v2rayN TUN 模式是什麼？原理、全域流量接管與設定步驟

TUN 接管的是流量入口

系統代理是在作業系統中設定本機代理位址。會讀取這項設定的應用程式，會將請求交給 v2rayN 的本機監聽連接埠；忽略這項設定的程式，仍可能直接連線至目標伺服器。因此，啟用系統代理不代表這台電腦上的所有程式都會經過代理。

TUN 是在網路層運作的虛擬介面。啟用後，搭配的路由設定會將符合條件的 IP 封包送進虛擬網卡，再由相應的核心處理。應用程式不必各自提供 HTTP 或 SOCKS 代理設定，適合用來接管無法個別設定代理的網路程式。

請留意最後一步：TUN 不等於「所有流量都經由海外節點」。TUN 決定資料如何進入核心，路由規則則決定資料從哪裡送出。啟用「繞過中國大陸」等分流預設後，前往中國大陸目標的連線仍可直連；符合代理規則的目標才會交由選定節點處理，符合封鎖規則的連線則會遭到拒絕。

哪些程式需要 TUN

先確認程式是否有自己的代理設定，再檢查它會不會使用系統代理。瀏覽器通常可以先使用系統代理；命令列工具、遊戲和部分桌面軟體的網路行為則不盡相同。即使是同一個程式，登入視窗與背景下載模組也可能使用不同的網路方式。

終端機工具不一定非用 TUN 不可。有些工具支援 HTTP_PROXY、HTTPS_PROXY 或自訂代理參數，設定後也能連線至本機代理。只有在程式不支援代理、無法修改啟動環境，或需要統一接管多個程式時，使用 TUN 才會更方便。

啟用前先確認節點與權限

不要在同一次操作中更新訂閱、更換節點、切換路由並啟用 TUN。先透過系統代理建立可重複的正常狀態，之後若發生問題，才能判斷是哪個步驟改變了網路路徑。

1. 確認客戶端版本。在 v2rayN 的「說明」相關選單中查看版本資訊。本文以 7.x 常見選單為例；如果選單名稱不同，請尋找「設定」、「參數設定」及主畫面的 TUN 開關，不要直接套用舊版設定截圖。
2. 測試訂閱節點。更新訂閱，選取一個節點並設為目前使用的伺服器，啟用系統代理後，實際開啟需要代理的網站。延遲測試成功只代表部分連線可用，不能取代網頁與目標應用程式的實際測試。
3. 記下目前設定。記錄目前使用的節點、路由模式、本機監聽連接埠與 DNS 設定。可以截圖保存設定，但請先遮住訂閱網址、節點登入資訊及其他敏感資料。
4. 關閉其他隧道。暫時停用其他 VPN、透明代理與網路加速工具。公司管理的裝置請遵守網路管理規範，不要擅自停用受管理的安全服務。
5. 提高權限。從系統匣選單完全結束 v2rayN，再按右鍵點選程式並選擇「以系統管理員身分執行」，接著確認系統權限提示。一般權限下能開啟主視窗，不代表有權限建立網卡或修改路由。

依序啟用 TUN 模式

以管理員身分啟動後，先保留剛才測試過的節點與路由預設。以下操作的重點是一次只變更一個項目；任何一步失敗，就停下來查看記錄，不要連續切換開關。

1. 檢查 TUN 參數。進入「設定」→「參數設定」，尋找 TUN 相關設定；部分版本會提供獨立的 TUN 設定入口。第一次使用時，請保留該版本的預設堆疊、MTU 與自動路由選項，不要先照抄其他裝置的數值。
2. 清除系統代理，建立測試基準。在主畫面或系統匣的「系統代理」選單中選擇「清除系統代理」。這一步是為了單獨測試 TUN，避免瀏覽器仍透過系統代理連線而造成誤判。
3. 啟用 TUN。開啟主畫面的「啟用 TUN」或名稱相近的開關，等待核心啟動完成。不同版本的選項文字與位置可能不同，請檢查記錄是否顯示虛擬介面已建立、路由初始化成功等資訊。
4. 確認系統介面。在 Windows 的網路介面卡清單中，查看是否有新增或已啟用的虛擬介面。介面名稱會因版本與設定而異，不必要求名稱完全一致；看到介面也不代表 DNS 與連線出口已正常。
5. 測試兩類應用程式。先瀏覽網頁，再測試先前不會使用系統代理的程式。請保持系統代理已清除，才能確認 TUN 是否確實接管這些程式的流量。

