系统代理、规则模式、全局模式和 TUN 的区别

直接答案

代理客户端的网络接管机制分为流量接管层与路由分发层两个独立维度。

流量接管层 (How to intercept)：决定了本机哪些软件的流量会被抓取。系统代理 (System Proxy) 只修改操作系统的 HTTP 代理环境变量，仅对浏览器有效；TUN 模式 通过创建虚拟网卡修改底层路由表，强制接管所有软件 (包括游戏、命令行) 的 TCP/UDP 流量。
路由分发层 (Where to route)：决定了被抓取的流量发往何处。规则模式 (Rule) 基于内置的 GEOIP/Domain 数据库，自动让国内流量直连、被墙流量走节点；全局模式 (Global) 无视所有规则，将所有流量强制打包送往代理节点。日常使用的标准答案是：TUN 模式 + 规则模式 (Rule)。

System Proxy (系统代理 / HTTP Proxy)
- 机制：客户端在本地开启一个 HTTP 监听端口（如 127.0.0.1:7890），并修改 Windows 注册表或 macOS 网络设置中的代理服务器字段。
- 局限性：这是一个“君子协议”。现代浏览器（Chrome/Edge）会主动读取并遵守该设置。但是，许多底层应用（如 UWP 微软商店应用、Python Pip、Git、Steam 游戏客户端等）完全不读取系统代理环境变量，导致它们依然直连网络，从而报错。
TUN 模式 (Tun/Tap 虚拟网卡)
- 机制：这是更暴力的底层接管。客户端向操作系统注册一张名为 clash-verge 等的虚拟网卡，并利用操作系统的路由机制（如 Windows 的 route add 命令），将默认网关指向这块虚拟网卡。
- 优势：所有产生网络请求的软件，其以太网数据帧在发出物理网卡前都会被虚拟网卡拦截。这意味着无需配置任何额外的环境变量，所有软件（包括不支持代理的游戏）都会被强制接管。

当流量成功被客户端（通过上述两种方式之一）拦截后，下一步是决定它的去向。

Rule (规则模式)
- 机制：客户端内核（如 Xray 或 Clash）会逐行读取你配置的规则集。例如，遇到 DOMAIN-SUFFIX,google.com,PROXIES，就将流量丢进加密隧道；遇到 GEOIP,CN,DIRECT，就直接把流量发给真实的物理路由器直连。
- 应用：智能分流。实现看 YouTube 走节点，聊微信走国内直连。既不浪费机场流量，也不影响国内 App 速度。
Global (全局模式)
- 机制：强行将所有被接管的流量，不经任何逻辑判断，全部发往你当前选中的代理节点。
- 应用：用于排障。当规则列表太旧，导致某个罕见的国外网站被错误地“直连”而打不开时，临时切到全局模式强制代理。平时必须关闭，否则你的微信流量会先发到美国节点再绕回腾讯机房，导致延迟高达 300ms 且极其浪费流量。
Direct (直连模式)
- 机制：所有流量一律直连，相当于关闭代理。

测试环境：在未配置环境变量的 CMD 命令行中，输入 curl -I https://www.google.com。如果开启系统代理时失败，而开启 TUN 模式后返回 HTTP/2 200，说明 TUN 模式接管成功。
路由测试：在规则模式下，访问 https://www.ip138.com 显示的是你的国内真实 IP，访问 https://www.ipleak.net 显示的是机场节点的海外 IP。

现象 A：打游戏时开启了代理，但游戏内延迟依然很高，且匹配不到外服。
- 排查与动作：检查是否只开了“系统代理”。游戏走的是 UDP 协议，系统代理无法接管 UDP。必须开启 TUN 模式。
现象 B：开启代理后，国内银行 App 提示风险，或者 Bilibili 提示“海外版权受限”。
- 排查与动作：检查分发模式是否误选了“全局模式 (Global)”。将其立刻切回“规则模式 (Rule)”。如果依然受限，说明你的规则列表未包含该国内域名，请更换更全面的路由规则。

系统代理为什么对游戏无效？

因为游戏普遍使用 UDP 协议发包，且多不读取 HTTP Proxy 环境变量。

如何关闭全局模式？

在客户端的代理或模式设置面板中，切回规则 (Rule) 即可。

开了 TUN 就万无一失吗？

不是，仍取决于你的规则文件是否将特定流量路由给了正确的目标。