TUN 適合接管不會讀取系統代理設定的應用程式，但啟用 TUN 不代表所有連線都會走代理。本文以 Windows 桌面版 v2rayN 為例，說明虛擬網卡、系統管理員權限、DNS 與路由規則之間的關係，並整理啟用前檢查、連線驗證及故障復原步驟。其他桌面作業系統的授權方式不同，請勿直接照搬 Windows 的提權操作。
一、TUN 模式與系統代理的接管範圍
重點是：瀏覽器能透過系統代理連線，不代表其他應用程式也會使用代理。系統代理主要是提供代理位址給應用程式，是否遵循設定則取決於應用程式的實作。TUN 會建立虛擬第三層網路介面，透過作業系統路由將符合條件的 IP 封包送入處理程序，再由規則決定直連、代理或攔截。
| 比較項目 | 系統代理 | TUN 模式 |
|---|---|---|
| 流量接管入口 | 應用程式讀取代理設定，連線至本機代理連接埠 | 系統路由將封包送至虛擬網卡 |
| 應用程式配合程度 | 通常需要應用程式支援並遵循代理設定 | 通常不必為各應用程式個別設定代理 |
| UDP 流量 | 僅靠系統 HTTP 代理無法完整接管 | 可以接管，但仍取決於核心、協定及伺服器端支援 |
| 權限需求 | 通常不需要建立網卡的權限 | 通常需要提高權限或透過已設定的服務機制執行 |
| 最終出口 | 由應用程式設定與用戶端規則共同決定 | 由流量接管範圍與用戶端規則共同決定 |
「全域接管」描述的是流量入口的涵蓋範圍，「全域代理」描述的是出口策略，兩者並非同一個開關。即使 TUN 已啟動，區域網路位址、本地域名或規則指定的目標仍可能直連。反之，選擇全域代理路由，也無法處理根本沒有進入用戶端的連線。
TUN 不會自動提高節點頻寬，也無法讓伺服器端不支援的 UDP 連線變得可用。如果只有瀏覽器需要代理，系統代理通常較容易設定及還原；確認有應用程式會繞過系統代理時，再考慮使用 TUN。
二、虛擬網卡如何將資料交給代理核心
TUN 接收的是 IP 封包，不是瀏覽器中的完整網址。用戶端必須根據目標位址、可取得的網域資訊及 DNS 處理結果比對規則。網域資訊能否保留，取決於 DNS 接管、嗅探及應用程式本身的解析方式，不能假設每條連線都能還原出網域名稱。
v2rayN 是設定與管理介面，實際連線處理由搭配的核心負責。TUN 處理流程與節點使用的代理核心可能不是同一個程序，實際實作也會隨用戶端版本而異。遇到故障時，應一併檢查 TUN 啟動記錄與代理輸出記錄，不能只看介面上的開關狀態。
- 網卡負責流量入口：看到虛擬網卡，只能表示介面可能已建立，不能證明路由與 DNS 都已生效。
- 路由負責流量分流：規則會決定目的位址要直連或走代理，規則順序也會影響結果。
- 輸出連線負責連線品質：VLESS、VMess 等節點參數仍須有效，TUN 無法修復過期訂閱或錯誤的認證資訊。
- 避免連線迴圈以維持穩定：用戶端連往伺服器的連線必須避免再次被自身接管。建議優先使用用戶端產生的設定，不要任意手動修改系統預設路由。
三、啟用前檢查權限、連接埠與既有網路軟體
先確認系統代理模式運作正常，再切換至 TUN。這樣可以分辨「節點無法使用」與「虛擬網卡接管失敗」。匯入訂閱後，選擇一個可用伺服器並實際開啟網頁；只有延遲數值，還不足以證明 DNS、TLS 連線及頁面資源載入都正常。
在「設定」→「參數設定」確認本機監聽位址與連接埠。本文以 127.0.0.1:10808 為例，不需要將現有設定改成這個值。TUN 不代表每個應用程式都要連線至 10808；此連接埠主要用來區分既有的本機代理入口與虛擬網卡入口。
