Clash 的 TUN 模式和系统代理有什么区别

Clash 的 TUN 模式和系统代理的本质区别，在于数据包的处理层级与网络路径的控制权。系统代理（如 HTTP/SOCKS 代理）只负责应用层流量的转发，仅影响使用特定协议的程序，比如浏览器、部分下载工具或支持代理设置的客户端；而 TUN 模式则在操作系统内核层面接管所有网络流量，无论应用是否主动配置代理，只要发出网络请求，都会被 TUN 驱动截获并由 Clash 处理。这意味着，系统代理存在“盲区”——某些不走代理设置的应用（如系统更新、游戏联机、后台服务）可能绕过代理直接连外网，造成流量泄露或规则失效；而 TUN 模式通过虚拟网卡的方式实现全流量拦截，真正实现“全局透明代理”。

在实际操作中，判断当前使用的是哪种模式，最直接的方法是观察网络行为：若你在启用 Clash 后，仍然能访问被墙的网站但某些应用（如微信、钉钉、系统更新）无法联网，且日志显示只有部分进程被代理，则大概率仍处于系统代理模式。反之，若所有应用（包括系统自带的“设置”或“发现”类功能）都需经过 Clash 路由规则才可访问外网，且本地网络接口出现一个名为 `tun` 或 `clash-tun` 的虚拟网卡，那就是典型的 TUN 模式生效。

要切换到 TUN 模式，需确保 Clash 客户端支持该功能（如 Clash for Windows、Clash Verge、ClashX Pro 等主流版本均支持），并在配置文件中明确启用 `tun: true`，同时在系统设置中开启“使用 TUN 模式”选项。在 Windows 上，这通常需要管理员权限安装 TUN 驱动（如 Wintun）；在 macOS 上，需允许系统扩展权限；在 Linux 上则依赖内核模块加载。一旦启用，系统会自动创建一个虚拟网卡，并将所有出站流量导向 Clash 的路由逻辑。

常见误判点在于：以为开了“全局模式”就是全流量代理。实际上，若未启用 TUN 模式，即使选择“全局”，也仅对已配置代理的应用生效。尤其在多设备共用同一网络环境时，例如公司电脑、家庭路由器下的智能设备，系统代理模式可能导致部分设备“漏掉”代理链路，形成安全盲区。

另一关键判断依据是：能否正确处理 UDP 流量。系统代理通常仅处理 TCP 协议，而许多游戏、视频会议、DNS 解析依赖 UDP，TUN 模式能完整拦截并按规则处理这些流量。若你发现某些应用（如 Steam、Discord、VoIP 通话）在系统代理下连接失败或延迟极高，但在切换为 TUN 模式后恢复正常，说明问题出在协议覆盖不全。

还有一点容易被忽略：系统代理依赖应用主动调用代理设置，而 TUN 模式无此限制，因此更适用于需要统一策略管理的场景，比如跨平台办公、远程开发、自动化脚本运行等。当你的任务涉及多个不可控应用或需稳定穿透复杂网络环境时，TUN 模式才是可靠选择。

至于“一份简历投所有岗位，为什么总是被筛掉；面试邀约率低先改简历哪一块”——这个问题本质上是“缺乏针对性”的结果。就像系统代理无法覆盖全部流量一样，一份泛化简历也无法命中任何具体岗位的核心需求。招聘方筛选时，看的不是你“有没有能力”，而是你“是否匹配”。若简历内容像系统代理那样只覆盖了部分关键词，却忽略了岗位描述中的技术栈、项目经验、工作年限等硬性指标，自然会被算法或人力直接过滤。解决方法不是堆砌更多信息，而是根据目标岗位调整关键词密度、重构项目描述以贴近职位要求，让每一段经历都能被识别为“相关”。这与启用 TUN 模式的意义一致：不是简单地“开开关”，而是建立一个完整、可控、可追踪的流量通道。