全局代理和规则代理有什么区别：系统代理、TUN 模式与开关位置

两组开关，各管一段路

打开 Clash Verge Rev，首页有一张“代理模式”卡片，里面是规则、全局、直连三个选项；设置页里另有两个开关，一个叫“系统代理”，一个叫“虚拟网卡模式”^[1][2]。v2rayN 也差不多，主窗口的状态栏上并排放着“路由”和“系统代理”两个下拉框，旁边是一个“启用 Tun”开关^[3][4]。这些名字里都带着“代理”或者“模式”，看上去像同一个功能的几个档位，用的人经常混着开。

它们管的是一条连接要过的两道关。某个程序想上网，先得把请求交到客户端手里，这一步靠系统代理或者 TUN。请求进了客户端的内核，再由规则、全局、直连决定它从哪个出口出去，出口可能是某个代理节点，也可能就是你自己的宽带。前一组管哪些程序的流量会进来，后一组管进来以后往哪走。

分开想就不容易乱。选了全局又只开系统代理，浏览器的流量基本都走节点，命令行工具如果不读系统设置，照样直接连出去，全局对它不起作用。开了 TUN 又选规则，整台电脑的流量都会进到客户端，国内网站仍然按规则直连。

表里的说法来自 Clash Verge Rev 的名词解释和界面说明^[1][5]。下面几节按这个顺序一个个讲。

规则模式按什么分流

按 Clash Verge Rev 名词解释的说法，规则模式会拿配置文件里的规则（集）一条条去比，比出来的结果决定这条连接交给哪个节点，还是从本地网络直接出去^[5]。它内置的 mihomo 内核在文档里写明，运行模式不填时默认就是规则模式^[6][23]。在 Clash 系的客户端里，规则写在配置文件里，导入的订阅配置可以自带一份，自己也能往里加。

规则长什么样，v2rayN 的源码是个直观的例子。它带三套内置路由，新装时默认选中的是“V4-绕过大陆(Whitelist)”，另外两套叫“V4-黑名单(Blacklist)”和“V4-全局(Global)”^[7][8]。我们把三份模板逐条看了一遍。

三份模板里都有一条“阻断udp443”^[7]。“绕过大陆”那份没写兜底规则。Xray 的路由说明规定，一条规则都没匹配上的流量从第一个出站发出^[10]；v2rayN 生成配置时，又会把代理节点插到出站列表最前面^[9]。两条放在一起，名单以外的网站就都走节点。两套规则的思路正好反过来，一个列出国内名单让它直连，一个列出境外名单让它走代理。名单没覆盖到的网站，在两套规则下的去向是反的，所以同一个网站换一套路由，可能就从直连变成了走代理。

规则模式还有一个很实际的好处，省流量。我们收录的 34 家机场，套餐都按 GB 给流量额度，只有两家各有一个定制档的流量还没核实。直连的连接不经过节点，机场那边统计不到。以星岛梦（StarDream）为例，本站 2026-09-26 核对的资料里，它月均价最低的“贴心小包”是 96 元一年、每月 60G，按年付口径算，96 元摊到 12 个月是每月 8 元，再除以 60G，每 GB 约 0.13 元，套餐细节见这份档案。在全局模式下，国内视频也要经过节点，这部分同样从每月的 60G 里扣。

全局模式什么时候用

全局模式的定义很简单，所有流量都从你手工选定的那个出口出去，一般选的是某个节点^[5]。mihomo 的文档在全局模式后面加了一句备注，要在 GLOBAL 策略组里选定代理或策略^[6]，所以切到全局以后，记得去 GLOBAL 组里看一眼选中的是哪个节点。

叫“全局”，也有例外。v2rayN 的“V4-全局”模板里，局域网地址和局域网域名仍然是直连的^[7]。这样路由器后台、家里的 NAS 和打印机不会被送到境外节点上去，平时用起来察觉不到。

我们觉得全局模式最适合拿来排错。用规则模式时碰到一个网站打不开，就临时切到全局。这时能打开，说明节点没坏，是规则把它分错了；还是打不开，就该去看节点本身，节点的查法在代理节点那一篇。补规则的入口，Clash Verge Rev 文档写的是订阅配置右键菜单里的“编辑规则”。文档还提醒，规则按从上到下的顺序比，先碰到的那条说了算，自定义的要放进前置规则^[22]。

长期开着全局，代价是国内网站也要先出境再回来。网页打开的路程变长，按流量计费的订阅也会把这部分算进去。

直连模式下，流量还在客户端手里

直连在 Clash Verge Rev 里有明确的含义，首页对它的描述是所有流量不经过代理节点，但仍经过 Clash 内核转发再连接目标服务器^[1]。

这时候系统代理依旧指着客户端的本地端口，浏览器的每个请求照样先交给内核，内核再用你自己的宽带直接连出去。出口变了，入口没动。客户端在直连模式下崩溃或者被关掉，浏览器会和开着代理时一样，报代理服务器连不上。那种报错的收拾办法，见浏览器代理报错排查。

