TUN 模式无法上网：从服务模式到 DNS 的排查顺序

现象：开关亮了，网却断了

TUN 模式出问题时，表现通常是下面几种之一，先对照一下你属于哪一类，后面的排查会更有针对性：

• 点开 TUN 开关，客户端弹出提示，内容大意是「TUN 模式需要服务模式，请先安装服务」，开关随即自动关闭。
• 开关能打开，但浏览器所有网页都打不开，国内国外都不行。
• 国内网站正常，海外网站打不开，或者反过来。
• 网页能打开，但某些软件依旧不走代理，开了等于没开。
• 关掉 TUN 甚至退出客户端之后，电脑仍然上不了网。

在动手之前，先做一个对照测试：关闭 TUN，只开系统代理，看浏览器能否访问海外网站。 如果系统代理下也不行，问题不在 TUN，而在节点或订阅本身，应该先看 Clash 导入订阅失败 或 频繁断线 的排查。只有系统代理正常、TUN 不正常时，才继续往下看本文。TUN 的原理和适用场景在 TUN 模式指南 里有介绍，这里只讲故障处理。

TUN 模式无法上网的常见原因

原因	典型表现	优先检查
服务模式未安装或未运行	提示需要安装服务，开关自动弹回	客户端设置中的服务模式状态
权限不足	开启时报错，或开关打开但无效果	是否以管理员身份运行、系统是否拦截授权
与其他 VPN 冲突	开启后全部断网，或时好时坏	是否同时运行了其他代理、加速器、企业 VPN
安全软件拦截	服务装不上，或虚拟网卡被禁用	安全软件的拦截记录
DNS 设置不当	部分网站能开、部分不能，或解析很慢	客户端 DNS 开关与增强模式
系统代理与 TUN 叠加	行为混乱，排错时难以定位	先关掉系统代理只保留 TUN
内核或客户端版本过旧	新协议节点不可用，或功能异常	客户端版本号
路由残留	关闭后仍无网络	完全退出并重启客户端或电脑

TUN 模式无法上网：按顺序排查

下面的顺序是按「最常见、最容易验证」排列的。建议每一步改完都测一次，确认无效再进入下一步，不要一次把好几处设置都改掉。客户端菜单名称以 Clash Verge Rev 这一类为参考，不同版本名称略有差异。

第一步：确认服务模式已安装并在运行

「TUN 模式需要服务模式，请先安装服务」是 Windows 上最常见的提示。创建虚拟网卡需要较高的系统权限，很多 Clash 系客户端的做法是安装一个后台服务，由它来代为完成这件事。

处理方法：

1. 打开客户端的设置页，找到「服务模式」「系统服务」或类似名称的选项。
2. 点击安装，系统会弹出权限确认窗口，选择允许。
3. 安装完成后，确认状态显示为已安装或运行中。部分客户端还需要再手动启用一次。
4. 重新打开 TUN 开关。

如果点击安装后没有任何反应，或者提示安装失败，往往是被系统或安全软件拦截了，跳到第三步处理。安装后状态仍然不对，可以尝试卸载服务后重新安装一次。Clash Verge Rev 的服务相关设置可以参考 客户端说明页。

第二步：确认权限到位

不同系统的授权方式不一样：

• Windows：除了服务模式，有的客户端也支持以管理员身份直接运行来获得权限。右键客户端图标选择以管理员身份运行，再打开 TUN 试一次。
• macOS：首次开启时一般会要求输入系统密码，有时还要到系统设置的隐私与安全性相关页面里允许组件运行。如果当时点了拒绝，开关就会一直无效，需要回到系统设置里重新允许。
• Linux：通常需要给内核程序授予网络管理相关权限，或以管理员身份启动，具体方式以客户端文档为准。

如果你使用的是公司或学校管理的设备，权限可能被统一限制。这种情况下应遵守单位的管理规定，不要尝试绕开限制。

第三步：排除其他 VPN 和安全软件

虚拟网卡之间很容易互相打架。以下软件都可能与 TUN 冲突：

• 另一个代理客户端，哪怕只是在后台挂着。
• 游戏加速器、网络加速工具。
• 企业 VPN、远程办公客户端。
• 部分安全软件、防火墙，它们可能阻止服务安装，或者禁用新出现的网卡。

