外观
TUN 模式开不了或开启后无法上网怎么办
结论先说：TUN 出问题分两种情况，排查方向完全不同。
- 开不了（开关点不动、开了又自动关、报权限错误）：几乎都是权限或服务组件的问题，其次是与其他 VPN 软件冲突；
- 开了但上不了网：多半是 DNS 接管、与其他虚拟网卡或安全软件冲突，或者节点本身就不可用。
先关闭 TUN、只开系统代理测一次：系统代理下能正常访问，说明订阅和节点没问题，故障就在 TUN 本身。TUN 的开启方法见 代理客户端 TUN 模式怎么开：各客户端设置要点，本文只处理开启失败和开启后的异常。
故障表现
开不了
- 点 TUN 开关没有反应，或打开后几秒自动关闭；
- 提示需要管理员权限、服务未安装、服务未运行；
- 提示虚拟网卡创建失败、驱动加载失败；
- macOS 上提示需要授权，或授权后仍无法开启。
开了但不能用
- 开启 TUN 后，所有网站都打不开，关掉 TUN 立刻恢复；
- 能打开部分网站，但很多网站提示无法解析域名；
- 国内网站也变慢或打不开；
- 开启 TUN 后，公司 VPN、虚拟机或局域网共享不能用了。
适用环境
- Windows 11、macOS 15 及更新版本；
- Clash Verge Rev、FlClash、v2rayN 等提供 TUN（虚拟网卡）模式的电脑端客户端。
手机客户端本身就以 VPN 方式运行，没有单独的 TUN 开关；手机上连接失败请看 电脑能用、手机不能用怎么排查。关闭 TUN 或退出客户端后电脑上不了网，属于设置残留，请看 关闭代理后电脑无法上网，如何检查系统设置。
检查步骤
1. 先用系统代理做对照
关闭 TUN，打开系统代理，访问一个海外网站：
- 系统代理也不行：问题不在 TUN，先按 机场所有节点都超时，应该按什么顺序排查 处理；
- 系统代理正常：继续下面的步骤。
2. 检查权限与服务组件（开不了时优先）
TUN 需要创建虚拟网卡、修改系统路由，必须有更高的系统权限。不同客户端获取权限的方式不同：
| 客户端类型 | 常见做法 |
|---|---|
| Clash Verge Rev | 安装并启用“服务模式”，由后台服务负责创建虚拟网卡 |
| v2rayN（Windows） | 以管理员身份运行客户端 |
| 其他客户端 | 按客户端提示授权，或安装其附带的辅助组件 |
| macOS 上的客户端 | 在系统弹出的授权对话框中输入登录密码；部分客户端需要在系统设置里允许其网络扩展 |
检查要点：
- 服务模式是否显示“已安装”且正在运行；客户端升级后，服务组件有时需要重新安装；
- Windows 上是否被安全软件拦截了服务安装或驱动加载；
- macOS 上之前是否点了“不允许”，导致授权一直没有生效。
3. 检查其他 VPN、加速器与虚拟网卡
同时运行多个会接管网络的软件，最容易互相抢路由：
- 其他代理客户端（包括已退出但后台服务仍在运行的）；
- 公司 VPN、游戏加速器、网络加速器；
- 虚拟机软件、容器工具创建的虚拟网卡；
- 带有“网络防护”“流量过滤”功能的安全软件。
先把这些全部退出，只保留一个代理客户端，再开启 TUN 测试。Windows 可以在 设置 → 网络和 Internet → 高级网络设置 中查看当前有哪些网络适配器处于启用状态。
4. 检查 DNS 接管（开了能连但网站打不开时优先）
开启 TUN 后，电脑上所有程序的 DNS 查询都会交给客户端处理。下列情况会导致“域名解析失败”：
- 客户端里关闭了 DNS 功能，或手动改过 DNS 设置；
- 系统网卡上手动设置了 DNS 地址，与客户端的接管方式冲突；
- 浏览器开启了“安全 DNS”（加密 DNS），绕过了客户端的 DNS 处理。
检查方法：打开客户端的日志页面，访问一个打不开的网站，看是否有 DNS 解析失败的记录。日志的看法见 怎么看代理客户端日志：定位连接失败的原因；DNS 设置的含义见 DNS 是什么？代理里的 DNS 设置怎么理解。
5. 检查 IPv6
部分客户端的 TUN 只接管 IPv4。如果本地网络有 IPv6，一部分流量会从 IPv6 绕过虚拟网卡，表现为部分网站正常、部分异常，或者出口地区不一致。判断方法见 开启 IPv6 后代理异常怎么排查。
6. 检查规则与“绕过”设置
TUN 模式下，局域网地址、公司内网地址也会进入客户端。如果客户端没有把这些地址设为直连，就会出现“开 TUN 后打印机、NAS、公司内网不能用”。确认规则中有局域网直连的规则；客户端如有“绕过局域网”之类的选项，保持开启。
对应处理
| 检查结果 | 处理方法 |
|---|---|
| 提示需要管理员权限 | Windows 上以管理员身份运行客户端；或改用客户端提供的服务模式 |
| 服务模式未安装或未运行 | 在客户端设置中重新安装服务，安装后重启客户端；升级客户端后重新安装一次 |
| 安全软件拦截服务或驱动 | 在安全软件中允许该客户端，或临时关闭防护测试；以官方渠道下载的客户端为准 |
| macOS 授权被拒绝 | 关闭客户端，在系统设置中找到相应的授权或网络扩展项重新允许；必要时卸载服务后重新安装 |
| 与其他 VPN 或加速器冲突 | 同一时间只运行一个接管网络的软件；需要公司 VPN 时，先关闭 TUN 改用系统代理 |
| DNS 解析失败 | 恢复客户端默认 DNS 设置；把系统网卡的 DNS 改回自动获取；关闭浏览器的安全 DNS 后再测 |
| 部分网站正常、部分异常，与 IPv6 有关 | 按 开启 IPv6 后代理异常怎么排查 处理 |
| 局域网设备或内网不能用 | 开启客户端的局域网绕过；在规则中为内网网段或域名添加直连 |
| 开启 TUN 后国内网站很慢 | 确认处于规则模式而非全局模式；更新订阅以获取最新的国内直连规则 |
| 以上都处理后仍不行 | 退出客户端、重启电脑后只开 TUN 测试；仍不行时更换客户端版本或客户端，见 更换代理客户端，订阅和规则怎么迁移 |
不要为了 TUN 随意修改系统网络设置
排查过程中改过的系统 DNS、网卡设置，测试完要改回原样。TUN 异常时最稳妥的临时办法是：关闭 TUN，先用系统代理，配合在应用里单独设置代理，见 浏览器能访问，为什么应用程序连接失败。
恢复验证
- 开启 TUN，打开一个海外网站和一个国内网站，都能正常访问；
- 在终端里执行一次联网命令（例如拉取一个公开仓库），确认不读取系统代理的程序也能通过代理；
- 客户端连接记录里能看到浏览器以外的程序发出的请求；
- 关闭 TUN，确认网络能回到正常状态；再重新开启一次，确认可以反复开关；
- 重启电脑后再开启 TUN，确认服务组件随系统正常启动。