许多 cocoduck 用户在日常使用中会遇到一些特殊场景：例如在 Windows 的 PowerShell 中执行 git clone 或 npm install 提示连接超时；或者启动某些桌面游戏客户端时，即使开启了系统代理也无法连线。此时，社区教程通常会推荐开启“TUN 模式”。
然而，TUN 模式并不是一个随手点击即可无条件生效的普通按钮。它深入操作系统的核心网络驱动层，若在权限不足或网络环境冲突的情况下强行开启，不仅无法代理流量，还可能导致整机完全断网。本文基于 Clash Party（Mihomo Party）真实版本，为您提供规范的权限核验与环境准备指南。
什么是 TUN 模式？它为什么需要高权限？
TUN（Network Tunnel）是一种操作系统内核级的虚拟网络适配器技术。普通的“系统代理”仅仅相当于在操作系统上挂了一个公告牌，告诉遵循规范的浏览器“请把 HTTP 流量送到 7890 端口”，但许多底层命令行程序或游戏客户端会完全忽略这个公告牌。
而 TUN 模式则是在您的系统里直接创建了一块“虚拟物理网卡”（Windows 下采用高性能 Wintun 驱动，macOS 下基于原生 utun 接口）。系统内核的路由表会被重定向，将所有从物理网卡流出的第三层（IP 层）数据包截获并注入该虚拟设备，再由 Clash Party 内部的 Mihomo 核心统一进行路由决策与加密转发。因为涉及安装驱动和修改全局路由表，操作系统出于安全机制，必须严格要求管理员权限。
启用 TUN 模式前的先决条件检查清单
请在尝试开启 TUN 模式前，逐一核实以下系统环境：
| 操作系统 | 核心驱动组件 | 管理员提权操作要求 | 关键核验步骤与排障 |
|---|---|---|---|
| Windows 10 / 11 | Wintun 驱动 (wintun.dll) |
必须右键客户端图标选择【以管理员身份运行】 | 若提示驱动安装失败，需检查是否有第三方杀毒软件拦截了驱动注入 |
| macOS (Monterey+) | 原生 utun 内核网络接口 | 初次开启时系统会弹出授权框，必须输入开机管理员密码 | 若弹窗被取消，可在【系统设置】→【隐私与安全性】中检查系统扩展权限 |
| Linux (Ubuntu/Debian) | /dev/net/tun 字符设备 |
需通过 sudo setcap 赋予二进制文件网络绑定权限，或 root 执行 |
检查内核是否加载 tun 模块（modprobe tun） |
规范启用步骤与状态验证
- 完全退出当前客户端：检查系统任务栏托盘，右键彻底退出正在运行的 Clash Party 进程。
- 以管理员身份重新启动：
- Windows：在开始菜单或桌面找到 Clash Party 图标，鼠标右键点击并选择【以管理员身份运行】（Run as Administrator）。
- macOS：正常启动软件，但在后续点击开启 TUN 开关时，在弹出的系统安全弹窗中准确输入您的管理员账户密码并点击“始终允许”。
- 在界面中激活 TUN 模块：进入 Clash Party 的【设置】或【常规】面板，找到【TUN 模式】开关，将其切换为开启。
- 验证虚拟网卡状态：
- 在 Windows 打开 PowerShell，输入
Get-NetAdapter，列表中应能清晰看到名为wintun或含有Meta标识的虚拟网卡处于“Up”就绪状态； - 在终端执行
ping 1.1.1.1，若能正常收到 ICMP 回显响应，说明虚拟网卡数据通道已畅通。
客观认知：TUN 模式并非能覆盖“所有网络流量”
为了避免用户产生技术误解，在此需要客观指出 TUN 模式的技术边界：
- 无法突破隔离容器：运行在极度隔离环境下的虚拟机（如配置了独立虚拟交换机的 Hyper-V / WSL2 镜像）默认拥有独立的网络命名空间，仍需在子系统内部单独配置网关指向宿主机。
- DNS 泄露与防污染必须协同：开启 TUN 后，必须同步确保 Clash Party 的内置 DNS 服务正常工作（如开启 Fake-IP 或 Redir-Host 模式）。如果局域网路由开启了强制 DNS 劫持（53 端口重定向），可能会导致域名解析混乱。
- 不要同时开启两个不同客户端的 TUN：如果您的电脑上同时安装并开启了其他 VPN 软件的虚拟网卡，两者会严重冲突争抢路由表默认网关，导致网络彻底瘫痪。开启前请务必关闭其他一切代理软件。