排查方法很直接：把它们全部完全退出，只留一个代理客户端。 注意是退出，不是最小化到托盘。若退出后 TUN 恢复正常，再逐个打开，找出冲突的那一个。对于安全软件，可以查看它的拦截记录，确认是否拦下了客户端的服务或驱动；如需放行，只对你从官方渠道下载、确认可信的客户端放行。客户端来源的判断方法见 下载安全指南。

第四步：检查 DNS 设置

TUN 接管了流量，但如果域名解析没有一并交给客户端处理，就会出现「网卡在工作，网页却打不开」的情况。

1. 在客户端设置里找到 DNS 相关选项，确认已经开启。不同版本名称略有差异，常见的叫法有 DNS 覆写、DNS 设置等。
2. 查看增强模式，常见选项有 fake-ip 和 redir-host。先使用客户端的默认值测试。
3. 如果某些软件在 fake-ip 下异常，再切换另一种模式对比。
4. 检查系统网卡上是否手动指定过 DNS 服务器，某些手动设置可能绕过客户端的处理。

改 DNS 时同样一次只改一项。改完后可以先关闭再重新打开 TUN，让新设置生效。

第五步：关闭系统代理，只保留 TUN

排错阶段，建议把系统代理先关掉，只用 TUN 测试。两者同时开启时，浏览器的请求可能先经过系统代理、再被虚拟网卡接管，一旦出问题，你很难分辨是哪一层造成的。确认 TUN 单独工作正常后，再决定是否同时保留系统代理。

第六步：检查模式、节点和规则

TUN 只是接管方式，流量最终走哪里，仍然由模式、节点和规则决定：

• 确认当前选中的节点在系统代理下是可用的。
• 规则模式下，检查兜底规则是否指向代理分组，国内规则是否指向直连。规则的检查方法见 分流规则入门。
• 打开客户端的连接列表，看浏览器或目标软件的请求是否出现在里面。出现了说明 TUN 接管成功，问题在出口；没出现说明接管本身没成功，回到前几步。

第七步：更新客户端和内核

较老的客户端或内核可能存在已知问题，或者不支持订阅里的部分协议。到客户端的官方发布页查看是否有新版本，更新后重新安装服务模式再测试。更新前可以先导出或记下自己的配置，避免丢失。

仍不行怎么办

如果以上步骤都走过一遍，问题依旧，可以按下面的方式收尾：

先恢复网络。 在客户端里关闭 TUN，完全退出客户端。若仍然无法上网，重启电脑，清除可能残留的虚拟网卡路由。不要在断网状态下继续反复切换设置。

换一个客户端交叉验证。 用另一款支持 TUN 的客户端导入同一个订阅测试。新客户端正常，说明问题在原客户端的安装或配置；同样失败，更可能是系统环境或网络本身的问题。

整理信息再求助。 向客户端社区或机场工单求助时，附上这些信息能大幅节省来回沟通的时间：操作系统和版本、客户端名称和版本、服务模式的状态、报错提示原文、系统代理下是否正常、是否运行了其他 VPN 或安全软件。注意截图前遮住订阅链接和节点信息，避免泄露凭证。

退回系统代理也是一种选择。 如果你需要代理的只是浏览器和少数软件，系统代理本身就够用，不必为了 TUN 反复折腾。只有那些确实不读系统代理的软件，才值得花时间把 TUN 调通。

选订阅兼容性好的机场减少麻烦

TUN 的故障多数出在本机环境，但订阅本身是否适配 Clash 系客户端，也会影响排查难度。本站与以下品牌有推广合作，信息来自公开资料，购买前请以官网为准。

二猫云 提供通用订阅链接，公开资料列出支持 Clash / Mihomo、Shadowrocket 和 sing-box，月付主推档 ¥20 / 130GB，线路官网标注为全 IEPL 专线。微风网络 同样是通用订阅接入，覆盖上述几类客户端，月付 ¥27 / 200GB，年付 ¥137 每月 100GB，编辑建议先月付一个月确认适合自家宽带再考虑年付。订阅导入的完整流程见 Clash 订阅导入。

小结

TUN 模式无法上网，先用系统代理做对照，确认节点没问题，再按服务模式、权限、软件冲突、DNS、系统代理叠加、规则、版本的顺序逐项排查。每次只改一处，改完就测。多数情况下，问题会在前三步被找出来。