TUN 模式與系統代理有什麼區別:流量接管機制逐層拆解
很多人把這兩者當成「設定裡的兩個開關」,切換全憑手感。系統代理靠應用主動讀取設定去連接代理連接埠,TUN 在網路層截獲資料包,不管應用願不願意。這一層差異決定了覆蓋範圍、DNS 行為,以及踩坑時該往哪查。
先搞懂 Clash 是什麼:它不是節點,也不是訂閱服務
第一次接觸 Clash 時,最容易把「Clash」「節點」「訂閱」混成同一件事。其實三者分工完全不同。Clash 是一類代理用戶端及其核心的統稱,負責在你的裝置上監聽本機代理埠、讀取設定檔、按照規則處理連線,再決定流量要直連,還是經由某個遠端代理伺服器轉發。它本身不會自動提供可用的代理線路,安裝完成後沒有節點並不代表軟體故障。
節點是遠端代理伺服器的連線資料,通常包含伺服器位址、連接埠、協定、加密方式與驗證資訊。常見協定包括 Shadowsocks、VMess、Trojan、Hysteria2 等,不同核心和版本支援的協定範圍可能不同。你可以把節點理解成「可供選擇的出口」:選擇不同節點,可能會影響連線速度、延遲、可存取的服務與穩定性。
訂閱則是一個由服務商產生的遠端連結。用戶端下載訂閱後,會取得一份包含多個節點與代理分組的設定資料,有時還會一併取得規則、DNS 或其他參數。訂閱不是單一節點,也不是 Clash 的安裝包;它更像是「定期更新的節點清單」。當服務商增刪節點、調整分流或更換伺服器時,你需要在用戶端裡重新更新訂閱,才能取得最新內容。
小提示:Clash 只是本地端的代理工具,節點與訂閱由其他服務提供。用戶端能否啟動、訂閱能否解析、節點能否連線,是三個不同層次的問題,排查時不要混在一起。
訂閱與節點怎麼運作:從一條連結到實際分流
把訂閱連結貼入 Clash Verge、Clash Verge Rev、Clash for Android 或其他支援 mihomo 核心的客戶端後,用戶端會向服務商的伺服器發出請求,下載一份設定檔。這份檔案可能是完整的 YAML 配置,也可能先經過編碼或由服務商按照客戶端類型動態產生。成功匯入後,介面通常會出現節點列表、代理群組與規則群組。
日常使用時,流量大致會依照以下順序處理:應用程式發出網路請求,Clash 接收請求並解析網域或 IP,規則引擎判斷這個請求應該走「直連」「代理」或「拒絕」,接著由指定的代理群組選出實際節點。群組可能是手動選擇,也可能使用 url-test 自動挑選延遲較低的節點,或使用 fallback 在目前節點無法連線時切換到其他節點。
| 名稱 | 它負責什麼 | 常見誤解 |
|---|---|---|
| Clash 用戶端 | 提供圖形介面,啟動核心,管理設定與本機代理埠 | 以為安裝後就會自帶可用節點 |
| mihomo 核心 | 解析配置、處理規則、建立代理連線 | 以為所有用戶端都使用同一個核心版本 |
| 節點 | 一組遠端伺服器連線資料 | 以為節點數量越多就一定越快 |
| 訂閱 | 集中提供節點與部分設定的更新連結 | 以為訂閱連結本身就是完整客戶端 |
| 代理群組 | 按照手動選擇或自動測試結果決定使用哪個節點 | 以為看到節點列表就代表已經套用該節點 |
訂閱更新成功後,不要只看節點數量有沒有增加。還要確認目前啟用的配置確實是剛下載的那份,代理群組裡有節點,並且「模式」通常設為規則而不是全域。規則模式會按照配置中的分流規則處理不同網域;全域模式則會把大部分請求都送到目前選定的代理,適合短時間測試,不適合不加判斷地長期使用。
訂閱連結等同帳戶資源,不要貼到公開論壇、聊天群組或不明線上解析網站。拿到連結的人可能可以取得你的節點資料,部分服務甚至會因此被他人消耗流量或觸發風控。
第一次實際設定:用最少步驟確認鏈路正常
