Clash开启TUN模式后无法上网：权限、路由、DNS排查指南
简答：Clash开启TUN后无法上网，最先做的不是重置网络，而是关闭TUN并确认系统代理仍能正常访问；如果关闭TUN就恢复，问题通常集中在TUN权限、虚拟网卡或默认路由、DNS接管、IPv6设置，以及其他VPN或虚拟网卡冲突。按“权限—路由—DNS—冲突”顺序只改一个变量，通常比反复更换节点更容易定位。本文核验日期为2026年10月28日。
定义：TUN模式是通过虚拟网络接口接管系统层流量的工作方式，覆盖范围通常比只修改系统代理更广，因此权限、路由和DNS任一环节异常都可能表现为整机无法上网。
先试这一步：关闭TUN，确认是不是TUN接管层故障
如果你现在开启TUN后所有应用都打不开网页，先在客户端中关闭TUN，保留同一个配置、同一个节点和同一个测试网址，再打开系统代理进行对照。Clash Verge Rev的设置说明明确区分了系统代理与TUN：TUN用于捕获系统流量，启用TUN后通常不需要再开启系统代理；TUN还需要服务模式或管理员权限。可参考Clash Verge Rev设置说明和Windows服务与权限FAQ。
- 关闭TUN，开启系统代理。
- 使用同一个浏览器访问一个平时可访问的网站，并观察客户端的Connections或日志。
- 如果关闭TUN后恢复，优先检查权限、虚拟网卡、路由、DNS和软件冲突；不要先换节点。
- 如果关闭TUN仍不能访问，再转向订阅、节点、端口或普通代理故障排查。
| 现象 | 优先检查 | 不要急着做 |
|---|---|---|
| 关闭TUN后恢复 | 管理员权限、服务模式、TUN网卡、路由、DNS | 不要直接重置网络 |
| 系统代理也无法访问 | 节点、订阅、mixed-port、连接日志 | 不要把问题归因于TUN |
| 只有部分应用无法访问 | 应用是否遵守系统代理、规则命中、IPv6 | 不要反复改DNS |
| 所有应用断网且TUN无法关闭 | 退出客户端、恢复系统代理和网卡状态 | 不要连续启用多个接管工具 |
最短排查流程：权限、虚拟网卡与服务模式
先确认客户端确实有权限建立TUN。Windows桌面端通常需要服务模式或管理员运行；Clash Verge Rev文档说明，普通用户模式不能使用TUN，可以安装服务，或完全退出程序后右键选择“以管理员身份运行”。如果客户端提示服务不可用、TUN不可用、权限不足，先处理这一项。
- 完全退出客户端，包括托盘图标，不要只关闭主窗口。
- Windows：右键客户端快捷方式，选择“以管理员身份运行”；如果客户端提供“安装服务”或“服务模式”，按界面安装并重新授权。
- macOS：确认系统弹出的网络扩展或VPN授权已允许；若没有授权提示，先关闭TUN、退出客户端，再重新启动并观察系统设置中的网络扩展或VPN项目。
- Linux：确认客户端进程有建立TUN接口和配置路由所需的权限；不要在不清楚影响范围时直接执行清空路由表的命令。
- 重新开启TUN，只观察是否出现虚拟接口、服务启动失败或权限错误。
如果TUN开关刚开启就自动关闭，优先看日志中的service、permission、tun、interface、route、permission denied等关键词。若客户端显示已安装服务但内核没有通过服务运行，也应先修复运行模式，再继续检查DNS。
检查虚拟网卡、默认路由和网卡冲突
TUN会把流量引入虚拟接口。mihomo的官方TUN文档将auto-route定义为自动设置全局路由，将流量导入TUN；strict-route还会加强路由约束，但在某些场景可能影响虚拟机等软件。相关字段应以当前客户端实际使用的内核版本为准，参考mihomo TUN配置文档。
Windows：打开命令提示符，先执行ipconfig /all查看物理网卡、DNS和虚拟适配器，再执行route print查看默认路由，最后执行netsh interface show interface查看接口状态。Microsoft文档说明，route print用于显示本机IP路由表，netsh interface可管理和查看网络接口。重点观察默认路由是否指向异常接口、TUN接口是否启用，以及是否同时存在多个VPN或虚拟网卡。
macOS：终端执行networksetup -listallnetworkservices查看网络服务，使用networksetup -getdnsservers "Wi-Fi"查看对应服务的DNS；也可以在“系统设置→网络→当前网络→详细信息→DNS”中核对。Apple文档说明，macOS可在网络设置中查看和修改DNS，也提供了networksetup命令行工具。
Linux：终端执行ip addr查看接口，ip route查看路由，ip route get 1.1.1.1查看某个目标实际匹配的路由。ip route用于显示和管理内核路由表，ip route get可查询单个目标的路由结果，参考ip-route官方手册页。
如果同时运行了其他VPN、网游加速器、代理客户端、抓包过滤器、虚拟机网络、WSL或容器网络，先只退出其中一个，再重新测试。一次只改一个变量，并记录恢复前后的现象，避免多个工具同时修改默认路由。
DNS、Fake-IP与浏览器DoH：只在确认路由正常后处理
如果路由和权限看起来正常，但浏览器提示DNS_PROBE_FINISHED、域名打不开，而直接访问已知IP的测试结果不同，再检查DNS。TUN文档说明，dns-mode可决定系统DNS如何配置，dns-hijack可把匹配到的DNS请求导入内部DNS模块；Windows和macOS对发往局域网的DNS请求存在不能自动劫持的限制，Android启用Private DNS时也可能无法自动劫持。
