本文以 Windows 桌面的 v2rayN 为操作对象，适合浏览器能联网、命令行或其他应用却不走代理的情况。先验证节点，再用管理员权限启用 TUN，通过网卡、路由和连接日志交叉确认接管结果；遇到断网时按固定顺序回退，不同时修改节点、DNS 和路由规则。
系统代理与 TUN：接管流量，不等于全部代理
系统代理是操作系统提供给应用的代理配置。浏览器通常会读取它，但某些命令行工具、游戏和后台服务有自己的网络设置，不一定遵循。TUN 则创建三层虚拟网络接口，借助路由把符合条件的 IP 数据包送到代理内核处理，不要求每个应用主动支持 HTTP 或 SOCKS 代理。
摘要中的“全部流量”描述接管目标，不代表每一个数据包都一定进入代理服务器。局域网排除项、接口绑定、IPv6 配置和特定系统流量都会影响覆盖范围。即使流量进入 TUN，仍然可以被规则分配为直连、代理或阻断；开启 TUN 也不会自动把“绕过局域网”的路由方案改成全局代理。
| 对照项 | 系统代理 | TUN 模式 |
|---|---|---|
| 接入位置 | 应用读取代理设置 | 系统路由与虚拟网卡 |
| 常见覆盖对象 | 遵循设置的浏览器等程序 | 路由导入的 TCP、UDP 流量 |
| Windows 权限 | 修改当前用户代理通常无需提权 | 通常需要管理员权限 |
| 是否改变分流规则 | 不会自动改变 | 不会自动改变 |
| 主要排查位置 | 代理地址、本地监听端口 | 网卡、路由、DNS、内核日志 |
判断：只有部分应用不走代理，再考虑 TUN
如果浏览器和其他目标应用都能按预期联网，保留系统代理即可。若浏览器正常、忽略系统代理的程序失败，先确认该程序是否支持手动代理，再决定是否使用 TUN。
开启前：记录原值，先验证节点
v2rayN 是客户端界面，实际转发由内核完成。节点使用 VMess 或 VLESS，并不能单独决定是否可以使用 TUN；还需要当前客户端提供相应的 TUN 后端及配套组件。部分版本使用 sing-box 承担 TUN 接入，不应把“TUN 开关”理解为所有流量必然交给 Xray 的某个单一设置。
以下按近年 Windows 界面的常见名称说明。不同桌面版本的按钮位置和 TUN 设置字段可能调整，先在“帮助”→“关于”记录实际版本，再按页面上的字段核对。找不到相同字段时，不要照抄旧版截图或自行补写内核配置。
- 保留配置。备份当前配置目录，或记录订阅分组、活动节点、路由模式和 DNS 原值。备份中可能包含订阅地址和凭据，只保存在受控位置。
- 验证基础连接。暂不开 TUN，选中可用节点，使用系统代理打开实际网页。只有延迟数字正常不够，必须确认真实请求能完成。
- 记录本地端口。打开“设置”→“参数设置”，查看本地监听端口及监听类型。本文使用
127.0.0.1:10808作为记录示例，实际值以当前配置为准。 - 排除并行接管。暂时退出其他 VPN、虚拟网卡接管工具和网络加速功能。企业设备先确认管理要求，不要擅自停止单位的网络防护服务。
- 检查安装目录。使用完整安装包或完整解压目录，不要只复制一个启动文件；确保当前账户可以写入配置和日志。
Windows 开启步骤与配置对照
首次启用只改变接管方式，保留已经可用的节点和路由方案。不要同时导入新订阅、切换协议、改 DNS 和开启 TUN，否则失败后很难知道是哪一项导致。
- 正常退出客户端。从托盘菜单退出 v2rayN，而不是只关闭主窗口。确认旧进程已经结束。
- 以管理员身份重新运行。右键 v2rayN 启动程序，选择“以管理员身份运行”，确认系统权限提示。若本次运行不能获得提权，先解决权限问题，不要反复点击 TUN。
