你是否遇到过这样的困扰：浏览器能正常翻墙，但游戏、爬虫工具却完全不走代理？又或者在 Clash/V2RayN 里面对系统代理和 TUN 模式两个选项不知该选哪一个？
作为一名深耕 IP 代理与网络协议领域 8 年 的技术从业者，本文将从网络协议栈底层出发，一次性讲透三种主流代理模式的核心区别——系统代理（HTTP/SOCKS5）、TUN 模式（虚拟网卡接管）、透明代理（路由层网关）。
你将了解到：为什么绝大多数游戏无视系统代理；Clash 的 TUN 模式如何通过虚拟网卡 + 路由表劫持实现全局流量接管；以及 Sing-box 透明代理如何在软路由上让全屋设备无感上网。无论你是游戏加速、数据采集还是多设备组网需求，都能在文中找到最适合自己的代理方案。
目录
- 一、从家庭网络说起：数据是如何发出去的
- 二、系统代理：最常见但也最受限制的方式
- 三、TUN 模式：接管全局流量的虚拟网卡
- 四、透明代理：把代理放到路由层
- 五、如何选择合适的模式
- 六、 常见问题解答 （FAQ）
一、从家庭网络说起：数据是如何发出去的
在常见的家庭网络环境中，宽带接入设备（如光猫）连接到路由器，路由器通过拨号获取公网 IP，并为局域网内的设备分配内网地址。所有设备的网络请求，最终都会通过路由器转发到互联网。
当浏览器发起一次访问请求时，数据会经过操作系统协议栈逐层封装：从应用层到传输层，再到网络层和数据链路层，最终通过网卡发送出去。路由器会对数据进行地址转换（NAT），再交由公网传输。
服务器响应后，数据按相反路径返回并逐层解除封装，最终呈现在浏览器中。这是未使用任何代理时的标准通信流程。
二、系统代理：最常见但也最受限制的方式
最常规的代理方式是依赖HTTP或SOCKS5协议的系统代理。目前主流的代理客户端（如基于Clash、V2Ray、Xray内核的工具）均支持此功能。例如，在V2RayN或Clash for Windows中开启“系统代理”后，遵循该设置的软件就会将网络请求统一交由代理客户端接管。
在此模式下，当您访问特定网站（如Google）时，客户端会根据内置的分流规则判定该流量是否需要走代理。若命中代理规则，客户端会对数据进行加密封装，并在传输层和网络层附加上节点服务器的端口与IP。数据包经过路由器NAT转换后送达节点服务器，节点完成解密并代为访问目标网站。随后，节点将获取的数据加密传回本地，本地客户端解密后再交还给浏览器，从而实现网络访问。
然而，这种模式存在明显的局限性。并非所有应用程序都遵循操作系统的代理规范。许多非浏览器软件、尤其是绝大多数游戏，完全无视系统代理设置。此外，绝大多数游戏和底层软件的网络请求并不会主动调用操作系统的代理 API。且系统代理通常默认使用 HTTP 协议转发，天然缺乏对 UDP 等复杂协议的良好支持，无法满足游戏的网络需求。因此，系统代理主要适用于基础的网页浏览与通讯软件。
三、TUN 模式：接管全局流量的虚拟网卡
当系统代理无法满足需求时，接管整个系统网络层流量的TUN或TAP模式便成为了更优解。智能手机默认采用的正是类似机制。以Clash为例，开启TUN模式后，系统会生成一张虚拟网卡。当浏览器发起访问请求时，数据到达网络层后会面临两个出口：物理网卡或Clash的虚拟网卡。
数据包的具体去向由操作系统的路由表决定。Clash在启用TUN模式时，会自动向系统中注入路由规则，覆盖所有的IPv4（通常也包含 IPv6）地址段。这意味着任何发往外部IP的数据包，都会被强制导向Clash生成的虚拟网关（例如198.18.0.1）。由于TAP模式还需要处理相对多余的MAC层封装，因此直接在网络层运作的TUN模式更为高效且受推崇。
