Clash 的 TUN 模式和系统代理有什么区别

TUN 模式是 Clash 内核层面的网络穿透机制，它通过在操作系统中创建一个虚拟网卡（TUN 设备），将所有经过系统的流量强制路由到 Clash 的代理规则引擎中。与系统代理不同，它不依赖应用层的配置，而是从底层接管整个系统的网络栈。例如，在 Windows 上启用 TUN 模式后，即使你打开一个从未配置过代理的命令行工具（如 curl），其流量也会被自动转发至 Clash 定义的节点，而无需额外设置。

系统代理本质上是一种应用级透明代理，仅对支持 SOCKS5/HTTP 代理协议的应用生效。比如浏览器、部分下载工具或专门配置了代理的客户端，但像系统自带的更新服务、游戏启动器、某些后台进程等，往往绕过代理直接连接。以某款国产软件为例，其内建的自动更新模块会跳过系统代理设置，导致更新失败或暴露真实 IP。

TUN 模式的最大优势在于“全量覆盖”。在实际使用中，当开启 TUN 模式后，通过 Wireshark 抓包可以发现，几乎所有出站数据包——包括来自系统服务、未显式配置代理的程序、甚至局域网内设备的广播请求——都会经过 Clash 的规则判断。这使得用户能真正实现“全局代理”，避免因某个小应用漏掉代理而导致隐私泄露。

相比之下，系统代理的配置需要手动为每个应用设定代理参数，且在跨平台场景下容易出错。比如在 macOS 系统中，若只设置系统代理而未开启“自动代理配置”功能，部分 App Store 下载任务仍会直连，从而暴露地理位置信息。而 TUN 模式一旦启用，这类问题基本消失，因为流量路径由内核控制，不受单个应用行为影响。

性能方面，TUN 模式通常带来更高的延迟和资源开销。实测数据显示，在高负载环境下，开启 TUN 模式可能导致系统平均延迟增加 15~30 毫秒，内存占用上升约 20~40MB。这源于每次数据包都要经过内核态与用户态的多次切换，以及 Clash 对每个包进行规则匹配的计算过程。因此，对于追求极致速度的用户，可选择性地关闭 TUN 模式，仅对特定应用启用系统代理。

在具体实践中，建议根据需求分层使用。例如，日常浏览网页、看视频时可用 TUN 模式保证全面防护；但在运行大型游戏或需要低延迟通信的场景中，可临时切换回系统代理模式，或仅对特定进程（如 Steam、Discord）启用系统代理，以平衡安全与性能。Clash for Windows 提供了“按应用分流”的功能，允许用户为不同程序指定不同的代理方式。

至于如何应对实际痛点，比如应届生没有实习经验简历填什么，或 AI 生成简历后还要改哪些地方实操经验，这些都与网络工具的选择逻辑相似：核心在于“精准匹配目标场景”。简历优化不是堆砌术语，而是用具体项目说明能力。例如，把“参与过校园社团活动”转化为“主导组织 3 场校级活动，协调 15 名成员，累计吸引 800+ 参与者”，这与 TUN 模式强调“全面覆盖”一样，都是通过细节体现价值。同样，AI 生成的简历若缺乏真实经历支撑，必须补充量化成果和情境描述，否则极易被筛选系统识别为模板化内容。