有些程序不读系统代理设置，TUN 模式能在网络层兜底，把它们也纳入规则管理。
git、curl、包管理器等往往忽略系统代理，开启 TUN 后它们也能走策略。
部分游戏客户端不走应用层代理，网络层接管才能覆盖。
不必为每个程序单独设置，一处开启全局覆盖。
TUN 是一块由 Clash 创建的虚拟网卡。系统把流量发给它，Clash 再按规则决定直连或代理。它工作在网络层，因此不依赖应用是否“配合”，覆盖面比系统代理更广。
Windows 用管理员身份启动客户端；macOS 在“系统设置-网络”允许其网络扩展。
在客户端找到“TUN / 增强模式”开关并启用，部分客户端需在配置中加载 tun 段。
让 TUN 默认走规则模式，这样仍按你的分流逻辑处理，而不是无脑全局。
打开命令行执行一次网络请求，在连接面板确认它出现在 Clash 的流量里。
系统可能弹窗询问，务必允许，否则虚拟网卡无法工作。
两者可同时开，TUN 负责兜底；若冲突，优先保留 TUN。
极少数环境会出现回环，遇到时检查是否把虚拟网卡自身地址误判为代理。