v2rayN 的 Tun 模式会在 Windows 中创建虚拟网卡，把原本不遵循系统代理设置的应用流量也交给 Xray 或其他选定内核处理。浏览器手动设置 HTTP 代理时，只有主动读取代理设置的程序才会生效；Tun 模式则可以覆盖命令行工具、桌面客户端、部分游戏启动器以及没有代理选项的应用。它的接管范围更大，但也更依赖管理员权限、虚拟网卡驱动、路由规则和 DNS 配置。
本文以 Windows 版 v2rayN 7.x 常见界面为例，说明从选择 Xray 内核、授予管理员权限，到打开 Tun 模式、检查虚拟网卡与路由的完整步骤；如果开启后无法启动、没有网络或局域网访问异常，也可以按文中的端口、网卡、日志和恢复方法逐项排查。
先理解 Tun 模式接管了什么
Tun 是一种虚拟网络接口。启用后，Windows 会把符合路由条件的连接交给这块虚拟网卡，v2rayN 再将流量转交给 Xray 内核处理。应用不必知道本地 HTTP、SOCKS 代理端口，也不必额外填写代理地址。对需要统一接管系统流量的场景来说，Tun 比单纯打开系统代理更彻底。
不过，Tun 并不等于“所有流量自动走远端”。流量进入虚拟网卡后，仍然要经过内核的路由规则。规则可能把目标分为代理、直连和阻断三类，也可能根据域名、IP、进程或地理规则进行判断。若配置使用的是“绕过大陆地址”一类分流模式，国内目标仍会直连；若选择全局代理，更多连接才会交给代理出站。
在 Windows 上，Tun 模式通常需要管理员权限来创建或修改虚拟网卡、写入路由并调整系统网络参数。v2rayN 主程序不一定必须始终以管理员身份运行，但首次启用 Tun、安装相关网卡组件或遇到权限错误时，使用“以管理员身份运行”可以减少失败因素。安全软件、企业策略和其他 VPN 程序也可能阻止网卡创建。
启用前建议先记录当前状态：v2rayN 使用的内核名称与版本、系统代理是否开启、当前节点、路由模式，以及是否有其他 VPN、虚拟网卡或网络加速软件。这样即使 Tun 启动后网络异常，也能恢复到原来的连接方式，而不是在多个变量同时改变后反复猜测。
开启前检查内核、权限与网络环境
先确认 v2rayN 能够正常启动，并且已经导入至少一个可用节点。Tun 模式只负责接管本机流量，不会修复失效的服务器地址、错误的 UUID、过期的订阅或不匹配的 TLS 参数。建议先在普通系统代理模式下选择节点，打开一个常用网页并完成一次延迟或连接测试，确认远端配置本身没有问题。
内核方面，优先使用 v2rayN 当前版本推荐的 Xray 内核，并在“设置”或“参数设置”中确认 Core 类型没有指向已经删除的文件。不同 v2rayN 版本的菜单名称可能略有差异，但核心思路一致：客户端界面负责生成配置和启动内核，Tun 能否工作还取决于内核是否支持对应的 Tun 入站、路由和 DNS 字段。
桌面代理基础
- 客户端
- v2rayN 7.x
- 内核
- Xray
- 常见端口
- 10808 / 10809
- 权限
- 管理员启动
先确认普通代理模式能正常访问，再切换 Tun。
Tun 接管基础
- 虚拟接口
- Wintun 或系统 Tun
- 路由
- 规则分流或全局
- DNS
- 内核接管或系统解析
- 防火墙
- 允许 v2rayN 与内核通信
网卡、路由和 DNS 必须同时可用，不能只看开关状态。
随后关闭可能与 Tun 冲突的软件，例如其他 VPN、网络加速器、透明代理工具和会自动修改默认路由的安全组件。多个程序同时抢占默认路由时，可能出现循环转发：流量进入 v2rayN 后又被另一个虚拟接口接管，表现为网页超时、网卡反复断开或系统网络图标显示异常。
还要确认系统时间、网络适配器和 DNS 没有明显异常。可以在 Windows 的“设置”→“网络和 Internet”→“高级网络设置”中查看物理网卡是否正常连接。Tun 网卡出现后，不要随意手动修改它的 IPv4 地址、网关或 DNS；这些参数通常由内核和客户端配置自动生成，手动覆盖可能导致启动成功但数据无法转发。
v2rayN 开启 Tun 模式的具体步骤
