在实际使用代理工具的过程中，经常会遇到各种看似“莫名其妙”的情况：有的应用可以正常访问，有的却无法连接；电脑端表现正常，换到手机却出现异常；甚至同一个网站，不同服务之间表现也完全不同。
这些现象往往并不是偶发问题，而是与代理模式、数据路径以及系统处理方式密切相关。理解数据在网络中的流转过程，很多问题就会变得清晰可控。
一、从家庭网络说起：数据是如何发出去的
在常见的家庭网络环境中，宽带接入设备（如光猫）连接到路由器，路由器通过拨号获取公网 IP，并为局域网内的设备分配内网地址。所有设备的网络请求，最终都会通过路由器转发到互联网。
当浏览器发起一次访问请求时，数据会经过操作系统协议栈逐层封装：从应用层到传输层，再到网络层和数据链路层，最终通过网卡发送出去。路由器会对数据进行地址转换（NAT），再交由公网传输。
服务器响应后，数据按相反路径返回并逐层解除封装，最终呈现在浏览器中。这是未使用任何代理时的标准通信流程。
二、系统代理：最常见但也最受限制的方式
最常规的代理方式是依赖HTTP或SOCKS协议的系统代理。目前主流的代理客户端（如基于Clash、V2Ray、Xray内核的工具）均支持此功能。例如，在V2RayN或Clash for Windows中开启“系统代理”后，遵循该设置的软件就会将网络请求统一交由代理客户端接管。
在此模式下，当您访问特定网站（如Google）时，客户端会根据内置的分流规则判定该流量是否需要走代理。若命中代理规则，客户端会对数据进行加密封装，并在传输层和网络层附加上节点服务器的端口与IP。数据包经过路由器NAT转换后送达节点服务器，节点完成解密并代为访问目标网站。随后，节点将获取的数据加密传回本地，本地客户端解密后再交还给浏览器，从而实现网络访问。
然而，这种模式存在明显的局限性。并非所有应用程序都遵循操作系统的代理规范。许多非浏览器软件、尤其是绝大多数游戏，完全无视系统代理设置。此外，绝大多数游戏和底层软件的网络请求并不会主动调用操作系统的代理 API。且系统代理通常默认使用 HTTP 协议转发，天然缺乏对 UDP 等复杂协议的良好支持，无法满足游戏的网络需求。因此，系统代理主要适用于基础的网页浏览与通讯软件。
三、TUN 模式：接管全局流量的虚拟网卡
当系统代理无法满足需求时，接管整个系统网络层流量的TUN或TAP模式便成为了更优解。智能手机默认采用的正是类似机制。以Clash为例，开启TUN模式后，系统会生成一张虚拟网卡。当浏览器发起访问请求时，数据到达网络层后会面临两个出口：物理网卡或Clash的虚拟网卡。
数据包的具体去向由操作系统的路由表决定。Clash在启用TUN模式时，会自动向系统中注入路由规则，覆盖所有的IPv4（通常也包含 IPv6）地址段。这意味着任何发往外部IP的数据包，都会被强制导向Clash生成的虚拟网关（例如198.18.0.1）。由于TAP模式还需要处理相对多余的MAC层封装，因此直接在网络层运作的TUN模式更为高效且受推崇。
数据进入虚拟网卡后，Clash直接对其进行解析并匹配分流规则。需代理的数据被加密后，会通过物理网卡发送至外部节点（为了避免流量死循环，出口会被明确指定为物理接口）。当收到节点的回传数据时，Clash解密后通过虚拟网卡重新封装为网络层数据包，最终送达相应的应用程序。TUN模式的强大之处在于它能够在网络协议栈底层直接拦截流量，无视软件自身是否支持代理配置。
四、透明代理：把代理放到路由层
尽管TUN模式极为强大，但部分有着严格防作弊机制的游戏或程序仍可能探测到系统中存在的虚拟网卡。为了实现彻底的无感代理，您可以将代理设备作为局域网的默认网关，把代理客户端（如 Sing-box / Clash）直接部署在上面。这种方案被称为透明代理。如此一来，局域网内的任何电脑或设备都无需安装代理软件，所有的上网流量在流经路由器时都会被自动接管并转发。这也是“软路由”概念的核心应用场景之一。
在客户端支持方面，Clash、SSTap、Netch以及Sing-box等工具都原生支持TUN模式。早期版本的V2RayN和Xray虽不支持，但在V2RayN的6.0及以上版本中，通过引入Sing-box内核，也顺利实现了对TUN模式的支持。通常，开启TUN模式需要以管理员权限运行客户端。以Clash for Windows为例，用户可以通过安装Service模式来获取特权运行权限，从而开启更高效的虚拟网卡代理。
五、如何选择合适的模式
不同代理模式各有适用场景：
- 系统代理：适合浏览器和轻量应用，配置简单
- TUN 模式：适合需要全局接管流量的场景
- 透明代理：适合多设备统一管理
理解这些差异后，在遇到连接异常、部分应用不可用等情况时，就可以更有针对性地进行判断和调整，而不是反复尝试无效配置。