新手不需要一開始就修改大量 YAML 欄位。先使用客戶端的圖形介面完成匯入、啟用與測試,等基本鏈路確認正常後,再學習規則覆寫與 DNS 調整。以下流程適用於多數桌面與行動端客戶端,實際按鈕名稱可能略有不同。
- 從可信管道取得用戶端:先確認作業系統與架構,再從本站客戶端下載頁進入對應平台的下載入口。不要透過搜尋結果中帶有「破解」「加速版」「永久免費」字樣的安裝包取得軟體。
- 開啟客戶端並確認核心:在關於或設定頁查看目前使用的核心。若訂閱包含 Hysteria2 等較新的代理類型,應確認客戶端使用的是 Clash Meta/mihomo 核心,而不是已停止維護、功能較舊的核心。
- 新增訂閱:進入「訂閱」「Profiles」或類似頁面,貼上服務商提供的訂閱連結,儲存後執行更新。連結前後不要自行加上空格或換行,某些客戶端會因此無法正確請求。
- 啟用配置:下載完成後,點擊該配置或選擇「設為目前配置」。只完成下載不等於已經使用,這是新手最常漏掉的一步。
- 選擇代理群組:進入代理頁面,先在主要代理群組中手動選一個節點。確認節點可以連線後,再改用自動選擇或延遲測試群組。
- 先用系統代理測試:桌面端可先開啟「設為系統代理」,手機端則依客戶端提示建立 VPN 連線。先不要同時開啟多個 VPN、其他代理工具或 TUN 模式,避免把故障面擴大。
- 做兩類測試:開啟一個平常需要代理的網站,再開啟一個本地常用網站,同時查看日誌或連線列表。前者應按照規則走代理,後者通常應直連,這比只看介面上的「已連線」更可靠。
mode: rule
mixed-port: 7890
log-level: info
上面的片段只是用來理解概念,不是可以直接套用到所有訂閱的完整配置。mixed-port 是同時接受 HTTP 與 SOCKS 請求的本機代理埠,實際埠號仍以客戶端設定為準。若需要在終端測試,可以用本機埠直接發送請求:
curl -x http://127.0.0.1:7890 https://example.com -I如果這個命令能取得回應,代表 Clash 本地代理埠至少正在工作;若瀏覽器仍然沒有走代理,再檢查系統代理開關、瀏覽器獨立設定與例外清單。不要因為一個測試失敗就立刻重新安裝整個客戶端。
基本驗證通過的標準是三項:配置能成功解析、代理群組能選到節點、實際請求在日誌裡呈現正確的規則命中結果。只看到節點名稱或延遲數字,不能單獨證明分流已經生效。
用戶端怎麼選:先按平台與需求分類
不同 Clash 用戶端的差異,不只在介面外觀,還包括核心來源、更新狀態、TUN 支援、權限需求與配置管理方式。新手選擇時,優先考慮平台相容性與維護狀態,不要只看宣傳頁面上的節點數量或「一鍵加速」字樣。
| 使用平台 | 可優先了解的客戶端方向 | 適合情境 | 注意事項 |
|---|---|---|---|
| Windows | Clash Verge Rev、其他支援 mihomo 的桌面客戶端 | 需要系統代理、規則管理與 TUN 的桌面使用者 | 開 TUN 可能需要服務模式或管理員權限 |
| macOS | ClashX 或支援 mihomo 的 macOS 客戶端 | 瀏覽器、終端與桌面應用的分流需求 | 系統版本、網路延伸與權限提示要依說明授權 |
| Android | 支援 Clash Meta/mihomo 的安卓客戶端 | 手機 VPN、按應用程式分流或 TUN 接管 | 省電策略可能中止背景服務,需檢查系統限制 |
| iPhone/iPad | 選擇仍在維護且明確支援所需協定的用戶端 | 在系統 VPN 框架下管理代理連線 | 權限、App Store 上架狀態與協定支援需個別確認 |
