全平台客户端TUN虚拟网卡全接管与Fake-IP模式调优手册
深度解析操作系统网络三层拦截原理，手把手教学 Clash Verge Rev、v2rayN 与 Shadowrocket 开启 TUN 虚拟网卡模式，调优 Fake-IP 映射并彻底杜绝本地 DNS 污染。
在日常使用网络代理工具时，很多用户经常遇到一个普遍痛点：在浏览器里看网页非常流畅，但是在终端命令行执行 Git 操作、运行 Python pip 包下载、或者登录外服网络游戏时依然提示连接超时。
导致这一问题的根本原因在于：传统的「系统代理」只工作在应用层，很多专业软件根本不读取系统代理设置。本文将深入解析 TUN 虚拟网卡与 Fake-IP 的工作原理，并提供手把手的配置优化指南。
核心机制：系统代理 vs TUN 虚拟网卡
| 对比维度 | 传统系统代理（System Proxy） | TUN 虚拟网卡模式（TUN Mode） |
|---|---|---|
| 工作网络层级 | 操作系统应用层（HTTP / SOCKS） | 操作系统网络三层（IP 层） |
| 软件兼容度 | 仅对主动读取代理设置的软件生效（如主流浏览器） | 全局无死角捕获，所有终端程序、游戏与服务全部生效 |
| 安装权限要求 | 普通用户权限即可运行 | 需要管理员授权以加载虚拟网卡驱动 |
| 网络游戏支持 | 较差，无法代理底层 UDP 游戏数据包 | 极佳，完整支持 TCP/UDP 流量全接管 |
| 局域网设备穿透 | 不影响局域网通信 | 需合理配置内网私有网段白名单 |
Fake-IP 模式原理与防 DNS 泄漏
在传统 Redir-Host 模式下，本地设备在访问海外域名时必须先向本地 DNS 服务器发起实际查询，极易受到运营商 DNS 劫持与投毒污染，同时增加了跨国查询握手延迟。
在 Fake-IP 模式下：
- 本地应用程序发起域名查询时，客户端内核立即从保留地址池（如 198.18.0.0/16）返回一个内网虚拟 IP，本地解析耗时为零。
- 应用程序拿到虚拟 IP 后发起 TCP 连接，客户端内核捕获该数据包，并根据内部映射表还原为真实域名。
- 真实域名被加密打包发送给境外落地节点，在远端机房安全高效完成解析。
这一机制从根本上杜绝了本地运营商的 DNS 劫持，大幅缩短了网页首屏加载时间。
主流客户端开启 TUN 实操指南
1. Windows 平台：Clash Verge Rev
- 打开 Clash Verge Rev 设置界面，找到 Service Mode（服务模式）点击安装，允许 Windows 提权弹窗。
- 服务模式图标变为绿色后，在主界面或托盘菜单勾选 TUN Mode。
- 代理模式务必保持为 Rule 规则分流，确保国内流量走直连。详细教程可查阅 全平台客户端指南。
2. macOS 苹果电脑
- 安装 Apple Silicon 原生版本的 Clash Verge Rev 或配置 Surge 增强模式。
- 首次启动 TUN 模式时在系统偏好设置中授权安装辅助网络扩展（utun 虚拟以太网接口）。
- 如需终端命令行加速，可配合终端别名函数快速切换代理环境变量。
3. iOS 移动端：Shadowrocket
- Shadowrocket 天然基于 iOS Network Extension 运行，启动开关即可自动创建系统级 VPN 虚拟通道。
- 全局路由建议选择 Config 配置规则模式，配合大陆白名单实现智能分流。
常见冲突排查：内网 NAS 与打印机无法访问
开启 TUN 模式后如果发现无法连接局域网内的群晖 NAS 或打印机，是因为虚拟网卡默认拦截了私有网段。
处理方法：在客户端的 TUN 高级配置中，在 Bypass IP（绕过列表）中添加常用的私网 IP 段：
192.168.0.0/1610.0.0.0/8172.16.0.0/12
保存并重启客户端内核，内网设备即可恢复高速直连。