遇到浏览器能连线、其他程式却没有走代理时，先确认程式是否使用系统代理，再考虑启用 TUN。本文以 Windows 桌面版 v2rayN 为例，说明如何取得必要权限、启用 Tun、检查路由与 DNS，以及排除虚拟网卡冲突。完成后即可分辨「流量进入客户端」与「流量经代理连出」，并保留随时切回系统代理的方式。
一、分辨 TUN 接管与系统代理
系统代理会提供代理连线入口给支援这项设定的应用程式。浏览器通常会使用系统代理，但部分游戏、命令列工具或背景服务会采用自己的网路设定。这时即使 v2rayN 已设定系统代理，应用程式仍可能直接连上网路。如果应用程式支援手动设定代理，可以先在程式内设定，不必马上启用 TUN。
TUN 会在网路层提供虚拟介面。搭配系统路由，原本直接送出的 IP 封包可以进入客户端的处理流程，再依规则选择直连、代理或封锁。它不要求每个应用程式主动使用系统代理，但也不代表能涵盖所有网路环境、所有程序和所有通讯协定。
请将「全流量接管」与「全流量走代理」分开理解：前者指流量进入处理流程的范围，后者指连出的处理策略。启用 TUN 后，区域网路位址和符合直连规则的网站仍可能直接连线；若要让可接管的外部流量统一走代理，还得调整路由策略，并确认节点支援相关传输方式。
| 比较项目 | 系统代理 | TUN 模式 |
|---|---|---|
| 连线方式 | 应用程式连至本机代理入口 | 透过路由将 IP 封包送入虚拟介面 |
| 应用程式需求 | 使用系统代理或手动设定代理 | 通常不必在应用程式内另外设定代理 |
| 系统权限 | 设定目前使用者的代理通常不需管理员权限 | 建立介面、修改路由通常需要管理员权限 |
| 连出方式 | 由客户端路由规则决定 | 仍由客户端路由规则决定 |
二、启用前检查节点、权限与网路环境
先在系统代理模式下，确认已汇入的设定能正常连上目标网站。TUN 无法修复失效的订阅、过期的凭证、错误的伺服器位址或 TLS 设定。VMess、VLESS 等是代理通讯协定；TUN 则是本机接管流量的方式，两者并非可以互换的设定类型。
- 记录目前的设定。记下使用中的伺服器、路由模式、DNS 设定和系统代理状态。若要记录本机监听连接埠，请以「设定」→「参数设定」中实际显示的数值为准，不要照抄其他电脑的设定。
- 保留完整的程式目录。依下载套件的发行方式安装或解压缩，不要只移动主程式。客户端必须能找到 TUN 所需的核心及相关档案。
- 暂停其他接管工具。先断开其他 VPN 或虚拟网卡接管服务。不要让多个程式同时争用预设路由，以免难以判断问题出在哪一层。
- 确认装置权限。若使用公司管理的电脑，请先遵守管理员政策。不要为了启用 TUN 而关闭安全软体，或变更组织下发的安全设定。
三、在 Windows 上启用 v2rayN Tun
以下以常见的桌面介面为例。不同发行分支的开关位置、大小写和管理员权限取得方式可能不同；请先在主介面寻找「启用 Tun」，再查看「设定」→「参数设定」中的「Tun 模式设定」。若目前介面的名称不同，请以实际包含 Tun 的选项为准，不要照着旧版截图修改无关参数。
- 结束目前正在运行的程式。从系统匣选单退出 v2rayN，避免新启动的管理员权限实例只叫出原本以一般权限运行的视窗。
- 以管理员身分执行。在 Windows 中以滑鼠右键点击程式，选择「以管理员身分执行」，并确认系统权限提示。若客户端已提供提升权限或服务模式，请依该版本说明操作，不要安装来源不明的驱动程式。
- 选择可用的伺服器。确认目前使用的设定正确。保留已验证可用的路由方案，初次排查时不要同时变更节点、DNS 和路由。
- 检查 Tun 参数。开启「设定」→「参数设定」，查看 Tun 相关设定。初次使用时，先保留预设的网路堆叠、MTU 等参数；储存后回到主介面。
- 开启「启用 Tun」。等待核心启动，并检查记录中是否出现介面、权限、路由或设定错误。开关亮起只表示已送出启用指令，仍须实际测试网路连线。
- 排除系统代理的影响。确认 TUN 已启动后，将系统代理切换为「清除系统代理」，再测试原本不会使用系统代理的程式。如此可避免浏览器仍透过系统代理成功连线，导致误以为 TUN 已接管流量。
macOS 和 Linux 版 v2rayN 同样需要具备操作虚拟介面与路由的权限，但不能照搬 Windows 的右键提升权限步骤。请使用对应平台的发行套件，并依该版本的权限提示操作。本文不提供通用的完整提权指令，以免让桌面程式长期处于不必要的高权限状态。
四、检查路由、DNS 与 UDP
TUN 启动后，先保留合理的区域网路直连规则，再检查外部网域的分流设定。连线至公司内部网路、印表机或路由器管理页面时，目标位址可能属于私有网段。若这些连线被送往远端代理，即使外网正常，内部网路也可能无法使用。
这两个连接埠是通讯协定的常见数值，并不是要填入 v2rayN 的本机监听连接埠。DNS 是否由 TUN 接管，取决于产生的设定档中的 DNS 路由、拦截规则，以及应用程式本身的解析方式。浏览器若另外启用加密 DNS，查询可能会透过 HTTPS 送出，不能只因为看不到 53 连接埠的流量就认定发生故障。
