浏览器能用代理，终端或游戏却连不上时，先判断程序是否读取系统代理，再决定是否开启 TUN。本文以 Windows 上的 v2rayN 7.x 界面习惯为参考，按节点验证、管理员启动、开启虚拟网卡、检查 DNS 与路由的顺序操作；其他版本以实际菜单为准。读完可以区分“流量被接管”和“流量走代理”，也能在断网时按顺序恢复。
TUN 接管的是流量入口
系统代理是在操作系统中登记一个本地代理地址。愿意读取这个设置的应用，会把请求交给 v2rayN 的本地监听端口；忽略它的程序，仍然可能直接连接目标服务器。因此，开启系统代理并不代表这台电脑上的所有程序都经过代理。
TUN 是工作在网络层的虚拟接口。启用后，配套的路由设置会把符合条件的 IP 数据包送入虚拟网卡，再由相应内核处理。它不要求每个应用都提供 HTTP 或 SOCKS 代理设置，适合接管那些不能单独配置代理的联网程序。
注意最后一步：TUN 不等于“所有流量都走海外节点”。TUN 决定数据怎样进入内核，路由规则决定数据从哪里出去。启用“绕过大陆”一类分流预设后，国内目标仍可直连；命中代理规则的目标才交给所选节点，命中阻断规则的连接则被拒绝。
哪些程序需要 TUN
先看程序有没有自己的代理入口，再看是否遵循系统代理。浏览器通常适合先用系统代理；命令行工具、游戏和部分桌面软件的行为则不同。即使同一个程序，登录窗口与后台下载模块也可能采用不同的网络实现。
先用系统代理
- 适用对象
- 读取系统代理的浏览器与应用
- 入口方式
- 本地 HTTP 或 SOCKS 监听
- 权限要求
- 一般不需要提升权限
- 排错起点
- 核对应用代理设置与监听端口
只需要网页访问时，优先保留较简单的接入方式。
再考虑 TUN
- 适用对象
- 忽略系统代理且不能单独配代理的程序
- 入口方式
- 虚拟网卡与系统路由
- 权限要求
- Windows 通常需要管理员权限
- 排错起点
- 检查内核、网卡、路由与 DNS
需要接管 UDP 时，还要核实节点与服务端是否支持转发。
终端工具不一定必须用 TUN。有些工具支持 HTTP_PROXY、HTTPS_PROXY 或自己的代理参数，配置后也能连接本地代理。只有在程序不支持代理、不能修改启动环境，或者需要统一接管多个程序时，TUN 才更方便。
结论：先验证入口，再扩大接管范围
网页已经可用、只有某个应用失败时，先找该应用的代理设置。确认它不能使用本地代理后，再开启 TUN，避免把单个程序的问题扩展成整台电脑的路由排错。
开启前先验证节点和权限
不要把更新订阅、更换节点、切换路由和开启 TUN 放在同一次操作里。先用系统代理建立一个可重复的正常状态，后续出现问题，才能知道是哪一步改变了网络路径。
- 确认客户端版本。在 v2rayN 的“帮助”相关入口查看版本信息。本文按 7.x 的常见入口描述；若菜单名称不同，查找“设置”“参数设置”及主界面的 TUN 开关，不要直接套用旧版本配置截图。
- 验证订阅节点。更新订阅，选中一个节点设为活动服务器，开启系统代理，实际打开一个需要代理的网站。延迟测试成功只能说明部分连接可达，不能代替网页和目标应用测试。
- 记录现有设置。记下活动节点、路由模式、本地监听端口和 DNS 设置。可以保存设置截图，但先遮住订阅链接、节点凭据及其他敏感信息。
- 退出其他隧道。暂时关闭其他 VPN、透明代理与网络加速工具。企业设备应先遵循网络管理要求，不要擅自停用受管安全服务。
- 提升权限。从托盘菜单完全退出 v2rayN，再右键程序，选择“以管理员身份运行”，并确认系统权限提示。普通权限下能打开主窗口，不代表有权限创建网卡和修改路由。
按顺序开启 TUN 模式
管理员启动后，先保持刚才验证过的节点与路由预设。下面的关键是一次只改变一个变量；某一步失败，就停在该步查看日志，不要连续点击开关。
- 检查 TUN 参数。进入“设置”→“参数设置”，查找 TUN 相关设置区域；部分版本提供独立的 TUN 设置入口。首次使用保留该版本的默认栈、MTU 和自动路由相关选项，不要先照抄其他设备的数值。
- 清除系统代理作为测试基线。在主界面或托盘的“系统代理”菜单中选择“清除系统代理”。这一步用于单独验证 TUN，避免浏览器仍从系统代理入口访问，导致误判。
- 开启 TUN 开关。打开主界面的“启用 TUN”或同义开关，等待内核完成启动。不同版本的文字和位置可能变化，检查日志是否出现虚拟接口、路由初始化成功等信息。
- 确认系统接口。在 Windows 的网络适配器列表中查看新增或启用的虚拟接口。名称由版本和配置决定，不必强求固定名称；接口出现也不代表 DNS 与出站已经正常。
- 测试两类应用。先访问网页，再测试之前忽略系统代理的程序。保持系统代理已清除，才能判断 TUN 是否确实接管了它们。