数据进入虚拟网卡后，Clash直接对其进行解析并匹配分流规则。需代理的数据被加密后，会通过物理网卡发送至外部节点（为了避免流量死循环，出口会被明确指定为物理接口）。当收到节点的回传数据时，Clash解密后通过虚拟网卡重新封装为网络层数据包，最终送达相应的应用程序。TUN模式的强大之处在于它能够在网络协议栈底层直接拦截流量，无视软件自身是否支持代理配置。
四、透明代理：把代理放到路由层
尽管TUN模式极为强大，但部分有着严格防作弊机制的游戏或程序仍可能探测到系统中存在的虚拟网卡。为了实现彻底的无感代理，您可以将代理设备作为局域网的默认网关，把代理客户端（如 Sing-box / Clash）直接部署在上面。这种方案被称为透明代理。如此一来，局域网内的任何电脑或设备都无需安装代理软件，所有的上网流量在流经路由器时都会被自动接管并转发。这也是“软路由”概念的核心应用场景之一。
在客户端支持方面，Clash、SSTap、Netch以及Sing-box等工具都原生支持TUN模式。早期版本的V2RayN和Xray虽不支持，但在V2RayN的6.0及以上版本中，通过引入Sing-box内核，也顺利实现了对TUN模式的支持。通常，开启TUN模式需要以管理员权限运行客户端。以Clash for Windows为例，用户可以通过安装Service模式来获取特权运行权限，从而开启更高效的虚拟网卡代理。
五、如何选择合适的模式
不同代理模式各有适用场景：
- 系统代理：适合浏览器和轻量应用，配置简单
- TUN 模式：适合需要全局接管流量的场景
- 透明代理：适合多设备统一管理
理解这些差异后，在遇到连接异常、部分应用不可用等情况时，就可以更有针对性地进行判断和调整，而不是反复尝试无效配置。
六、 常见问题解答 （FAQ）
Q1: 浏览器配置了系统代理，为什么命令行（终端）或自动化脚本仍然是直连状态？
A: 系统代理主要接管标准的图形化应用（如浏览器）。绝大多数命令行工具或后台脚本默认不会读取操作系统的代理环境变量。处理此问题通常需要在代码内部显式声明代理接口，或直接切换至 TUN / 透明代理模式。
Q2: 运行某些自带严格环境检测机制的大型游戏时，为什么 TUN 模式会报错甚至导致程序闪退？
A: TUN 模式会在系统底层创建虚拟网卡。部分具备高权限检测引擎的程序可能会将这种底层的网络接口变动判定为运行环境异常并主动中断。面对此类严苛场景，推荐使用物理隔离的透明代理（软路由）。
Q3: 智能电视、游戏主机或自动化测试主板无法安装代理软件，如何接入网络环境？
A: 这正是透明代理的核心优势。将代理客户端部署在局域网的网关路由器上，这些无操作系统的终端设备只需连接该局域网，其流量在经过物理网关时就会被自动转发，实现设备端完全无感。
Q4: 已经开启了全局代理，为什么进行环境测试时还会提示“DNS 泄露”？
A: 若仅使用基础的系统代理，部分设备仍会通过本地网络服务商的 DNS 服务器去解析目标域名，从而暴露真实的物理节点。切换到底层接管模式，并配合代理工具的“远端 DNS 解析（Fake-IP）”功能，可以有效阻断此类泄露。
Q5: 对于需要高频调用 API 的海量数据交互任务，哪种模式的网络性能损耗最小？
A: 如果开发框架原生支持配置代理，直接在代码中指定 HTTP/SOCKS 代理是传输效率最高的方式。TUN 或透明代理虽然接管全面，但涉及网络层数据包的拆解与重新封装，在超高并发场景下会带来轻微的硬件性能损耗。
结语
代理模式的核心差异在于”接管范围”：系统代理只管遵循协议规范的软件，TUN 模式通过虚拟网卡接管单设备的全部流量，透明代理则将能力下沉到路由层实现多设备统一管理。 三者针对的是不同场景层级，而非简单的替代关系。无论你使用 Clash、V2RayN、Sing-box 还是 Karing / NekoBox，理解流量流转机制后就能精准定位问题根源。
理解代理模式的理论基础后，下一步自然是落地到具体工具的实操配置。以下教程按客户端平台和使用场景分类，覆盖当前主流代理工具的完整配置流程：