- 先在客户端日志中搜索DNS、resolve、hijack、fake-ip、timeout等关键词。
- 暂时关闭浏览器的安全DNS或DoH进行对照测试，避免浏览器绕过系统DNS；测试结束后按原设置恢复。
- 检查DNS配置中的nameserver、fallback、fake-ip和fake-ip-filter是否为当前内核支持的字段，不要把网上其他版本的完整配置直接覆盖当前配置。
- 如果只有局域网地址打不开，检查TUN的路由排除项、strict-route和局域网网段；不要为了访问局域网而永久关闭全部路由保护。
- 如果开启TUN后日志反复出现DNS请求回到TUN地址或持续超时，先关闭TUN恢复网络，再逐项改DNS设置。
DNS测试通过不等于节点、TLS和所有应用都可用；它只能说明某个域名解析环节得到响应。mihomo的DNS行为还可能受客户端版本、配置字段和实际出口网卡影响，因此无法仅凭一次解析结果下完整可用结论。
按日志错误类型分流：不要把所有问题都当成节点故障
| 关键词或现象 | 更可能的层级 | 下一步 |
|---|---|---|
| permission denied、service unavailable、TUN unavailable | 权限或服务 | 管理员运行、安装或修复服务，确认内核由服务启动 |
| route、default route、interface not found | 虚拟网卡或路由 | 查看接口状态和路由表，退出其他VPN及虚拟网络工具 |
| DNS timeout、resolve failed | DNS接管或解析 | 核对DNS模式、DoH、Fake-IP与局域网DNS路径 |
| connection refused、mixed-port unavailable | 本地端口 | 确认端口监听、系统代理端口和是否有旧客户端占用 |
| 节点timeout、TLS handshake failed | 节点或出口连接 | 关闭TUN后用同一节点测试，区分节点问题与TUN问题 |
| 只有某个应用失败 | 应用代理行为或规则 | 检查应用是否遵守系统代理、规则命中和IPv6路径 |
建议每次只保留一个固定节点，清空旧连接后依次测试：关闭TUN加系统代理、开启TUN、再恢复原设置。这样可以把“订阅或节点问题”和“TUN接管问题”分开。
恢复与回滚：先让网络恢复，再继续定位
- 先关闭TUN；如果仍无网络，关闭系统代理并完全退出客户端。
- 确认系统网络设置已恢复为原来的代理状态，必要时重新连接Wi-Fi或网线。
- 不要直接执行Windows网络重置、清空Linux全部路由或删除所有网络适配器；这些操作影响范围大，应放在备份设置和记录现状之后。
- 重新启动客户端但不要立即开启TUN，先确认普通系统代理可用。
- 只重新开启权限或服务模式，确认TUN能启动；再逐项恢复路由、DNS、Fake-IP、IPv6等设置。
- 若某一步再次断网，撤销刚改的那一项，并保存客户端日志、操作系统、客户端版本和内核版本，便于继续定位。
本文是缥缈墟上的第三方使用指南，不代表任何客户端或内核官方。客户端界面、字段名称和权限方式可能随版本变化；涉及具体版本时，应以对应项目的当前文档和发布说明为准。
补充更新：核验依据与适用范围
本文依据截至2026年10月28日可访问的客户端设置说明、Windows网络命令文档、Apple网络设置文档、Linux ip-route手册和mihomo TUN文档整理。mihomo官方仓库还显示其TUN配置包含auto-route、auto-detect-interface、dns-mode、dns-hijack、strict-route等字段，但字段是否能直接在你的客户端界面中修改，仍需按客户端和内核版本核验，不能把配置骨架当作可直接运行的成品。
如果你已经完成权限、路由和DNS排查，仍只有某个订阅或节点失败，可继续查看Clash不能用了怎么办；如果问题集中在解析、Fake-IP或nameserver，再查看Clash DNS设置排查指南。
常见问题
Clash开启TUN后无法上网，第一步应该做什么？
关闭TUN，保留同一个配置和节点，开启系统代理进行对照。如果关闭TUN后恢复，说明问题更可能在权限、虚拟网卡、默认路由、DNS接管或其他网络工具冲突，而不是节点本身。
开启TUN时必须同时开启系统代理吗？
通常不需要。Clash Verge Rev的设置说明将TUN描述为捕获系统流量的虚拟网卡模式，并提示启用TUN后无需再开启系统代理。实际仍应以当前客户端界面和内核行为为准。
Windows为什么提示TUN需要管理员权限或服务模式？
TUN需要建立虚拟网络接口并调整系统级路由。Clash Verge Rev文档说明，Windows普通用户模式不能使用TUN，可选择安装服务模式，或完全退出后以管理员身份运行客户端。
TUN开启后只有局域网打不开，应该改哪里？
先检查TUN的路由排除项、strict-route和局域网网段，再检查其他VPN、虚拟机和虚拟网卡是否改变了路由。不要一开始就关闭全部路由保护，也不要直接清空系统路由表。
DNS测试正常，为什么网页仍然打不开？
DNS只覆盖域名解析环节，不能证明节点连接、TLS握手、规则命中、端口监听和所有应用都正常。应继续查看Connections和日志中的timeout、connection refused、TLS或规则动作。