如果界面找不到 TUN 开关，先确认客户端版本、平台和内核组件是否完整。不要仅因看到旧教程就手动添加来历不明的驱动文件。需要调整安装版本时，从客户端下载页选择与系统和处理器匹配的构建。
用端口、日志和路由验证结果
下面三个端口号用于读懂连接关系，不是要求统一修改配置。10808 是本地代理监听的常见示例，实际以“设置”→“参数设置”中显示的端口为准；53 和 443 则分别对应常见 DNS 与 HTTPS 流量。
在 PowerShell 中执行以下只读命令，查看接口、IPv4 路由以及本地监听。最后一条仅适用于实际监听端口为 10808 的情况；如果端口不同，按设置中的数字修改。监听端口存在只能证明本地服务在运行，不能单独证明 TUN 已接管流量。
Get-NetAdapter | Select-Object Name, InterfaceDescription, Status
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric
Get-NetTCPConnection -State Listen -LocalPort 10808- 验证接管。清除系统代理，确认测试应用也没有自带代理设置，再发起新连接；结合内核日志判断该连接是否进入处理链。
- 验证分流。分别访问一个按规则应直连的站点和一个应走代理的站点，核对日志中的目标与出站。日志未显示规则细节时，可临时提高日志级别，测试后恢复。
- 验证地址族。如果某个应用仍直连，检查它是否优先使用 IPv6。只看到 IPv4 路由变化，不足以证明 IPv6 也被接管。
- 验证 UDP。使用目标应用本身的连接测试。网页通过 TCP 成功，不代表游戏、语音或其他 UDP 业务一定可用。
DNS 与路由要一起检查
TUN 开启后“网页一直转圈”，不一定是节点失效。应用通常要先解析域名，再建立连接；如果 DNS 查询被送到不可达的服务器，后续代理连接还没开始就已经失败。反过来，域名解析正常，也不代表选中的代理出站可用。
先保留客户端当前版本配套的 DNS 设置。确需修改时，在“设置”中查找 DNS 设置入口，并同步考虑直连域名与代理域名的解析路径。不要随意填一个远端 DNS 地址就结束：还需要确认访问该 DNS 的连接从哪条出站发送，以及启动时能否先解析代理服务器域名。
- 区分 DNS 请求类型。传统 DNS 常用 53 端口，但应用内置的加密 DNS 可能走 HTTPS。仅观察 53 端口，不能覆盖所有域名解析活动。
- 注意应用缓存。修改设置后，关闭并重新打开目标应用，必要时执行
ipconfig /flushdns。它清理 Windows DNS 缓存，不保证清掉浏览器自身的缓存或内置解析状态。 - 保留局域网路径。打印机、网络存储和路由器管理页通常需要直连。使用当前路由器的真实管理地址测试，检查私有网段和本地域名规则，不要默认所有家庭网络都用同一个地址。
- 留意虚拟网络。虚拟机、容器和远程办公隧道可能添加自己的路由与 DNS。按接口和目标网段逐项核对，不要直接删除所有虚拟适配器。
结论：先定位失败阶段，再改参数
日志报域名解析超时，就先检查 DNS 路径；日志已经连接到目标但握手失败，再检查节点、协议和出站。不要同时更换 DNS、MTU、TUN 栈与节点，否则无法确认哪项调整有效。
常见冲突与恢复步骤
开启 TUN 就提示权限不足，怎么处理？
先从托盘完全退出程序，再以管理员身份运行，随后重新开启 TUN。若仍失败，查看日志中是创建接口失败还是路由写入失败；受管设备需要联系管理员，不要通过关闭系统安全功能来绕过限制。
开关已经打开，为什么应用还是直连？
先确认内核没有启动失败，再重启目标应用，避免旧连接继续复用。核对日志中的直连规则、IPv6 路径和应用是否有自带隧道。TUN 开关亮起只能表示已请求启用，不能代替连接验证。
网页能打开，游戏或语音仍然超时？
确认订阅节点和服务端允许 UDP，再检查该程序的目标是否命中正确出站。TUN 能接收数据，不会自动补足服务端缺失的 UDP 能力；也不能据此保证游戏延迟降低。
开启后公司网络、虚拟机或局域网访问异常？
先关闭 TUN，确认原有网络恢复，再检查与其他隧道重叠的目标网段、路由优先级和 DNS。确需同时使用时，逐项添加明确的直连或排除规则，不要让两个接管组件同时争用默认路径。
关闭客户端后仍然断网，怎样恢复？
重新打开 v2rayN，先关闭 TUN，再清除系统代理并正常退出。检查 Windows 代理页面是否仍启用手动代理；若接口或路由尚未恢复，先重连网络，必要时重启系统，再按日志定位残留配置。
恢复网络后，把排错结果收敛成一个最小配置：一个已验证节点、一套分流预设、客户端默认的 TUN 参数。确认网页、目标应用和局域网都正常，再逐项恢复自定义 DNS 或其他隧道。需要回顾订阅导入和路由基础时，可查看配置教程；系统代理的入口说明见使用文档。