一、什么是 TUN 模式？操作系统层面的虚拟网卡原理
在现代网络技术中，TUN（Network Tunnel）代表的是一种在操作系统内核层运行的虚拟网络设备。与物理网卡（如以太网卡或 Wi-Fi 适配器）直接通过网线或射频信号收发二进制电信号不同，TUN 虚拟网卡工作在网络层（OSI 第三层），专门用于接收和发送原始 IP 数据包。当软件在系统中成功初始化 TUN 设备后，它就相当于在本地网络协议栈中插入了一条受控的虚拟通道。
在支持该模式的 Clash Party 桌面客户端中，启用 TUN 意味着客户端通过内置的驱动组件（如 Windows 下的 Wintun 驱动或 macOS 下的 utun 接口）向系统注册一张虚拟网络适配器。操作系统会将设定的出站路由表指向该虚拟网卡，使得所有流经网络协议栈的 IP 报文均被完整投递给客户端内核进程进行解包、规则审查与加密路由。
二、TUN 模式与普通系统代理的核心区别
要彻底理解 TUN 模式的价值，必须将其与普通系统代理（System Proxy）进行多维度技术对比。普通系统代理本质上工作在应用层或会话层，依托 Windows 的注册表或浏览器的代理协议标准进行流量中继。这种机制的局限性在于，它只对主动遵循操作系统代理规范的应用程序（如 Chrome 浏览器或常规办公软件）有效，且通常只支持 HTTP、HTTPS 与 SOCKS5 等协议。
相比之下，TUN 模式直接在底层网络层接管流量。无论应用程序本身是否内置代理设置，也无论它是基于 TCP 还是 UDP 传输，只要其尝试向外网发送 IP 数据包，操作系统的路由机制都会强制将其导向 TUN 虚拟网卡。这使得原本完全无视系统代理的软件（例如命令行原生工具、部分未适配代理的即时通信软件以及终端编译工具）能够自动实现透明代理转发，无需在每个软件内部逐一配置端口参数。
三、开启 TUN 模式所需的系统管理员权限与驱动机制
由于创建虚拟网卡以及动态修改操作系统主路由表属于高度敏感的系统核心底层行为，因此在任何操作系统中启用 TUN 模式都必然需要最高管理员特权。在 Windows 操作系统中，Clash Party 必须以“管理员身份运行”；或者在客户端安装配套的 Service Core 服务模式，由系统后台服务以 SYSTEM 权限常驻接管网卡操作，避免每次启动都弹出用户账户控制（UAC）确认窗口。
需要注意的是，Clash Party 在不同版本演进中采用的驱动架构有所差异。早期版本多依赖传统的 TAP-Windows 适配器，而现代版本则全面转向性能更优异、内存占用更低的 Wintun 驱动引擎。Wintun 专为现代网络隧道优化设计，具备极低的上下文切换开销和更高的网络吞吐能力。若系统中残留有旧版 TAP 驱动冲突，可能导致新网卡无法分配 IP，需先清理旧驱动再进行初始化。
四、DNS 解析在 TUN 模式中的核心地位与虚拟 IP 映射
在 TUN 模式下，网络能否畅通运行很大程度上取决于 DNS（域名系统）的解析逻辑设计。如果仅接管了 IP 数据包却依然使用本地运营商的常规 DNS 服务器，那么在发起连接前所查询的域名早已被本地运营商劫持或污染，从而得到错误的出口 IP，最终导致即使代理通道建立也无法打开目标网站。
为解决这一难题，现代版本的 Clash Party 在 TUN 架构下深度整合了 Fake-IP（虚拟 IP 映射）引擎。当应用程序发起域名解析请求时，客户端会立即返回一个保留网段内的虚拟 IP（例如 198.18.0.0/16），并将该虚拟 IP 与真实域名在内存映射表中建立关联。当应用程序向该虚拟 IP 发起真实数据包时，TUN 网卡截获报文，并将原始域名连同加密载荷一并送往夜煞云海外节点进行远程代为解析与连接，彻底避开了本地 DNS 污染的困扰。
五、不同网络环境与业务场景的适用性分析
尽管 TUN 模式提供了全流量透明接管的极致便利，但它并非适用于所有场景。TUN 模式的最佳适用场景包括：需要对大量命令行终端工具（如 Docker 镜像拉取、npm / pip 依赖安装）进行跨国加速的软件开发环境；使用某些无法独立配置代理服务器的桌面跨平台协作软件；或者在家庭多设备测试中验证全局网络策略。
相反，在某些特殊网络环境中开启 TUN 模式则需谨慎。例如在大型企事业单位内部网络中，局域网通常依赖特定的内网 DNS 解析公司 OA 系统、内网 Git 仓库和私有云盘。如果 TUN 模式的分流规则未将企业内网网段（如 10.0.0.0/8 或 192.168.0.0/16）正确加入直连直通规则中，可能导致开启后内部办公系统全面瘫痪。因此合理编写分流规则是兼顾公私网络的前提。
六、常见配置错误与异常排查指南
用户在初次使用 Clash Party TUN 模式时，最容易遇到的第一类失误是“未授予管理员权限即开启功能”。此时客户端界面可能报错“Create TUN device failed”或日志显示权限被拒绝，网卡列表中根本未生成虚拟适配器。遇到该提示只需右键以管理员身份重新运行客户端即可解决。
第二类高发失误是“与其他 VPN 或杀毒软件网络驱动冲突”。许多计算机中同时安装了企业 SSL VPN 客户端、虚拟机软件（如 VMware / VirtualBox 虚拟网卡）或杀毒卫士的网络过滤驱动。这些底层驱动彼此争抢网络接口路由优先级，往往会造成路由表回环死锁，表现为整机网络瞬间中断且所有节点测试均显示超时。关闭或暂时禁用冲突的虚拟网卡即可排除干扰。
七、关闭 TUN 模式后如何恢复默认网络连接
在正常使用流程中，只需在 Clash Party 软件界面将 TUN 模式开关拨回关闭状态，客户端核心会自动调用操作系统 API 注销虚拟适配器，并将主路由表与 DNS 配置平稳复原至物理网卡。但在少数突发意外情况下（例如电脑突然异常重启、客户端被任务管理器强制终止），系统路由表可能滞留在将流量指向已不存在的虚拟网卡状态，导致关掉软件后整机无法访问任何网页。
面对这一情况，恢复网络的标准步骤为：首先重新启动客户端，开启 TUN 后再点击正常关闭，促使程序自动执行清理钩子；若仍未恢复，可在 Windows 中以管理员身份打开命令提示符，依序执行“netsh winsock reset”重置网络套接字目录，并执行“ipconfig /flushdns”清除缓存，随后重启计算机即可彻底恢复原始网络环境。