以下路径按 v2rayN Windows 版常见布局整理。版本更新后，菜单可能从“设置”移动到“参数设置”或“Tun 模式设置”，但需要寻找的关键词通常包括 Tun、透明代理、虚拟网卡、自动路由和严格路由。开启前请先保存订阅和当前节点，避免测试失败后无法恢复。
管理员启动
完全退出 v2rayN，在程序图标上点击右键，选择“以管理员身份运行”。若系统弹出用户账户控制窗口，选择“是”，不要只在普通权限窗口中反复点击 Tun 开关。
确认内核
进入“设置”→“参数设置”或“内核设置”，确认 Core 类型选择 Xray，并检查内核文件可以正常启动。先选一个可用节点，再保存当前配置。
打开 Tun 开关
在主界面或“设置”→“Tun 模式设置”中启用 Tun。若界面提供“启用 Tun 模式”“自动路由”或“系统代理”多个选项，先只启用 Tun 与自动路由，保留其他选项的默认值。
选择网卡方案
如果有 Wintun、系统 Tun 或虚拟网卡类型选项，优先采用客户端推荐的默认方案。不要同时创建多个 Tun 接口；已有旧接口时，先停止内核并删除无效接口后再重试。
设置路由模式
在“路由设置”中选择规则分流或全局代理。日常使用可先选择规则分流；只有需要所有目标都进入代理出站时，才使用全局模式，并确认 DNS 与局域网规则不会被误代理。
启动并验证
保存设置后启动节点和 Tun，等待约 5 至 15 秒。检查系统网络适配器中是否出现 Tun 网卡，再分别测试网页、命令行和局域网地址，确认不是只有浏览器能够联网。
成功启动后，可以在 Windows 搜索框输入“查看网络连接”，打开“控制面板”中的网络适配器列表。正常情况下会看到由 Wintun 或相关内核创建的虚拟接口。适配器名称可能包含 Tun、Wintun 或 v2ray 等字样，名称本身不是判断成功的唯一依据，还要结合 v2rayN 日志和实际流量测试。
本地端口仍然有意义。很多 v2rayN 配置会保留 HTTP 代理端口 10809 与 SOCKS 端口 10808，但 Tun 接管的应用不需要手动填写这两个端口。若某个程序支持代理设置，仍可按客户端显示的实际端口填写；不要因为看到端口被占用，就把它误认为 Tun 网卡已经失败。
| 检查项目 | 正常表现 | 异常时先看什么 |
|---|---|---|
| v2rayN 权限 | 任务管理器中程序以管理员权限运行 | 关闭全部窗口后重新“以管理员身份运行” |
| 内核启动 | 日志显示 Xray 已启动，没有立即退出 | 检查内核文件、配置语法和端口占用 |
| 虚拟网卡 | 网络适配器列表出现 Tun 或 Wintun 接口 | 检查驱动安装、设备管理器和安全软件拦截 |
| 默认路由 | 开启 Tun 后应用流量按规则转发 | 查看路由模式、严格路由和其他 VPN 冲突 |
| DNS | 域名可解析，且解析结果符合分流预期 | 检查 DNS 模式、域名策略与本地防火墙 |
路由、DNS 与局域网访问怎么设置
Tun 模式最常见的误解是“打开后所有数据都必须走代理”。实际是否代理，取决于路由规则。常见结果可以分为三类：代理出站负责远端目标；直连出站负责国内站点、局域网和本地服务；阻断出站用于拒绝广告、追踪或明确不需要访问的目标。配置不同，三类范围也会不同。
根据域名、IP 或规则集把目标分为代理与直连，日常使用通常更平衡。
适合:日常办公、国内外混合访问
尽可能把可接管流量交给代理出站，配置简单但会增加远端流量和延迟。
适合:短时测试、明确需要全量代理
更多目标使用本地网络，只对特定规则交给代理，适合对代理范围有严格要求的环境。
适合:少量域名、局域网优先
DNS 是 Tun 排查中的另一个重点。应用发送域名请求后，如果解析仍完全由 Windows 默认 DNS 完成，可能出现解析污染、国内外地址判断错误，或者域名解析走了与业务连接不同的路径。客户端提供 DNS 分流时，可以让国内域名使用本地可达的 DNS，让需要代理的域名通过内核或远端 DNS 解析。
局域网访问异常时，先检查路由规则是否包含私有地址直连。常见局域网网段包括 192.168.0.0/16、10.0.0.0/8 和 172.16.0.0/12。如果打印机、路由器管理页或 NAS 地址被送入代理出站，连接可能失败。可以在路由设置中启用局域网直连，或者确认客户端默认规则没有被自定义规则覆盖。
