1. 先了解 TUN 会改变什么
Clash Verge Rev 的 TUN 模式会通过虚拟网络接口接收系统流量，再交给 mihomo 内核处理。它主要用于接管没有使用 Windows 系统代理设置的程序，例如部分游戏、命令行工具、桌面软件或自行管理网络连接的应用。浏览器能通过系统代理联网，并不代表这些应用也会自动走代理；TUN 提供的是另一条流量入口。
开启 TUN 不等于“所有流量强制代理”。流量进入内核后，仍由当前运行模式、规则、策略组和路由选项决定出口。规则模式下，连接按规则顺序匹配；如果命中 DIRECT，它仍会直连。若配置里没有可用的代理节点或策略组，TUN 也不会凭空创建代理线路。
- 系统代理：设置 Windows 的 HTTP／HTTPS 代理信息，遵循系统代理的程序通常可以使用。
- TUN：建立虚拟接口并接管更多网络连接，适合不遵循系统代理设置的程序，但涉及路由和 DNS，排查范围也更广。
- 规则与模式：决定进入内核的连接如何处理；TUN 只解决流量入口，不替代规则配置。
2. 开启前检查 Windows 与客户端状态
开始设置前，先更新或确认 Clash Verge Rev 已安装完成，并确保当前配置可以正常启动。至少选中一个可用节点，确认策略组不是空的；暂时保留原有 DNS、规则和系统代理设置。若当前普通代理本身就无法联网，先排除订阅、节点和规则问题，再增加 TUN 变量会更容易定位故障。
- 记录当前状态：记下配置名称、代理模式、系统代理开关和 DNS 设置。若之后需要回退，可以恢复到相同状态。
- 检查其他网络接管工具：暂时退出可能创建虚拟网卡、修改路由或接管 DNS 的 VPN、旧代理客户端及网络过滤软件。多个工具同时改写路由时，可能出现连接间歇中断或出口不确定。
- 确认网络环境：如果正在使用公司 VPN、校园网认证、虚拟机或多网卡电脑，先确认这些网络确实不依赖特定路由。TUN 的自动路由设置可能影响它们。
- 准备管理员授权：Windows 创建或配置虚拟网络接口、安装客户端服务时可能弹出用户账户控制提示。只在确认提示来自已安装的 Clash Verge Rev 后授权。
通常不需要长期以管理员身份运行整个客户端。较稳妥的做法是按客户端提供的服务安装或启用流程完成授权，然后以普通权限启动界面。不要为了消除权限提示而关闭 Windows 安全机制，也不要从不明来源单独下载虚拟网卡驱动。
如果电脑由组织管理，管理员策略可能禁止安装服务、创建网络接口或修改路由。此时即使界面开关可见，启动也可能失败；应先确认设备策略允许相关操作，而不是反复卸载、重装驱动。
3. 安装服务并启用 TUN
不同版本的 Clash Verge Rev 菜单布局可能不同，以下按设置项的功能说明操作。通常需要先处理服务模式，再启用 TUN；如果你的版本将服务管理放在“设置”“通用”或“内核”页面，请以页面上的服务状态和说明为准，不要只依赖某个固定菜单位置。
- 启动 Clash Verge Rev：打开客户端，选择一份可用配置并启动内核。确认首页或运行状态区域没有配置解析失败、内核启动失败等提示。
- 安装或启动服务：进入服务模式或服务管理相关设置，使用客户端提供的“安装服务”“启动服务”一类操作。出现 Windows 权限确认时核对程序来源并允许。若界面显示服务未安装或未运行，先按页面提示处理，不要跳过服务步骤直接反复点击 TUN 开关。
- 打开 TUN：在设置中找到 TUN 模式开关并启用。某些版本还会显示虚拟网卡、协议栈、自动路由或 DNS 劫持等选项；新手建议先使用客户端提供的默认值，避免同时改动多个参数。
- 等待接口建立：留意客户端状态、Windows 权限弹窗和网络连接图标。首次创建接口可能需要数秒；若弹出确认窗口，应完成确认后再测试，不要在服务尚未启动时连续切换开关。
- 验证普通代理仍可用：在客户端选择一个已知可用的代理策略，再打开此前能够通过系统代理访问的网页，确认内核和节点没有因配置切换而停止。
如果某个版本没有单独的“服务模式”页面，或服务按钮显示为“修复”“卸载”等状态，不要根据其他版本的截图猜测操作。先查看客户端当前页面提示及启动日志，确认服务实际状态，再决定是否重新安装服务。服务安装成功与 TUN 流量已正常接管是两个不同的检查项。