想让电脑彻底不经过客户端，要做的是关掉系统代理和 TUN，再退出客户端，顺序在最后一节。

系统代理能管到哪些程序

系统代理的原理，Clash Verge Rev 的名词解释说得很清楚。客户端把自己监听请求的端口写到系统约定的位置，比如注册表、系统变量，愿意遵守的程序去那里读，读到了就把请求发过来^[5]。同一页也写了它的短板，代理不了 UDP 流量^[5]。快速入门里的说法是，系统代理能处理大部分通过浏览器上网的需求，游戏和命令行这类不支持系统代理的程序要靠 TUN^[11]。

具体到常见软件，情况各不一样。

浏览器里，Edge 默认使用系统网络设置，代理也在其中^[17]。Firefox 有自己的连接设置，里面可以选“使用系统代理设置”，也可以选“不使用代理服务器”或者手动填一个^[16]，选了后两种，Windows 的系统代理开得再好它也不跟。

命令行工具基本不看系统设置。curl 手册里列的代理来源是环境变量，常用的就是 http_proxy、HTTPS_PROXY 和 ALL_PROXY^[13]。Clash Verge Rev 的托盘菜单里有一项“复制环境变量”^[14]，从名字看就是给终端准备的。

Microsoft Store 这类 UWP 应用是另一个坑。按 Clash Verge Rev 常见问题的解释，这类应用跑在沙盒里，平时碰不到本机的 localhost，而系统代理恰好把它们指向本机端口^[12]。要么用客户端里的“UWP 工具”给它们豁免，要么改用 TUN。

客户端监听的端口在它的界面里能看到，两款客户端的出厂值列在最后一节的表里，端口和地址各自怎么填，放在地址与端口那一篇里讲。

TUN 模式怎么开

TUN 的做法是新建一张虚拟网卡，再改系统路由，把网络请求重定向到这张网卡上^[5]。程序读不读系统代理都无所谓，它的流量按路由表走，自然就进了客户端。mihomo 的 Tun 配置里，auto-route 打开后由 mihomo 自己改路由，让整机的流量进到 tun 网卡；stack 可以选 system、gvisor、mixed，文档对它们的描述分别是体验更稳定全面、隔离性更高、TCP 和 UDP 各用一种协议栈^[15]。普通用户用客户端的默认值就行。

在 Clash Verge Rev 里，TUN 的开关在设置页，名字叫“虚拟网卡模式”，托盘菜单里叫“TUN 模式”^[2][14]。它有一个前提，设置页的提示说得很直接，不装服务模式、也不用管理员模式运行，TUN 就开不起来^[2]。名词解释里说，服务模式的用途就是让你不用管理员身份也能启动 TUN^[5]。同一页设置还提醒，TUN 已经接手了全部流量，开着它的时候系统代理可以不开^[2]。

v2rayN 的开关在状态栏，叫“启用 Tun”，更细的选项在“Tun 模式设置”里，有“自动路由”“严格路由”和“协议栈”几项^[3][4]。

开了 TUN 以后网络反而不正常，Clash Verge Rev 常见问题把原因归到网卡或网段太多，跟配置里的规则打架，建议到网络设置里删掉用不上的网卡^[12]。VPN 和虚拟机软件都会给系统添一张虚拟网卡，装过这类软件的电脑可以先从这里查。

开关在哪里，怎么关

下面这张表里的界面文字，取自两款客户端源码里的简体中文语言文件和界面布局文件。

两个版本号和日期来自各自的发布页^[19][20]，默认端口取自源码里的常量和初始配置^[18][8]。

v2rayN 的“路由”和 Clash 的三种模式并不一一对应，它选的是整套规则。想要全局效果就选“V4-全局”，想按国内国外分流就用默认的“V4-绕过大陆”。

iPhone 上常见的 Shadowrocket，App Store 介绍里自称基于规则的代理工具，更新说明里把它的连接叫作 VPN 连接^[21]。具体的模式开关在哪，本站没有核对，这里不展开。

关的时候按这个顺序来，最不容易留尾巴。

1. 在客户端里先关系统代理。Clash Verge Rev 关设置页或托盘里的“系统代理”；v2rayN 在“系统代理”下拉里选“清除系统代理”。选“不改变系统代理”的话，Windows 里原来写着什么就还是什么。
2. 开过 TUN 的，把“虚拟网卡模式”或“启用 Tun”也关掉。
3. 最后从托盘菜单退出客户端。

客户端是闪退或者断电后没机会关的，Windows 里会留下一个指向本机端口的代理，浏览器随即报错。Clash Verge Rev 常见问题里管这叫不打开 Clash 就无法使用网络，处理方法是去 Windows 设置的代理页把手动设置的代理关掉^[12]，完整的排查顺序见代理报错排查。

这些客户端常被用来访问境外网站，这件事涉及哪些规定，本站把法规原文和罚则放在了法规那一页，这里只讲设置。客户端怎么挑、各平台有哪些，见代理软件推荐。