Clash Verge Rev 打开 TUN：装服务、开虚拟网卡，三种开不起来的情况

10 月 17 日讯　想让 Clash Verge Rev 的「虚拟网卡模式」生效，通常先点「安装服务」，等首页运行模式显示为「服务模式」再打开开关，普通权限下点它不起作用。

开关在哪：「虚拟网卡模式」

Clash Verge Rev 里没有一个按钮直接写着「TUN 模式」，它叫「虚拟网卡模式」，放在「设置 → 系统设置」里，和「系统代理」开关挨着。首页的网络设置卡片、托盘菜单里也有对应的开关，作用相同。下文依据的版本是 v2.5.8（信源：GitHub Releases，10 月 17 日），升级后个别名称可能改动，对照你本机的界面找。

刚装好的 Clash Verge Rev 以普通用户权限运行内核，鼠标停在开关上会看到提示：TUN 模式需要安装服务模式或管理员模式。拿权限有两种办法。

拿到权限：装服务，或者用管理员身份运行

装服务（三个系统通用）。 在虚拟网卡模式旁边点「安装服务」。Windows 上要在 UAC 窗口里点「是」，macOS 和 Linux 上要输入管理员密码，界面提示写的是安装 Clash Verge 服务需要管理员权限。装好后会弹出已成功安装服务的提示。

装完去「首页」看系统信息卡的「运行模式」一行，它有四种显示：

服务已经装上、运行模式却还是用户模式，说明内核没切过去，点设置页出现的「切换到服务模式」，或者重启一次内核。这个服务是独立进程，退出 Clash Verge Rev 后它仍在后台待命，下次启动不用重新授权。

用管理员身份运行（仅 Windows）。 不想装服务的话，按 Clash Verge Rev 文档的做法：在托盘菜单里彻底退出，右键快捷方式选「以管理员身份运行」，出现服务安装提示时选「继续使用 Sidecar」，进入后再开 TUN。缺点是每次都要这样启动。

打开开关，再看一眼参数

运行模式确认没问题后，打开「虚拟网卡模式」。成功时会弹出 TUN 模式已开启的通知；在「设置 → 界面设置」里还能给 TUN 状态单独换一个托盘图标，方便一眼认出当前模式。

开关旁的设置图标点开是 TUN 的参数窗口，大多数情况不用改，知道每项管什么即可：

• TUN 模式堆栈：可选 System、gVisor、Mixed、Mips 四种，v2.5.8 默认 Mips。mihomo 在 v1.19.31 加入这个自研协议栈，v1.19.32 把它设为默认。
• 虚拟网卡名称：Windows、Linux 上默认 Mihomo，macOS 上默认 utun1024，macOS 只接受 utun 开头的名字。
• 自动设置全局路由、自动选择流量出口接口：保持打开，TUN 才能把流量收进来、再从正确的物理网卡发出去。
• 严格路由：限制流量绕过 TUN，开了更彻底，但有时会影响局域网访问。
• 排除自定义网段：填进去的 CIDR 网段不经过 TUN，例如 192.168.0.0/16，常用于家里的 NAS、打印机或公司内网。
• 自动重定向：配置 nftables / iptables 的 TCP 重定向，mihomo 文档写明只在 Linux 上有效。
• 另有 dns-hijack 和 MTU 两栏，默认分别是 any:53 和 1500。

还有一处后台行为：开启 TUN 时，如果订阅没有另行指定 DNS 增强模式，Clash Verge Rev 会自动启用 DNS 模块并设为 fake-ip，地址段 198.18.0.1/16。所以开着 TUN 时用 ping 或 nslookup 看到 198.18 开头的地址是正常现象，不是解析出错。

开启 TUN 后，系统代理开关可以关掉。验证时除了浏览器，再找一个平时不读系统代理的程序试一下，比如命令行里的 curl，能通就说明 TUN 在工作。

情况一：开关打不开，或开了又自己弹回

先看弹出的通知。出现「由于服务不可用，TUN 模式已自动关闭」，说明服务没在运行，常见原因有三个：

1. 服务从没装上。 安装时授权窗口被点了取消，或者被安全软件拦下。Clash Verge Rev 的 Windows 常见问题里点名了 360、金山毒霸这类软件会拦截服务模式安装，需要先放行再重装。
2. 服务被改成了手动启动。 一些优化软件的开机加速功能会把服务的启动类型改成手动或禁用，开机后它就不再自动运行。Clash Verge Rev 遇到这种情况会弹出「需要更新系统服务」，点「重新安装服务」即可。
3. 服务版本和应用不匹配。 升级应用后偶尔会提示系统服务版本与当前应用要求不符，同样选「重新安装服务」。

情况二：服务被安全检查拒绝

Windows 上还可能看到：服务内核未通过安全检查，已切换到普通模式（Sidecar）。这是服务在检查内核文件和所在目录的权限，发现普通账户也能修改它们，为防止内核被替换而拒绝以高权限运行。

文档给的处理顺序是：

1. 如果 Clash Verge Rev 装在下载目录、桌面或者自己解压的文件夹里，先在「设置 → Verge 高级设置」里备份配置，退出应用，再用官方安装包装到默认的 C:\Program Files\Clash Verge。
2. 已经装在默认目录仍然提示的，右键通知复制原始报错，找到里面 core path 后面的路径，检查那个文件夹的所有者和权限；不熟悉 Windows 权限设置的话请管理员处理，不要对整个 C 盘递归重置权限。
3. 暂时不想处理，就按上一节的办法以管理员身份运行，同样能开 TUN。

情况三：开了 TUN 以后断网或部分网站打不开

开关正常、模式也对，但一开 TUN 就上不了网，按这几处查：

• 多余的虚拟网卡。 装过别的 VPN 或加速器，系统里可能残留多块虚拟网卡和网段，与 TUN 的路由冲突。文档的建议是到网络设置里删掉多余网卡。
• 防火墙没放行内核。 选了 System 或 Mixed 堆栈时，要在系统防火墙里允许 verge-mihomo 和 verge-mihomo-alpha 联网；或者把堆栈换成 gVisor、Mips 再试。
• 局域网、内网连不上。 把对应网段加进「排除自定义网段」；公司内网域名解析不了，是 DNS 没指到内网服务器，可以在扩展覆写配置里用 nameserver-policy 给内网域名单独指定 DNS。
• 只有个别网站不通。 这和 TUN 关系不大，多半是规则没覆盖到，规则的检查方法见 Clash 规则怎么写。

Mac 上开 TUN 时系统 DNS 会被临时改成 223.6.6.6，这是正常行为，细节见 Clash for Mac。

FlClash 里的对应开关

用 FlClash 的话，TUN 同样叫「虚拟网卡」，在仪表盘的快捷开关里。Windows 版靠安装包附带的 Helper 服务提权，提示 Helper 服务不可用时重装 FlClash 即可；安卓版本身就通过系统 VPN 接管全部流量，不需要另开 TUN。完整用法见 FlClash 怎么用。

节点仍然来自订阅

TUN 只改变流量怎么进入内核，出去靠的还是订阅里的节点。手头没有订阅时，一翻云是一种选择：注册后订阅地址不会自动出现，付款后联系客服领取；轻享版每月 ¥20，流量 150GB（信源：一翻云价目页，10 月 9 日），新账号可用码 1FLYYUN 按 9 折购买。其他机场的订阅给法与格式，机场总表里有对照。