TUN 模式和系统代理有什么区别：为什么浏览器能翻、有的 App 却走不了代理

几乎每个用过代理工具的人都遇到过这种分裂状态：浏览器里海外网站秒开，切到游戏客户端却提示网络错误；在终端里执行拉取命令，等了一分钟报超时；某个桌面软件的登录窗口一直转圈，而它的网页版明明能用。第一反应通常是「线路不稳」，于是换节点、重启工具，却没有变化。问题其实出在流量被接管的方式上——系统代理与 TUN 模式是两条不同的路。

系统代理本质上是操作系统里的一条「建议」：它告诉应用程序「你的 HTTP 请求可以交给某个地址转发」。浏览器这类程序会遵守，很多其他程序根本不看这条设置，或者只支持部分协议。TUN 模式则是在系统里创建一张虚拟网卡，把所有进出设备的网络数据包都收进来再转发，程序愿不愿意听话都没关系。这篇把两种方式的原理、覆盖范围、对 UDP 和 DNS 的处理以及各平台差异讲清，并说明为什么 VPN 客户端属于后一种。

两种方式的核心差异：一张表看清

表里最值得注意的是「覆盖范围」与「UDP 流量」两行。系统代理只能管到愿意配合的程序，而且经典的 HTTP 代理不处理 UDP——游戏联机、语音通话、视频会议大量依赖 UDP，这就是「浏览器能用、游戏不行」成为系统代理标志性症状的原因。TUN 模式在网络层看到的是数据包而不是程序，没有这些盲区。

判断自己的流量走哪条路：分步操作步骤

• 第一步：先把线路准备好，连上刺猬VPN。安装客户端后自定义用户名和密码即可完成匿名注册，不需要邮箱、也不需要手机号，免费节点永久免费、不限流量，注册即用；全程 HTTPS+AES 加密传输；
• 第二步：连上后在浏览器里打开一个显示当前 IP 的网站，确认出口 IP 已经变成节点所在地区，这一步验证的是线路本身是否工作；
• 第三步：再用一个非浏览器程序做同样的验证，例如在终端里请求同一个 IP 查询接口。两边一致说明流量在网络层被接管，不一致说明只对浏览器生效；
• 第四步：打开系统网络设置查看代理一栏。VPN 客户端工作时这里通常是空的；如果残留着旧工具写入的代理地址，清空它，否则两套机制会打架；
• 第五步：Windows 用户到「网络连接」里确认是否多出一张虚拟网卡，macOS 用户看系统设置里的 VPN 与网络扩展项，Android 用户看状态栏的钥匙图标，这些都是 TUN 模式生效的标志；
• 第六步：有游戏或语音需求的，进游戏前用连接测试验证 UDP 是否正常，UDP 不通基本可以断定流量没走虚拟网卡；
• 第七步：开发者与需要局域网访问的用户，在全局与智能分流两种连接模式之间按需切换，本地与内网地址通常在智能分流下直连；
• 第八步：iPhone 用户注意，中国大陆区 App Store 不提供 VPN 类应用，需要用外区 Apple ID 下载客户端，完整步骤见 iOS 安装教程；iOS 上的 VPN 客户端同样以系统级隧道方式接管流量；
• 第九步：一个账号支持多设备同时在线，电脑、手机与平板可以共用同一套配置，实际可用性取决于当前网络环境。

按现象逐条排查：哪些程序会「不听话」

下面列出系统代理最容易失效的场景，以及在 TUN 模式下它们为什么不再是问题。

• 浏览器正常、游戏客户端连不上：游戏多用 UDP 且不读系统代理，只有网络层接管才能覆盖；
• 终端里的命令一直超时：命令行工具默认不读系统代理，需要单独设置环境变量，TUN 模式下无需任何设置；
• 某些桌面软件登录窗口转圈：软件内置了自己的网络库，忽略系统设置，网页版能用正因为浏览器遵守代理；
• 语音通话能接通但没声音：信令走了代理，媒体流走 UDP 没被接管，两端不一致导致无声；
• 开着代理仍显示本地地区的内容：DNS 由程序本地解析并向本地服务器查询，出口 IP 变了但解析结果没变；
• 手机上浏览器能用、App 不能用：手机端系统代理只对 Wi-Fi 生效且多数 App 不遵守，VPN 隧道则覆盖全部；
• 局域网设备突然连不上：全局模式下内网地址也被接管，切到智能分流让本地流量直连；
• 关掉工具后网页全部打不开：代理设置没有随工具退出而清理，手动关闭系统代理。