- 确认活动节点。检查主界面当前选中的服务器和路由模式。不要把“节点被选中”当成“已经完成连接验证”。
- 清除系统代理。在主界面或托盘的“系统代理”菜单选择“清除系统代理”。首次验证让流量只经过一种接入方式，便于区分问题；清除系统代理不等于退出内核。
- 打开 TUN。启用主界面的“启用 TUN”开关。若界面要求重新提权或重启内核，按提示完成，再查看日志是否出现权限、网卡创建或配置加载错误。
- 先用默认 TUN 参数。需要检查高级项时进入“设置”→“参数设置”中的 TUN 相关页；某些版本入口名称为“TUN 模式设置”。字段不存在时保留当前版本默认值，不从其他版本硬搬参数。
基线：系统代理验证
- 运行权限
- 当前用户
- 系统代理
- 自动配置系统代理
- 启用 TUN
- 关闭
- 本地地址
- 127.0.0.1
- 端口记录
- 10808，教学示例
端口必须对应实际 HTTP 或混合监听入口，不能仅凭数字判断协议。
目标：单独验证 TUN
- 运行权限
- 管理员
- 系统代理
- 清除系统代理
- 启用 TUN
- 开启
- 活动节点
- 保留基线节点
- 路由模式
- 保留原有模式
本地代理端口可以继续监听；TUN 依靠虚拟网卡接入，不需要把系统网卡端口改为 10808。
首次启动若出现系统防火墙提示，应核对程序路径和所属网络范围。不要为了让开关变亮而关闭整个防火墙，也不要把本地监听地址改成 0.0.0.0；扩大监听范围不能解决虚拟网卡权限问题，还可能让同网段设备访问本地代理。
验证是否生效：网卡、路由、真实请求
“开关已开启”只说明界面状态改变。完整验证要同时看虚拟接口是否存在、路由是否改变、目标请求是否进入内核。下面命令在 Windows PowerShell 中执行，前后各运行一次并比较；接口名称由版本和配置决定，不必与教程截图一致。
Get-NetAdapter -IncludeHidden |
Select-Object Name, InterfaceDescription, Status
route print -4
route print -6
curl.exe --noproxy "*" -I --connect-timeout 10 https://example.com/- 网卡证据：比较开启前后是否新增或启用 TUN 虚拟接口。仅看到一张旧虚拟网卡不能证明当前接管成功。
- 路由证据：观察 IPv4 路由中是否新增导向 TUN 的条目。实现可能使用拆分默认路由或其他策略，不要求一定出现一条新的
0.0.0.0/0。 - 请求证据：
--noproxy "*"让 curl 不使用显式代理配置，适合检查系统路由层接入；它不会绕过 TUN。收到 HTTP 响应说明请求完成，但不能单凭这一点判断是否走代理出站。 - 分流证据：对照内核日志中的目标地址与出站标签，确认测试目标是直连还是代理。若当前日志级别不显示连接，可临时提高一级，完成后恢复，分享日志前去除敏感字段。
还应分别测试一个明确直连的目标和一个按规则代理的目标。出口地址发生变化只能证明该次请求的出口变化，不能证明所有程序都被接管。UDP 测试也要使用实际需要的应用；网页成功只覆盖这次 HTTP 请求，不代表游戏或语音使用的 UDP 链路正常。
判断：至少保留两类证据再认定成功
虚拟接口与路由变化证明接入已建立，连接日志证明规则选择符合预期。两者结合，比只看开关、延迟数值或出口地址更可靠。
DNS、IPv6 与局域网访问的边界
TUN 能接收到数据包，不代表 DNS 一定按预期工作。系统缓存、浏览器安全 DNS、客户端 DNS 规则和内核的 DNS 接管可能形成不同路径。遇到“IP 可以连，域名打不开”，先检查日志中的解析错误，再核对客户端 DNS 配置，不要直接把所有 DNS 地址替换成同一个公共服务。