Windows 新手若重視設定清楚、需要 TUN 或規則分流,可以先了解 Clash Verge Rev 的基本操作。macOS 使用者要特別留意系統權限與網路延伸提示,不要看到要求授權就全部拒絕,也不要在不了解用途時盲目允許所有背景項目。Android 使用者則要在連線穩定與耗電之間取平衡:只需要瀏覽器代理時,系統代理或應用內代理可能已經足夠,不必全天候開啟 TUN。
另外,「Clash for Windows」這個名稱在網路上仍很常見,但名稱常被第三方重新包裝或拿來吸引下載。判斷客戶端時,不要只看檔名;要看發布來源、更新時間、使用的核心以及是否能在設定頁確認版本資訊。已停止維護的核心可能無法解析訂閱裡的新欄位,遇到節點全部逾時、配置載入失敗或部分節點消失時,核心版本就是重要檢查項目。
避開假下載網站:下載與訂閱的安全底線
Clash 相關搜尋結果裡,常見以「官方」「最新版」「免設定」包裝的第三方頁面。這些頁面可能放置修改過的安裝包、捆綁軟體、假更新程式,或要求你先安裝瀏覽器擴充功能。代理工具本身具有較高的網路權限,因此下載來源比一般小工具更值得仔細確認。
- 不要把廣告標籤當成官方標誌:搜尋結果置頂、頁面有大量下載按鈕,都不能證明來源可信。優先從本站的客戶端入口查看平台分類與說明。
- 不要下載所謂破解版或解鎖版:代理工具不需要透過破解來取得節點。要求關閉防毒、停用系統防護或以未知命令安裝的檔案,應直接停止操作。
- 注意網址與跳轉:下載按鈕點擊後若跳到陌生網域、彈出多個視窗或要求輸入訂閱帳號,不要繼續。真正的下載流程不應要求你公開訂閱連結。
- 不要使用公開訂閱轉換器:把私人訂閱貼給不明網站,等於把節點憑證交給第三方。即使網站聲稱只做格式轉換,也無法保證資料不被保存或轉售。
- 分開管理帳戶與訂閱:服務商帳戶使用獨立密碼,不要和電子郵件、銀行或主要社交帳戶共用。訂閱連結洩漏後,按照服務商提供的流程重置或重新產生。
看到「輸入訂閱連結即可免費測速」「貼上連結自動生成配置」這類工具時先停下來。訂閱連結通常含有可識別帳戶的授權資訊,不應交給不明網站處理。
開始使用前的安全意識:代理不是匿名保證
Clash 能改變特定流量的出口,但它不等於完整的匿名工具,也不會自動保護所有應用程式。系統代理只對願意讀取代理設定的應用生效;沒有設定 TUN 時,部分遊戲、背景服務、命令列工具與自建網路連線可能仍然直連。即使開啟 TUN,規則中的直連項目、區域網路例外、DNS 設定與其他 VPN 軟體衝突,都可能讓部分流量不經代理。
使用公共 Wi-Fi 時,不要因為開了代理就忽略網站本身的加密與帳戶安全。登入重要服務時仍應確認網址正確、啟用雙重驗證,不要在來路不明的節點上進行高敏感度操作。節點服務商理論上可能看見部分連線中繼資訊,因此選擇服務時要看清楚付款方式、隱私政策、流量紀錄說明與退款規則,不要只用「節點很多」判斷品質。
配置檔也不應任意複製網路上的完整版本。YAML 縮排錯誤、錯誤的 DNS 模式、重複的埠設定或互相衝突的路由,都可能造成啟動失敗與斷網。新手先保留原始配置,每次只改一個項目,改完重新載入並查看日誌。若遇到無法判斷的情況,先關閉 TUN、回到系統代理或恢復上一份配置,讓排查回到可控範圍。
- 確認用戶端來源與核心狀態,不要使用來源不明的修改版。
- 確認訂閱服務商可信,訂閱連結只儲存在自己的客戶端或密碼管理工具中。
- 先用規則模式與單一節點測試,不要一開始就同時修改 DNS、TUN、腳本與覆寫設定。
- 從日誌確認實際命中規則,分別測試代理網站與本地直連網站。
- 遇到異常時保留錯誤訊息、核心版本與配置變更紀錄,再逐項回退。
理解這幾個基本概念後,Clash 就不再是一個只能照著按鈕操作的黑盒子。你可以分辨「客戶端沒有啟動」「訂閱沒有更新」「節點無法連線」「規則沒有命中」這些不同問題,也能按照自己的平台與流量需求選擇合適的用戶端。下一步可從本站的配置教程開始,逐步學習代理群組、分流規則、DNS 與 TUN 模式的實際設定。