如果介面中找不到 TUN 開關，請先確認客戶端版本、平台與核心元件是否完整。不要只因為看到舊教學，就手動加入來源不明的驅動程式檔案。若需要更換安裝版本，請前往客戶端下載頁，選擇符合系統與處理器的版本。

透過連接埠、記錄與路由確認結果

以下三個連接埠號碼是用來說明連線關係的範例，不代表需要統一修改設定。10808 是常見的本機代理監聽連接埠範例，實際設定請以「設定」→「參數設定」中顯示的連接埠為準；53 和 443 則分別是常見的 DNS 與 HTTPS 連接埠。

在 PowerShell 中執行以下唯讀命令，查看網路介面、IPv4 路由與本機監聽狀態。最後一個命令只適用於實際監聽連接埠為 10808 的情況；如果連接埠不同，請改用設定中顯示的數字。監聽連接埠存在只能證明本機服務正在執行，無法單獨證明 TUN 已接管流量。

Get-NetAdapter | Select-Object Name, InterfaceDescription, Status
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric
Get-NetTCPConnection -State Listen -LocalPort 10808

• 確認流量是否由 TUN 接管。清除系統代理，確認測試應用程式也沒有自行設定代理，再建立新連線；搭配核心記錄判斷連線是否進入處理流程。
• 確認分流結果。分別開啟一個依規則應直連的網站，以及一個應經代理連線的網站，核對記錄中的目標與出口。若記錄未顯示規則細節，可暫時提高記錄層級，測試後再調回原設定。
• 確認 IP 位址版本。如果某個應用程式仍直接連線，請檢查它是否優先使用 IPv6。只看到 IPv4 路由有所變更，不足以證明 IPv6 流量也已接管。
• 測試 UDP。使用目標應用程式本身的連線測試。網頁透過 TCP 成功開啟，不代表遊戲、語音或其他 UDP 服務一定能正常使用。

DNS 與路由需要一起檢查

啟用 TUN 後網頁「一直轉圈」，不一定是節點失效。應用程式通常會先解析網域名稱，再建立連線；如果 DNS 查詢送往無法連線的伺服器，代理連線還沒開始就會失敗。反過來說，網域解析正常，也不代表選定的代理出口可用。

先保留與目前客戶端版本相配的 DNS 設定。確實需要修改時，請在「設定」中尋找 DNS 設定入口，並一併考慮直連網域與代理網域的解析路徑。不要隨意填入遠端 DNS 位址就當作完成：還要確認連往該 DNS 的流量會經過哪個出口，以及啟動時能否先解析代理伺服器的網域名稱。

• 區分 DNS 查詢類型。傳統 DNS 常使用連接埠 53，但應用程式內建的加密 DNS 可能透過 HTTPS 傳輸。只觀察連接埠 53，無法涵蓋所有網域解析活動。
• 留意應用程式快取。修改設定後，關閉並重新開啟目標應用程式，必要時執行 ipconfig /flushdns。這會清除 Windows DNS 快取，但不保證一併清除瀏覽器自己的快取或內建解析狀態。
• 保留區域網路連線。印表機、網路儲存裝置與路由器管理頁面通常需要直連。請使用目前路由器的實際管理位址進行測試，並檢查私有網段與本地域名規則，不要預設所有家庭網路都使用相同位址。
• 留意虛擬網路。虛擬機器、容器與遠端辦公隧道可能會新增自己的路由與 DNS。請依介面與目標網段逐項檢查，不要直接刪除所有虛擬網路介面卡。

常見衝突與復原步驟

網路復原後，將排錯結果整理成最精簡的設定：一個已確認可用的節點、一組分流預設，以及客戶端預設的 TUN 參數。確認網頁、目標應用程式與區域網路都正常後，再逐項恢復自訂 DNS 或其他隧道。若要回顧訂閱匯入與路由基礎，請參閱設定教學；系統代理的設定方式請見使用手冊。