- 儲存目前設定：記下目前使用的伺服器、路由模式、本機連接埠與 DNS 選項。設定備份應存放在妥善控管的位置；分享截圖前，請遮住訂閱網址與認證資訊。
- 確認授權條件：Windows 建立介面及修改路由通常需要系統管理員權限。受組織管理的裝置應先取得許可，請勿規避端點安全政策。
- 暫停其他流量接管工具：測試時先關閉其他虛擬網卡代理或 VPN，避免兩套程式同時修改預設路由。請勿直接解除安裝公司網路元件。
- 確認安裝完整：使用符合作業系統與處理器架構的安裝套件，並保留搭配的核心檔案。若記錄顯示檔案遺失，應先修復安裝，不要反覆切換開關。
四、在 Windows 啟用 v2rayN TUN 的操作順序
不同版本的控制項位置可能不同，常見入口是主視窗底部的「啟用 TUN」。如果介面提供服務模式，也可能由預先安裝的服務處理權限；尚未設定此機制時，建議先以系統管理員身分啟動進行測試。反覆出現授權提示，不代表已成功取得授權。
- 完全退出後以系統管理員身分啟動：先從系統匣選單退出 v2rayN，再對程式或捷徑按右鍵，選擇「以系統管理員身分執行」，並確認系統授權提示。只關閉主視窗可能只是將程式縮到系統匣。
- 選擇已驗證可用的伺服器：保留剛才在系統代理模式下能正常連線的節點，暫時不要同時更換協定、訂閱及路由規則。
- 固定路由策略：前往「設定」→「路由設定」檢查目前規則。測試期間維持原本可用的策略，並確認區域網路是否需要直連。
- 排除系統代理入口的影響：將系統代理切換為「清除系統代理」，再啟用「啟用 TUN」。如此一來，瀏覽器成功連線時，就不容易與原有的系統代理入口混淆。
- 檢查啟動記錄：確認沒有權限不足、建立網卡失敗、位址衝突或連接埠遭占用等錯誤。發生錯誤時，先處理第一筆明確的失敗訊息，不要連續切換開關。
- 驗證連線並保留還原方式：造訪同一個測試網站，再測試原本不會讀取系統代理的應用程式。若失敗，先關閉 TUN、還原先前的系統代理設定，並確認基本連線仍可使用。
請勿長時間關閉系統防火牆來排查 TUN。若安全軟體封鎖了搭配的程序，請先確認程式路徑、來源及組織政策，再以最小範圍允許必要的網路存取。
五、DNS 與路由設定：接管成功後仍須確認
DNS 查詢與應用程式連線是彼此相關、但不同的流程。查詢成功不代表應用程式連線一定會走代理；連線進入 TUN，也不代表網域一定會由遠端解析。依照實際分流需求設定，比一律改用某個 DNS 位址更可靠。
應用程式連線入口
- 系統代理
- 驗證 TUN 時先清除系統代理
- TUN 狀態
- 啟用後檢查啟動記錄
- 本機連接埠
- 10808 僅為本文範例
- 路由策略
- 保留已驗證可用的分流規則
每次只修改一個項目，避免把節點故障誤判為網卡故障。
網域名稱解析流程
- 一般查詢
- 通常使用 UDP 或 TCP 53
- 加密 DNS
- 還須確認實際連線路徑
- 內部網域
- 保留可連線的內部 DNS 解析器
- IPv6
- 確認位址、路由與流量接管範圍
DNS 接管選項應與目前使用的核心設定一致，請勿直接貼上其他核心的欄位。
瀏覽器啟用加密 DNS 後，DNS 查詢連線可能會以一般加密流量的形式出現，因此不能只檢查 53 連接埠來判斷解析流向。公司內部網域若依賴內部 DNS，全部交由公共 DNS 解析反而可能失敗。應保留內部網域的解析路徑，並確認解析器本身能透過預期的出口連線。
- 存取區域網路：印表機、共用資料夾與閘道器管理頁面通常需要直連。建議沿用現有的私有位址規則，不要為了測試任意刪除整組規則。