各平台的实现差异

不同系统的名字不一样，思路完全一致：向操作系统申请一个「假网卡」，让系统把默认路由指向它。首次使用时每个平台都会要一次授权，这是接管网络层的必要条件。Windows 上虚拟网卡驱动出问题的排查见 Windows 虚拟网卡故障排查。刺猬VPN 客户端在各平台都以这种系统级隧道方式工作，连上后全设备生效，提供全局与智能分流两种连接模式，免费节点永久免费、不限流量、注册即用；需要长时间联机、开会或跑大量请求的用户，时长套餐期间不限流量不限速，覆盖 20 多个国家、100 多台服务器，一个账号支持多设备同时在线。实际可用性取决于当前网络环境。

这个区别在实际场景里意味着什么

把原理落到具体场景就一目了然。开发者最常见的困惑是「浏览器能开某个接口文档，调试工具里同一个地址却超时」，根源就是桌面调试工具的流量没有走代理，切到系统级隧道后无需任何额外设置即可通，具体案例见 Postman 登录同步失败怎么办；留学生用的网课平台和锁定浏览器这类桌面软件也一样，见 Canvas、Blackboard 网课平台打不开。流媒体用户则常遇到「网页端能看、App 提示地区错误」，手机 App 不遵守系统代理是主因，台湾几家平台的实例见 KKBOX、LINE TV、动画疯怎么看。

游戏主机是最极端的例子。Switch、PS5 这类封闭系统连「系统代理」这一项都只对浏览与商店的少数请求有效，游戏流量根本不理它，所以只能把线路放到路由器或热点那一层，让主机的所有数据包在进入互联网之前就被接管，详见 Nintendo Switch Online 联机卡顿怎么办。理解了「在哪一层接管」，就能预判任何设备与软件的行为：系统代理只覆盖听话的程序，虚拟网卡覆盖整台设备，路由器接入覆盖整个局域网。分流规则如何决定哪些流量直连，见 什么是分流；代理与 VPN 的概念差别见 VPN 和代理有什么区别。

常见报错速查表

高频问答

• 问：VPN 客户端算 TUN 模式还是系统代理？答：VPN 客户端以系统级隧道也就是虚拟网卡的方式工作，属于前者，连上后全设备生效，不依赖系统代理设置；
• 问：为什么开了 VPN 系统代理那一栏是空的？答：正常现象，虚拟网卡在网络层接管流量，不需要也不应该再写系统代理，残留的代理设置反而会引起冲突；
• 问：TUN 模式会更耗电或更慢吗？答：多一层封装会有轻微开销，日常浏览与视频几乎无感，游戏与语音因为 UDP 能被正确处理反而更顺；
• 问：全局模式和智能分流有什么区别？答：全局把所有流量送进隧道，智能分流按目标域名与 IP 规则让国内与局域网流量直连，其余走隧道；
• 问：可以按应用选择走不走隧道吗？答：目前客户端提供的是全局与智能分流两种连接模式，按目标而不是按应用划分，需要局域网直连时切到智能分流即可；
• 问：为什么首次连接要授权？答：创建虚拟网卡属于系统级操作，Windows 需要管理员权限装驱动，macOS、Android、iOS 都会弹一次授权。

把原理变成判断力：长期做法

TUN 模式和系统代理的区别，归结起来就是「在哪一层接管流量」：系统代理在应用层，只覆盖愿意配合的程序，管不了 UDP，DNS 也容易漏；虚拟网卡在网络层，看到的是数据包而不是程序，浏览器、游戏、命令行、桌面软件一视同仁。再遇到「浏览器能用、别的不行」时就不用换节点瞎试，直接看流量有没有走虚拟网卡即可。两个习惯：不要让多个工具同时改系统代理，切换工具前先清干净旧设置；局域网设备访问异常时先切智能分流。

刺猬VPN 采用 HTTPS+AES 加密传输，支持自定义用户名和密码匿名注册，不需要邮箱和手机号；客户端在 Windows、macOS、Android、iOS 上都以系统级隧道方式接管全部流量，提供全局与智能分流两种连接模式，并带 Kill Switch 断线保护；免费节点永久免费、不限流量、注册即用，日常浏览与轻度使用用免费节点就够，时长套餐按周月年计费、期间不限流量不限速，适合游戏、视频会议与开发调试这类对 UDP 与全流量接管有要求的场景，流量包用多少扣多少，一个账号支持多设备同时在线。各操作系统的网络框架与授权方式会随版本调整，以官方最新说明为准，实际可用性取决于当前网络环境。