浏览器能连接、桌面程序却不通时，先区分应用是否遵循系统代理，再考虑 TUN。本文以 Windows 上的 v2rayN 为操作主线，说明权限准备、虚拟网卡接管、路由与 DNS 的关系，并给出开启后的验证和回退顺序。macOS 的授权与网络扩展机制不同，应使用对应平台构建支持的入口，不照搬 Windows 的管理员操作。
系统代理与 TUN：接管位置不同
系统代理主要向应用提供一个本地代理入口。愿意读取系统代理设置的浏览器和桌面程序，会把请求交给该入口；自行建立连接、使用独立网络配置的程序，则可能继续直接访问网络。因此，“系统代理已设置”不等于“这台电脑的所有程序都已经经过代理”。
TUN 在操作系统中创建三层虚拟网络接口，通过路由把符合条件的 IP 数据包送入处理引擎。应用不必主动支持 HTTP 或 SOCKS 代理，流量也可能被接管。这里的“全局”描述的是接管范围，不代表每个连接都必须发往远端节点；最终走直连、代理还是阻断，仍由路由规则决定。
v2rayN 是管理界面，协议连接和 TUN 数据处理依赖实际启动的内核及其配置。不同构建可能使用不同的配套处理方式，不能仅凭界面里的节点类型判断 TUN 后端。VLESS、VMess 是代理协议，TUN 是流量入口；两者不是互相替代的选项，也不需要为了开启 TUN 把订阅里的所有节点改成另一种协议。
开启前准备：先确认节点、端口与权限
先在不开 TUN 的情况下确认节点能够工作。如果普通代理连接已经失败，TUN 只会扩大故障范围，无法修复失效订阅、错误的服务器地址或不匹配的安全层参数。建议保留当前路由与 DNS 设置的截图，并记下本地监听地址，方便回退后继续测试。
- 确认节点：选择一个已导入的节点设为活动服务器，用浏览器实际访问验证；单次延迟探测成功并不能证明网页、DNS 和 UDP 都可用。
- 核对监听：在「设置」→「参数设置」中查找本地监听端口，具体分组随版本变化。不要把本机代理端口与服务器端口混为一谈，也不要为了 TUN 把监听地址直接改成所有网卡。
- 准备权限：Windows 通常需要提升权限才能创建虚拟网卡、修改路由。先正常退出 v2rayN，再右键程序选择「以管理员身份运行」，按系统提示授权。
- 排除竞争：首次测试时暂停其他正在修改默认路由的隧道或加速工具。公司设备若受网络策略管理，应先取得授权，不要尝试绕过终端防护。
本地端口没有必须照抄的统一值。上面的 10808 只是测试示例；如果当前配置使用其他值，命令、应用内代理设置和日志检查都应替换为实际端口。一般也不需要为本机 TUN 接管开放路由器入站端口。
v2rayN 开启 TUN：按一次一项的顺序操作
不同版本的开关文字可能显示为「启用 TUN」或「TUN 模式」，设置页也可能调整分组。以下按功能入口说明，优先识别主窗口的 TUN 开关与「设置」中的 TUN 配置项，不把某一版的按钮位置当作固定标准。
- 保留普通代理基线。关闭 TUN，用当前活动节点完成一次实际访问；若失败，先处理节点与订阅问题，再继续。
- 以所需权限重启。Windows 使用管理员方式运行后，确认没有另一个旧实例仍在后台占用本地端口。只提升一个实例，不要同时启动两份程序。
- 核对 TUN 设置。打开「设置」，进入当前版本提供的 TUN 配置页。首次使用优先保留默认网络栈、MTU 与接口参数，确认自动路由相关选项符合接管目标，不要同时调整多个高级项。
- 明确路由策略。选择符合需求的规则模式，保留必要的局域网直连规则。需要访问打印机、网络存储或公司内网时，尤其要检查对应网段和域名。
- 启用主窗口的 TUN 开关。观察内核日志，确认没有权限不足、配置解析失败或端口占用错误，再检查系统是否出现对应虚拟接口与路由。
- 单独验证 TUN。确认 TUN 已启动后，将 v2rayN 的系统代理切换为清除或关闭状态，再测试原本不遵循系统代理的程序，避免把普通代理的成功误当成 TUN 的成功。
如果启用后网络立即中断，先关闭 TUN，不要连续切换节点、网络栈和 DNS 模式。恢复到基线后查看第一条错误，再决定下一项修改。虚拟网卡存在只说明接口曾创建成功，并不能证明处理引擎仍在运行。
DNS 与路由：同时检查接管和解析路径
应用访问域名时，通常先做 DNS 解析，再连接目标 IP。TUN 接管连接并不自动保证所有域名解析都经过同一条路径。传统 DNS 常用 UDP 或 TCP 的 53 端口，而应用内的加密 DNS 可能通过 HTTPS 发出；仅处理 53 端口请求，不能据此认定浏览器的解析路径也已改变。
DNS 核对项
- 系统解析
- 检查当前网卡 DNS 来源与客户端接管设置
- 上游可达
- 确认解析服务器是否依赖尚未建立的代理
- 应用解析
- 浏览器安全 DNS 单独检查，不假定跟随系统
- 缓存影响
- 修改后重试新连接，必要时清理系统缓存
不要同时改系统 DNS、浏览器解析和客户端 DNS；每次只改一处，再验证结果。
路由核对项