- DNS 接管：常见目标是处理 UDP 或 TCP 的 53 端口查询。浏览器的加密 DNS 使用不同连接方式，不能假设它一定受同一条 53 端口规则控制。
- IPv6：IPv4 与 IPv6 使用不同路由表。若只处理 IPv4，部分应用可能通过 IPv6 走另一条路径；同时检查
route print -6和客户端的 IPv6 设置，再决定是否调整。 - 局域网：打印机、文件共享和路由器管理页通常需要直连。核对实际使用的
192.168.0.0/16、10.0.0.0/8或172.16.0.0/12网段，而不是把整个局域网强制代理。 - FakeDNS：它是域名与虚拟地址映射机制，不是开启 TUN 的必选项。基础连接未验证前先不要额外启用，否则需要同时排查映射、缓存和分流。
调整 DNS 策略后，如怀疑 Windows 保留了旧解析记录，可执行下方命令再测试。它只清理 Windows DNS 客户端缓存，不会清空浏览器自己的缓存，也不会修复错误的上游 DNS 或路由规则。
ipconfig /flushdns常见故障：按错误位置处理
开关一打开就自动关闭，怎么办？
先查看同一时刻的内核日志。若有权限不足或创建接口失败，退出后以管理员身份重新运行；若提示组件缺失，使用完整安装包修复，保留原配置。不要反复切换节点，节点参数通常不能修复本机网卡创建失败。
一开 TUN 全部断网，先改 DNS 吗？
先关闭 TUN，恢复原来的系统代理状态，确认基础连接仍然正常。然后退出其他网络接管程序，再仅开启 TUN。若日志是解析超时再查 DNS；若是连接节点超时，检查节点可达性、接口选择和路由回环。
网页能开，游戏还是连接失败？
检查目标连接是否出现在日志中，再确认节点出站和服务端支持所需 UDP 转发。TUN 能接收 UDP，不代表服务端一定能转发；游戏失败也可能涉及特定端口、地区限制或应用自身策略，不能只靠开启全局模式判断。
开启后访问不了打印机和公司内网？
记录无法访问的实际 IP 和网段，检查是否误入代理规则。个人局域网按需要恢复直连；公司内网若依赖专用 VPN，先关闭 TUN 验证，不要叠加两套默认路由，也不要在不清楚用途时删除企业网卡。
如果网页能显示文字，但图片上传、视频或大文件传输经常卡住，再检查 MTU。先记录当前值，仅在该版本提供相应字段时做单项调整，例如将 1500 临时改为 1400 后对照同一任务。这个数值是排障试验，不是通用最优值；无改善就恢复原值，避免把偶发网络波动误判为设置有效。
关闭与回退：确认系统恢复原路径
不再需要 TUN 时，先关闭“启用 TUN”，等待内核完成退出或切换，再恢复所需的系统代理状态。仅关闭主窗口可能仍有托盘进程运行，不能代替关闭接管。
- 关闭 TUN 后重复查看网卡状态和路由表。虚拟适配器可以保留，但不应继续存在错误的接管路由。
- 如果继续使用浏览器代理，在“系统代理”中恢复“自动配置系统代理”；如果准备完全直连，选择“清除系统代理”。
- 若客户端异常退出后断网，先用原客户端重新启动再正常关闭 TUN。检查 Windows“设置”→“网络和 Internet”→“代理”，确认没有遗留指向已停止监听端口的手动代理。
- 仍未恢复时，保存日志并重启系统，再检查其他 VPN 或虚拟网卡软件。不要直接执行网络重置或批量删除网卡，避免影响静态 IP、企业网络和远程管理。
TUN 解决的是应用流量如何进入内核，订阅决定可用节点，路由决定直连与代理，DNS 决定域名如何解析。把这四层分别验证，才能区分“没接管”“分流错误”和“节点不可用”。更多基础操作可从使用文档开始，协议与传输参数则查看技术参考。