- 確認 IPv6 路由一致：若只接管 IPv4，而應用程式優先使用 IPv6，兩類連線可能經由不同出口。請先查看記錄與系統路由，再決定要調整哪一側。
- 確認規則與核心相符：V2Ray、Xray 及其他搭配核心的 DNS、路由欄位不能預設可互換。修改前先確認目前實際執行的核心與設定格式。
六、如何確認 TUN 已生效，而不只是看開關
有效的驗證方式必須同時檢查網路介面、規則命中情形與實際應用程式。單次查詢出口 IP，只能反映該次請求的結果，不能證明所有程序、所有目標都使用相同出口。若規則讓測試網站直連，顯示本地網路出口也可能是預期結果。
- 檢查網路介面：在 Windows 網路介面卡清單中查看是否新增虛擬介面，並搭配記錄確認它是本次啟動時建立的。介面名稱會隨版本而異，請勿只憑特定名稱判斷。
- 檢查路由：在命令提示字元中執行下方的唯讀命令，檢查 IPv4 與 IPv6 路由。TUN 可能透過較具體的路由接管流量，不一定會直接取代預設路由。
- 檢查連線：執行目標應用程式，並在用戶端記錄中查看目標位址、命中的規則及輸出結果。若找不到對應記錄，再確認應用程式是否使用獨立隧道或綁定其他介面。
- 比較啟用前後的結果：維持系統代理清除，分別記錄 TUN 開啟與關閉時，同一個應用程式的連線結果；比較完畢後，還原所需設定。
ipconfig /all
route print -4
route print -6這些命令只用於查看網路狀態，不會修改路由。輸出內容可能包含本機位址與內部網路資訊，不宜直接公開。即使記錄顯示已命中代理輸出，也仍須確認請求實際成功；「規則命中」與「建立遠端連線」是兩個不同階段。
七、TUN 無法使用或斷網的常見問題
一啟用 TUN 就斷網，該先改 DNS 還是換節點？
先關閉 TUN，還原先前可用的系統代理狀態。若原本的節點仍能連線，優先檢查 TUN 啟動記錄、系統管理員權限及其他虛擬網卡的衝突。若系統代理也無法連線，再排查節點與基本網路。不要一次同時修改 DNS、節點和路由。
顯示權限不足，勾選開關為什麼沒有用？
先從系統匣完全退出程式，再以系統管理員身分啟動並確認授權。若裝置由組織管理，請確認是否允許建立虛擬網卡。已安裝服務機制的版本也須確認服務正在執行；不要只憑介面上的勾選狀態認定權限已生效。
網頁可以開啟，遊戲或語音卻仍然無法連線？
先在記錄中搜尋該應用程式的連線，確認是否進入 TUN、命中了哪條規則，再檢查節點及伺服器端是否支援相應的 UDP 流量。延遲測試成功通常不足以完成這項驗證。若應用程式綁定特定網卡，也須檢查應用程式本身的網路設定。
啟用後找不到公司內網或印表機？
確認區域網路目標是否設為直連，並檢查內部網域是否仍使用可連線的內部 DNS。先用已知的內網位址區分 DNS 與路由故障，不要強制將整個內網位址範圍送往代理伺服器。若涉及公司網路政策，應由管理員確認調整範圍。
關閉視窗後仍受影響，該如何還原？
關閉視窗可能只是將程式隱藏到系統匣。先在主介面關閉 TUN，再清除系統代理，最後從系統匣退出並檢查介面與路由是否已還原。若程式異常結束，重新開啟後再正常關閉一次；若仍有殘留，可以重新啟動系統，請勿直接刪除不明的網路介面卡。
穩定的設定順序是先驗證節點，再確認 TUN 入口，最後調整 DNS 與流量分流。每次只變更一個環節，並保留還原至先前狀態的方法。如此才能分別找出「接管失敗」、「解析失敗」與「輸出連線失敗」的原因，減少反覆重裝或盲目修改規則。