结论：先用规则分流验证
首次启用 Tun 不要立刻叠加全局代理、自定义 DNS 和大量阻断规则。使用默认规则分流先确认网卡、路由和节点都正常，再一次只调整一个选项，最容易判断是哪一层造成异常。
无法启动或开启后无网络的排查
如果点击 Tun 后没有任何反应，先确认 v2rayN 是否仍以管理员权限运行，然后查看主界面日志或内核日志。重点关注权限拒绝、网卡创建失败、端口占用、配置字段不支持和路由写入失败。不要只根据系统托盘图标判断状态：图标显示运行中，不代表虚拟网卡已经成功接管流量。
报错:access is denied
原因与解法:当前进程没有修改网卡或路由的权限——退出 v2rayN 后用管理员身份重新启动，并检查安全软件是否拦截。
报错:failed to create tun device
原因与解法:虚拟网卡驱动缺失、接口残留或被其他程序占用——停止全部代理程序，在设备管理器检查网络适配器后重新创建 Tun。
报错:bind: Only one usage of each socket address
原因与解法:本地端口已被其他进程使用——检查 10808、10809 及配置中的监听端口，关闭冲突程序或改用未占用端口。
报错:route add failed
原因与解法:系统拒绝写入路由，或默认网关与其他虚拟网卡冲突——关闭其他 VPN，停止 Tun 后恢复网络，再以管理员权限重试。
如果 Tun 显示已开启但所有应用都无法联网，先停止 Tun，恢复普通系统代理模式，确认节点是否仍然可用。普通代理也无法联网时，问题在节点、订阅或内核配置；普通代理正常而 Tun 失败时，再集中检查网卡、路由和 DNS。这个对照测试可以快速把远端连接问题与本地接管问题分开。
如果只有部分应用无法联网，优先检查路由和应用自身的网络特征。某些程序使用 UDP、IPv6、固定 IP 或自定义 DNS，未必与普通网页请求表现相同。可以先将路由切换到全局模式做短时测试：若全局模式能访问，说明原规则把目标错误地直连或阻断；若全局模式仍失败，则继续检查内核、网卡和防火墙。
开启 Tun 一定要管理员权限吗？
首次创建虚拟网卡、写入路由或安装驱动时通常需要管理员权限。建议完全退出 v2rayN 后使用“以管理员身份运行”，确认成功后再决定是否设置快捷方式始终提权。
浏览器能上网，命令行却不通怎么办？
先确认 Tun 网卡确实存在，再检查命令行目标是否被路由为直连，以及 DNS 是否能解析。可用同一节点切换全局模式测试，避免只看浏览器结果。
开启后局域网打印机无法访问怎么办？
在路由设置中启用局域网直连，确认私有网段没有被送入代理出站；同时检查 Windows 防火墙是否允许本地网络通信。
关闭 Tun 后网络仍然异常怎么办？
停止 v2rayN 内核，关闭系统代理，再到“设置”→“网络和 Internet”→“高级网络设置”中禁用并重新启用物理网卡，最后重启系统网络服务或电脑。
恢复网络与长期使用建议
排查完成后，如果不准备长期使用 Tun，建议按照固定顺序恢复：先在 v2rayN 中停止 Tun，再停止 Xray 内核，关闭系统代理，确认虚拟网卡不再承担默认路由，最后检查浏览器和命令行是否可以直接联网。不要直接强制结束进程，否则路由或 DNS 状态可能暂时残留。
如果网络仍未恢复，可以打开 Windows“网络连接”查看物理网卡和 Tun 网卡状态。确认没有其他代理软件重新写入系统代理，也没有重复的默认路由。必要时重启电脑，让系统重新加载网络接口；但重启前最好记下日志中的错误信息，否则问题再次出现时会丢失现场。
- 日常使用优先采用规则分流，避免无需求的系统流量全部进入远端。
- 保持 v2rayN、Xray 内核和虚拟网卡组件来自同一套稳定配置，不要混用多个旧版驱动。
- 修改 Tun、DNS、路由或防火墙设置时一次只改一项，并记录修改前后的结果。
- 节点更换后先测试普通代理，再测试 Tun，避免把服务器故障误判为网卡故障。
- 需要访问打印机、NAS、路由器管理页时，确认局域网地址走直连出站。