- 局域网
- 按实际网段保留直连，例如 192.168.1.0/24
- 远端连接
- 节点服务器的出站连接需要避免再次进入接管回路
- IPv6
- 核对接管与分流覆盖范围，不只测试 IPv4
- 规则优先级
- 检查前置规则是否先匹配了目标连接
网段示例不是通用配置；内网使用其他地址时，应以实际路由与网络规划为准。
涉及远端节点域名时，还要避免解析循环：如果解析服务器只能经代理访问，而建立代理又必须先解析节点域名，就可能在启动阶段卡住。通常应使用客户端提供的合理默认方案，确保启动所需的域名能够先解析，而不是随意把所有 DNS 请求强制送往同一个出站。
有些配置会使用 FakeDNS 或 fake-ip 一类机制，把域名暂时映射为合成地址，再由处理引擎还原目标。这类地址不一定能直接被其他工具访问；切换模式后，旧 DNS 缓存也可能造成短暂异常。未确认当前内核支持与配置关系之前，不建议只因教程提到这一选项就开启。
- 域名无法解析：先查 DNS 请求、上游可达性与缓存，不急着更换节点。
- 域名能解析但连接超时：查路由命中、节点出站和目标协议支持。
- 只有局域网名称失败：检查内网 DNS、搜索域以及局域网直连规则。
- 只有部分程序异常：检查程序自己的代理、加密 DNS 和绑定网卡设置。
开启后验证：不能只看开关状态
验证应分成三个问题：普通代理是否可用、TUN 是否接到目标程序的连接、该连接是否匹配了预期出站。先在系统代理关闭的情况下测试目标程序，再结合日志判断。如果规则指定直连，出口地址没有改变也可能完全正常。
| 验证项目 | 操作方式 | 判读重点 |
|---|---|---|
| 普通代理基线 | 关闭 TUN，以显式本地代理访问同一目标 | 先排除节点、监听端口与远端连接问题 |
| TUN 独立接管 | 启用 TUN，关闭系统代理，再访问同一目标 | 结合日志检查是否出现该目标连接及预期出站 |
| 局域网访问 | 访问已知可用的路由器管理地址或内网服务 | 确认内网直连规则没有被宽泛规则覆盖 |
| DNS 与双栈 | 检查域名解析结果，分别观察 IPv4 与 IPv6 连接 | 避免只验证一种地址族就认定全部生效 |
| UDP 应用 | 测试确实使用 UDP 的目标功能 | TCP 网页成功不能证明 UDP 出站也可用 |
Windows 可用下面的命令查看路由和解析结果。代理测试命令要求本地 10808 端口实际提供 SOCKS 服务；若端口或协议不同，应按当前监听配置调整。示例目标只用于说明命令写法，不能把一次访问结果当作完整网络诊断。
route print
ipconfig /all
nslookup example.com
curl.exe --proxy socks5h://127.0.0.1:10808 https://example.com/
curl.exe --noproxy "*" https://example.com/第二条 curl 请求绕过的是应用层代理设置，不会绕过系统路由，因此仍可能经过 TUN。若要检查物理网络的直连基线，需要先关闭 TUN 再运行。分享日志时应隐藏订阅地址、账户标识和节点凭据；诊断所需的通常是错误类型、目标连接与规则命中情况，而不是完整配置。
常见问题与退出恢复
开关一打开就关闭，应该先查哪里？
先看启动日志中的第一条错误。Windows 先退出旧实例，再以管理员身份运行；若仍失败，区分权限拒绝、虚拟接口创建失败与配置解析错误。不要通过长期关闭系统防护来代替定位问题。
浏览器能用，游戏或语音还是连不上？
先确认目标连接进入 TUN 并命中预期规则，再检查节点与服务端是否支持对应的 UDP 转发。网页主要验证 TCP，不能证明语音或游戏使用的 UDP 路径正常；应用启动器和实际进程也可能连接不同目标。
开启后打印机和内网服务找不到了？
先关闭 TUN 确认服务原本可达，再检查本机实际网段、内网 DNS 与直连规则。发现服务可能依赖广播或组播，不能只增加一条公网代理规则解决；必要时将相关接口或网段按客户端支持的方式排除。
关闭 TUN 后仍然不能联网怎么办？
先清除指向已停止本地端口的系统代理，再正常退出客户端。检查系统 DNS 与路由是否恢复；Windows 修改 DNS 后可运行 ipconfig /flushdns 清理缓存。若仍异常，再考虑重新连接网络或重启系统，不要直接删除全部虚拟网卡。
稳定使用时，保留一份已验证的设置记录，比频繁更换网络栈更有帮助。记录活动节点、路由模式、DNS 方案、系统代理状态，以及是否存在其他隧道软件；出现问题时按记录逐项恢复，通常比一次性重置全部参数更容易定位原因。
- 临时停用：关闭 TUN，确认虚拟路由已撤销，再决定是否开启普通系统代理。
- 彻底退出：清除不再使用的系统代理后退出 v2rayN，避免应用继续连接已经停止的本地端口。
- 继续排查：保存脱敏后的错误日志，一次只改一个设置，并使用同一目标复测。