Режим TUN в Clash Meta: принцип работы и включение
Содержание
Режим TUN решает главную проблему системного прокси — неполный охват. Вместо того чтобы просить приложения ходить через определённый адрес, клиент создаёт в системе виртуальный сетевой адаптер и объявляет его основным маршрутом. Весь IP-трафик машины попадает в этот адаптер, а оттуда — в ядро mihomo, где к нему применяются обычные правила маршрутизации.
Работа на сетевом уровне даёт универсальность: программе не нужно ничего знать о прокси, её пакеты всё равно окажутся в туннеле. Плата за это — повышенные привилегии в системе и более сложная диагностика, если что-то пойдёт не так. Разберём принцип, порядок включения и типичные сбои.
Как работает виртуальный адаптер
После включения TUN в списке сетевых интерфейсов появляется новое устройство. Клиент прописывает маршруты так, что трафик, ранее уходивший в физическую сетевую карту, направляется на виртуальный интерфейс. Ядро читает оттуда IP-пакеты, восстанавливает из них соединения, определяет адрес назначения и решает по правилам, куда его отправить: через выбранный узел или напрямую.
Ключевое отличие от системного прокси в том, что здесь у приложения нет выбора. Настройка прокси в операционной системе — это объявление, которому программа может следовать, а может и не следовать; маршрут же обходить некому. Подробнее о «добровольной» модели написано в статье о системном прокси.
Когда TUN действительно нужен
- Игры и лаунчеры — обычно не читают системный прокси и активно используют UDP.
- Консольные инструменты и среды разработки — работают через прокси только после настройки переменных окружения, а некоторые не поддерживают их вовсе.
- Приложения со своей сетевой логикой — клиенты синхронизации, десктопные мессенджеры, служебные процессы.
- Единая точка контроля — когда хочется, чтобы весь трафик машины подчинялся одному набору правил, без исключений.
Для обычного веб-сёрфинга включать TUN не обязательно: с браузером системный прокси справляется не хуже и требует меньше прав.
Что нужно перед включением
Создание сетевого интерфейса и изменение таблицы маршрутизации — привилегированные операции, поэтому одного переключателя в интерфейсе мало.
| Система | Требование |
|---|---|
| Windows | Режим службы (клиент ставит фоновую службу) либо запуск от администратора |
| macOS | Подтверждение установки вспомогательного компонента паролем администратора |
| Linux | Повышенные права или соответствующие сетевые capabilities для процесса ядра |
| Android | Ничего дополнительно: роль TUN выполняет системный VPN-интерфейс |
Важно. Отказ в правах — самая частая причина, по которой переключатель TUN возвращается в положение «выключено» сразу после нажатия. Сначала убедитесь, что вспомогательная служба установлена, и только потом ищите проблему в конфигурации.
Включение TUN в Clash Verge Rev
- Установите клиент и импортируйте подписку — актуальные сборки лежат в центре загрузок.
- Откройте настройки и найдите пункт установки режима службы (Service Mode). Запустите установку и подтвердите системный запрос прав.
- Вернитесь к переключателю TUN и включите его. Если служба установлена корректно, переключатель останется активным, а в журнале клиента появится строка о поднятии интерфейса.
- Проверьте результат в программе, которая раньше игнорировала прокси, — например, выполните запрос из терминала без переменных окружения.
- Системный прокси при работающем TUN обычно можно выключить: трафик и так перехватывается на сетевом уровне.
Примечание. Названия пунктов приведены по текущей версии клиента; между релизами формулировки могут немного отличаться, но последовательность «служба → переключатель TUN» остаётся неизменной.
Android: тот же механизм под другим названием
На мобильных устройствах отдельного режима TUN нет — и не требуется. Clash Meta for Android и FlClash при запуске создают системное VPN-подключение, и Android сам показывает запрос на подтверждение. Технически это тот же перехват на сетевом уровне: приложение получает виртуальный интерфейс от системы, а трафик обрабатывает всё то же ядро mihomo. Поэтому на Android правила маршрутизации работают для всех приложений сразу, без дополнительных настроек.
Что делать, если после включения пропала сеть
Симптом почти всегда один: TUN включён, но ни один сайт не открывается. Проверяйте по порядку.
- Другой VPN или сетевой фильтр. Корпоративный VPN-клиент, антивирус с сетевым модулем или второй прокси-клиент конкурируют за маршруты. Отключите всё лишнее и попробуйте снова.
- DNS. При работе через TUN запросы имён обслуживает само ядро, и ошибки в секции
dnsпроявляются как полная потеря сети. Проверьте конфигурацию по руководству о настройке DNS в mihomo. - Узел не отвечает. Измерьте задержку выбранного сервера: при неработающем узле TUN исправно перехватит трафик, но отправить его будет некуда.
- Остаточные маршруты. Если клиент завершился аварийно, виртуальный интерфейс мог остаться в системе. Перезапуск клиента, а в упрямых случаях перезагрузка машины, возвращает маршруты в исходное состояние.
Выключается режим тем же переключателем: маршруты возвращаются на физический интерфейс, виртуальный адаптер удаляется. Если вы всё ещё сомневаетесь, какой режим выбрать для повседневной работы, сравнение двух подходов собрано в статье TUN или системный прокси.