺序：
   • 第一行：IP-CIDR,192.168.0.0/16,DIRECT (绕过局域网)
   • 第二行：IP-CIDR,10.0.0.0/8,DIRECT (绕过内网)
   • 第三行：DOMAIN-SUFFIX,binance.com,香港节点 (交易所走代理)
   • 第四行：DOMAIN-SUFFIX,bybit.com,香港节点
   • 第五行：DOMAIN-SUFFIX,infura.io,DIRECT (节点直连)
   • 第六行：GEOIP,CN,DIRECT (国内IP直连)
   • 最后一行：MATCH,PROXY (其余走代理)
4. DNS设置：把enhanced-mode改成redir-host，避免fake-ip导致钱包App异常。
5. UDP：确保你的节点配置里udp: true，否则Solana、Near这类链的App无法广播交易。
6. 端口固定：在配置里设置source-port: 7890，避免风控。

---

你按这个配置改完，重新连接。这次，币安秒开，MetaMask的Gas费恢复正常，OpenSea的图片也加载出来了。你擦了一把汗，看着比特币从61000反弹到64000，你抄的底已经浮盈5%。

你关掉Clash的界面，里面那些术语——虚拟网卡、路由规则、UDP转发、SNI、fake-ip——现在对你来说，不再是陌生的黑话，而是你亲手驯服过的野兽。你喝了一口凉掉的咖啡，心想：“下次再插针，我至少不会因为网络卡死而错过抄底了。”

这就是TUN模式。它不是一个开关，而是一扇门。推开它，你看到的不是“代理”，而是一个微缩的互联网路由器。而你现在，是它的管理员。