4. 用接口、连接记录和实际应用验证
判断 TUN 是否生效，不要只看开关颜色。至少要确认客户端服务运行、虚拟接口出现、目标连接进入内核，并且该连接按预期选择了代理或直连。测试时一次只使用一个目标应用，避免浏览器系统代理与 TUN 同时参与而造成结果混淆。
- 查看 Windows 网络接口：打开 PowerShell，执行
Get-NetAdapter，查看是否出现与客户端或 mihomo 相关的虚拟接口。接口显示名称会受版本和驱动影响；没有直观的“Clash”字样不一定代表失败，应结合客户端状态判断。 - 检查连接列表：在 Clash Verge Rev 的连接页面观察测试应用发起的连接，查看目标地址、命中规则、策略组和最终出站。如果连接没有出现，先查流量是否被其他 VPN 或本地防火墙拦截，或应用是否使用了不兼容的网络方式。
- 选择非系统代理应用测试：使用一个平时不读取 Windows 代理设置的程序进行连接测试。先测试普通 TCP 网站，再测试目标应用的实际功能；浏览器网页成功只能说明浏览器请求可达，不能代表所有协议和程序都已接管。
- 确认出口符合预期：如果连接出现在列表中但命中
DIRECT，检查规则顺序和当前模式；如果命中代理策略组，检查该组当前选中的节点。TUN 不会自动更改规则结果。 - 测试局域网访问：确认打印机、NAS、路由器管理地址及企业内网服务是否仍可访问。若局域网连接受到影响，先关闭 TUN 回到原状态，再检查当前版本提供的局域网绕过或路由排除选项。
可以在 PowerShell 中用 Get-NetAdapter 观察接口状态，也可用 route print 查看路由表。路由表信息较多，不建议新手直接手动删除或添加路由；先保存输出并对照客户端日志。若 TUN 一开启就断网，立即关闭 TUN，确认系统代理和原网络恢复后，再逐项检查服务、接口及路由设置。
连接列表是判断“请求有没有进入内核”的重要证据，但并非所有失败都能归因于 TUN。记录测试时间、目标应用、连接是否出现、命中规则和错误日志，可帮助区分接管失败、DNS 失败、规则选择错误及节点连接故障。
5. 常见故障与安全回退
服务安装或启动失败
先检查是否出现 Windows 权限确认、服务未运行提示或旧服务残留。完全退出客户端后重新打开，再按客户端的服务管理提示执行安装或修复；若公司策略阻止服务安装，应联系设备管理员。不要通过删除不认识的系统服务或手动清理驱动文件来尝试修复。
TUN 开关已打开，但应用连接没有进入列表
确认服务和内核均处于运行状态，再检查虚拟接口是否建立。暂时退出其他 VPN、网络过滤器和第二个代理客户端，然后使用一个简单的 TCP 连接重新测试。若只有单个应用不出现连接，检查该应用是否使用自定义网络栈、专用 VPN 或独立代理设置；TUN 对每种程序和协议的覆盖行为并非完全相同。
开启后 DNS 异常或局域网不可用
分别检查内核 DNS 状态和路由结果，不要把两者混为一谈。mihomo 的 TUN 配置可能包含 dns-hijack、auto-route、auto-detect-interface 等字段，但这些字段应由客户端实际生成的运行配置和当前内核版本决定。若客户端提供图形选项，优先通过界面调整；不要直接编辑订阅缓存文件，因为客户端更新或重载配置时可能覆盖改动。
安全回退步骤
- 在客户端关闭 TUN，等待虚拟接口和路由恢复。
- 确认 Windows 网络恢复后，再决定是否关闭系统代理；不要同时更改多个开关。
- 若客户端仍不能联网，退出客户端并重新检查 Windows 网络连接，必要时重启电脑，让残留的临时路由和接口状态重新初始化。
- 保留故障时的客户端日志、接口状态和时间点，隐藏订阅令牌、节点密码及控制接口密钥后再寻求支持。
完成设置后，建议先在日常工作中观察一段时间，再逐步测试游戏、局域网设备和其他特殊应用。若 TUN 只为某个程序解决系统代理不生效的问题，也可以在不需要时关闭它，继续使用系统代理；选择最小且稳定的接管范围，通常比一次性修改 DNS、路由和规则更容易维护。