- 确认解析伺服器能否连线。若远端 DNS 必须透过代理连线，其本身的连线也需要可用的连出路径；否则可能导致解析停滞，或在启动时形成相依性循环。
- 分辨名称解析与网路连线。解析成功只代表取得了位址，不代表目标连接埠可以连通；连线逾时也不一定是 DNS 污染。
- 保留节点位址的解析路径。若节点伺服器使用网域名称，必须确保代理建立前就能完成必要的解析，避免所有解析都依赖尚未启动的代理。
- 另外测试 UDP。游戏、语音和部分应用程式会使用 UDP。TUN 虽可处理相关流量，但代理通讯协定、节点伺服器端及传输路径上的网路也都必须支援；网页能正常使用不代表 UDP 一定可用。
结论：先固定连出方式，再单独调整 DNS
保留一个已验证可用的节点和一套明确的路由规则，每次只调整一项 DNS 设定。变更后同时重新测试外部网站与区域网路资源，确认没有为了恢复外网而导致内部网路中断。
五、验证接管结果，别只看开关
测试时请使用同一个目标和同一个应用程式，分别记录启用与关闭 TUN 时的状况。若应用程式本身设定了 HTTP 或 SOCKS 代理，请先记录并暂时关闭该设定，否则无法判断连线成功究竟是来自应用程式代理还是虚拟网卡。
- 先测试一般网页。在清除系统代理的状态下连线至目标网站，确认基本连线正常。不要只看浏览器快取页面，应重新送出连线请求。
- 接着测试目标程式。启动原本不会使用系统代理的应用程式，同时查看客户端连线资讯或记录。若记录可显示规则、目标和连出方式，请重点确认实际套用的连出规则。
- 检查本机资源。连线至实际使用的路由器管理位址、区域网路服务或共享资源。不要预设所有家用网路都使用相同网段。
- 关闭 TUN 进行对照测试。关闭 TUN 后再次测试，再重新启用。若结果完全相同，请先确认目标是否原本就能直连，不要立刻认定接管失败。
在 Windows 上可使用以下唯读指令辅助检查介面与路由。这些指令不会变更设定，也无法单独证明流量确实透过代理；请结合应用程式的连线请求和客户端记录一并判断。介面名称由系统与核心决定，不必寻找固定名称。
ipconfig /all
route print
powershell -NoProfile -Command "Get-NetAdapter | Format-Table Name,InterfaceDescription,Status"六、排解启动失败、断网与区域网路冲突
点选「启用 Tun」后，为什么马上又关闭？
先检查启动操作后紧接着出现的第一条错误。若权限不足，请从系统匣退出程式，再以管理员身分重新执行；若缺少核心档案，请还原完整的发行套件；若设定栏位错误，请先还原最近变更的 Tun 参数。不要连续切换开关，以免覆盖重要记录。
启用后所有网站都无法开启，先检查哪里？
先关闭 TUN，恢复原本可用的系统代理，并确认节点仍可正常连线。节点正常后，再检查 TUN 记录中的 DNS 与路由错误，并暂停其他 VPN。每次只恢复一个接管工具，避免多个预设路由互相影响。
网页正常，但游戏或语音仍然无法连线？
确认应用程式没有绑定到其他网卡，再检查节点是否支援所需的 UDP 转发。不要把浏览器 HTTPS 连线成功当成 UDP 也能正常使用。保留应用程式的具体错误讯息和发生时间，并搭配客户端记录判断问题是遭拒绝、连线逾时，还是规则分配错误。
外网正常，印表机和公司内部网路却无法连线？
检查内部网路目标的实际位址与符合的规则，并保留对应的直连路径。公司 VPN 可能会使用专用路由和内部 DNS，请先关闭 TUN 确认是否冲突；受管理的装置应交由管理员处理，不要删除系统路由来强行绕过政策。
退出客户端后仍然断网，该如何恢复？
建议先重新启动 v2rayN，关闭 TUN 后正常退出，再检查系统代理是否已清除。确认没有其他流量接管服务后，必要时重新启动电脑，以清除暂存的介面与路由。不要直接删除不认识的网卡，也不要清空整份路由表。
七、保留还原方式，再决定是否长期启用
若只需要让浏览器使用代理，系统代理通常较容易查看与维护。确实需要接管未使用代理的程式时，再启用 TUN。是否适合长期启用，取决于目前路由、DNS、睡眠唤醒和网路切换后的表现，而不是开关能否一直维持启用。
- 切换网路后重新测试。从有线网路切换到无线网路，或从家用网路切换到办公网路后，请重新检查外部连线与内部网路资源。
- 升级后检查设定。客户端与核心更新可能会改变参数支援范围。请先保留可还原的设定，再检查启动记录，不要将旧版设定片段直接拼进新版。
- 依序还原设定。先关闭 TUN，再视需要恢复系统代理，最后确认目标应用程式与区域网路资源都已恢复正常。
若需要重新汇入订阅或确认基本代理流程，请先回到使用指南完成基本连线，再回来启用 TUN。将节点可用性、系统代理、虚拟网卡和分流规则分开检查，通常比同时变更多个开关更容易找出问题。