Clash Verge TUN 模式：原理、系统配置与权限

Clash Verge Rev（clash-verge-rev 仓库）的 TUN 模式会建立虚拟网卡，再调整路由，让 TCP、UDP 流量进入内核处理。应用不必单独设置代理。服务模式解决的是内核权限问题，两者作用不同。

截至 2026-11-08，最新正式版为 v2.5.10，发布记录见项目发布页。需要选择安装包时，可看按系统选择安装文件。

TUN 怎样接住应用流量

系统代理会在操作系统约定的位置登记代理端口，例如注册表或系统变量。应用是否使用这些设置，取决于它是否遵循这套约定。

TUN 从网络路由这一层接入。流量经虚拟网卡交给内核，不需要应用读取系统代理设置。

某个程序没有采用系统代理，并不等于代理内核没有运行。两种方式覆盖流量的机制不同。相关解释见官方文档的名词说明。

服务模式为什么需要授权

截至 2026-11-08，官方文档将服务模式的作用解释为：主程序以普通账户启动时，也能开启 TUN。

安装、启动服务需要管理员授权。服务随后负责启动内核，内核子进程继承相应权限。因此，日常打开主程序的身份与内核实际获得的权限可以不同。

clash-verge-service 是独立进程。关闭 Clash Verge Rev 后，这个服务仍会留在后台，不能把关闭窗口等同于服务已经停止。

文档还要求使用者在系统防火墙中放行 verge-mihomo、verge-mihomo-alpha。截至 2026-11-08，文档列出的 TUN 默认堆栈为 GVisor。

Windows：选择服务模式或管理员启动

截至 2026-11-08，Windows 常见问题页给出了两条使用路径。

通过服务启动内核：修正安装目录权限后，进入「设置 → 服务模式」重新安装服务。首页显示「服务模式」后，再开启 TUN。

直接用管理员身份启动：退出应用，右键快捷方式或 clash-verge.exe，选择「以管理员身份运行」。若出现安装或修复服务的提示，选择「继续使用 Sidecar」。采用这条路径，以后也需要管理员启动。

Sidecar 与普通用户权限组合时，无法使用 TUN；管理员启动则是文档提供的另一条路径。不能只看到 Sidecar 字样，就判断 TUN 一定不可用。

安全检查未通过，检查哪里

截至 2026-11-08，Windows 文档记录了「服务内核未通过安全检查」后转入 Sidecar 的情况。

服务会用系统权限启动内核。假如普通账户可以替换内核，或修改安装目录及上级目录中的相关文件，其他程序就有机会借这个入口提升权限。因此，服务会核验文件与目录的所有者、访问权限，检查失败便拒绝启动。

处理时先复制完整报错，查看 core path 指向哪里。默认安装位置为 C:\Program Files\Clash Verge；文档列出的合适所有者包括 SYSTEM、Administrators、TrustedInstaller。

报错中的 untrusted write ACE 涉及不受信任的写权限；dangerous=0x00010000 对应删除权限。应根据报错定位具体目录，不要递归重置整个 C 盘的权限。步骤依据见Windows 常见问题。

macOS、Linux 能确认到哪一步

macOS、Linux 的服务权限弹窗文案，以及 TUN 开关的准确界面位置，官方没有说明。不能把 Windows 的右键启动步骤直接套到这两个系统。

macOS 开关 TUN 时出现 DNS 变化，可对照这一行为判断；分流与解析的关系另见DNS 配置说明。

开启后网络异常，怎样分辨

Windows 官方问答列出的原因之一，是多块网卡、网段与规则发生冲突，并给出了删除多余网卡的处理方向。这对应的是网络异常，不是服务安全检查失败，应分别检查。

官方还列出了 Watt Toolkit、steamcommunity 302 与 Clash Verge Rev 的冲突。使用 TUN 时，文档要求手动清除 hosts 文件中的内容。

若同时出现权限提示与连接异常，先保留完整提示，再区分是内核未能通过服务启动，还是开启后的网络问题。其他现象可接着查常见报错处理。

第三方整理，与项目方无关。