开启 TUN 模式后断网：冲突软件与网络扩展排查

TUN 断网的本质：路由被接管了，但接管方没能正常工作

开启 TUN 后断网，几乎都可以归入四类原因：其他虚拟网卡类软件与 TUN 争夺默认路由；TUN 依赖的系统服务或网络扩展没有就绪；DNS 查询没有被正确接管；节点服务器的地址被路由回 TUN 自身形成回环。 TUN 会把系统默认路由指向一块虚拟网卡，所有流量都要经过它，因此只要它这一环出问题，表现就是整机断网，而不是个别网站打不开。

TUN 与系统代理的原理差异见 Windows 系统代理与 TUN 模式有什么区别；macOS 授权提示的处理见 macOS 网络扩展权限提示怎么处理。本文专注于“已经开了 TUN，却断网了”的排查。

先做一个分类判断

关闭 TUN，确认网络恢复；再打开 TUN，观察断网的具体表现：

表现	更可能的类别	从哪里查起
客户端提示 TUN 启动失败	服务或扩展未就绪	客户端日志与权限
TUN 显示已启动，但所有连接都失败	路由冲突或回环	其他网络软件、路由表
用 IP 能访问，用域名不行	DNS 未接管	DNS 劫持设置
一段时间后才断，或间歇断	冲突软件在后台重写路由	后台运行的 VPN 与加速器

用 IP 测试的方法：在命令行对一个公共服务的 IP 地址发起请求，同时对一个域名发起请求，比较两者结果。

第一类：与其他软件的冲突

以下几类软件都会创建虚拟网卡或修改路由，与 TUN 同时运行时容易冲突：

• 公司或学校的 VPN 客户端：它们往往要求自己的路由优先，甚至由管理策略强制；
• 其他代理工具：两个客户端同时开 TUN，或一个开 TUN 一个开系统代理，处理方法见 同时运行多个代理工具的冲突；
• 虚拟机软件：会安装虚拟网卡和网络过滤驱动；
• 游戏加速器、网络优化工具：工作方式与 TUN 类似；
• 带网络防护功能的安全软件：可能拦截新出现的虚拟网卡或其路由修改。

排查方法是逐一退出这些软件（不是最小化，而是从托盘或菜单栏完全退出），每退出一个就重新开启 TUN 测试一次。找到冲突对象后，按需求二选一：要么在使用代理时退出它，要么在客户端设置中排除它所需的地址段。公司设备上的 VPN 受单位管理，请遵守单位的规定，不要自行修改其配置。

第二类：服务或网络扩展未就绪

TUN 需要系统级权限才能创建网卡和改路由：

• Windows：Clash 系客户端通常通过安装一个后台服务获得权限，服务未安装、被停止或版本不匹配时，TUN 无法正常启动；部分客户端则要求以管理员身份运行；
• macOS：需要批准网络扩展或安装辅助程序，批准后系统大版本更新可能需要重新授权；
• Linux：需要相应的网络管理权限。

处理顺序：在客户端设置中重新安装或修复服务，或以管理员身份重启客户端；macOS 上到系统设置中确认扩展处于启用状态。这些权限都应只授予来源可信的客户端，权限审查的思路见 隐私与账号安全，具体应警惕哪些权限请求见 客户端请求哪些权限需要警惕。

第三类：DNS 没有被接管

开启 TUN 后，客户端通常需要“劫持”系统的 DNS 查询，才能按域名分流。若劫持设置关闭或配置不当：

• 系统仍然向原来的 DNS 服务器发查询，而这些查询被路由进了 TUN，内核却不知道如何处理；
• 结果是用 IP 能访问，用域名全部失败。

检查客户端 TUN 设置中的 DNS 劫持选项是否开启，以及 DNS 段是否启用。虚拟地址模式下的特殊情况见 代理客户端的 DNS 设置。

第四类：节点地址回环

客户端连接节点服务器的那条连接，本身不能再进入 TUN，否则会形成“为了连节点，先要经过节点”的死循环。正常情况下内核会自动处理，但以下情况可能出问题：

• 关闭了客户端的自动路由或相关的绕过设置；
• 节点以域名形式提供，而解析这个域名的查询也被送进了代理；
• 手动添加的路由规则覆盖了客户端的自动设置。

表现为 TUN 启动成功、日志里出现大量重复连接或连接超时。恢复默认的 TUN 设置通常可以解决，节点域名的解析应交给直连的 DNS 服务器。

两种少见但难查的情况

IPv6。 本地网络支持 IPv6 而客户端的 TUN 只接管了 IPv4，或者反过来，都可能出现“部分网站秒开、部分网站一直转圈”。可以在客户端里确认 IPv6 相关选项与本地网络是否一致，必要时先关闭客户端的 IPv6 处理做对照。

数据包大小。 TUN 网卡有自己的最大传输单元设置，在某些宽带或移动热点环境下，过大的数据包会被中途丢弃，表现为小请求正常、大页面或下载卡住。这种情况较少见，通常保持客户端默认值即可；只有在其他原因都排除之后，才值得按客户端文档尝试调整。

断网后网络回不来：恢复步骤

如果客户端崩溃或被强制结束，TUN 留下的路由和 DNS 设置可能没有撤销。按以下顺序恢复：

1. 重新打开客户端，开启再正常关闭 TUN，然后从菜单中退出客户端；
2. 检查当前网卡的 DNS 设置，若被改成了内部地址或本机地址，恢复为自动获取；
3. 在系统网络设置中查看是否残留了虚拟网卡，残留时将其禁用；
4. 刷新系统 DNS 缓存，必要时重启电脑。

系统代理残留的清理方法不同，见 关闭代理后国内网站打不开。

预防断网的习惯

• 开启 TUN 前先退出其他 VPN 和加速器；
• 关闭时先关 TUN、再退出客户端，不要直接结束进程；
• 系统大版本更新后，先确认服务或扩展状态，再开启 TUN；
• 保留一份可用的配置备份，改动 TUN 相关设置前先备份。

更多排错主题回到 规则分流与故障排查专题页。使用 TUN 时请遵守所在地法律法规与所在网络的使用规定。