在配置 Clash Verge Rev、Clash Party 或其他现代网络客户端时，用户最常接触到的几个核心概念往往是“系统代理（System Proxy）”、“规则模式（Rule）”以及“TUN 虚拟网卡模式”。初学者常常产生困惑：为什么开启了代理后网页能正常打开，但终端命令行中的 Git 抓取依然报错？为什么某些网络游戏或原生桌面程序好像完全不受客户端控制？
理解这三种工作模式的区别，是精准排查网络故障和优化连接体验的关键。本篇将从操作系统底层接管层级出发，解析它们的工作原理与适用场景。具体客户端在猫猫云环境下的推荐适配参数，以服务入口当前说明为准。
一、系统代理（System Proxy）：应用层的约定性接管
“系统代理”是多数客户端最常见的一键开启模式：
- 实现原理：客户端通过修改操作系统的网络设置注册表（如 Windows 的 Internet 设置或 macOS 的 Network Preferences），声明本机存在一个特定端口（例如 HTTP 7890 / SOCKS5 7891）的本地代理服务。
- 工作范围：遵循系统代理约定的软件（如 Chrome、Edge、Firefox 浏览器以及多数桌面网页包装程序）在发起网络请求时，会自动先将请求转发给该端口。
- 局限性：系统代理是一种“君子协定”。很多非 HTTP 协议应用（如原生网络游戏、SSH、终端 Git、部分开发工具包）不会主动读取系统代理注册表，依然会直接通过物理网卡发起直连通信。
二、规则模式（Rule / 分流模式）：智能的流量路由判定
规则模式解决的是“哪些流量该走代理，哪些该直连”的决策问题：
- 分流逻辑：当请求进入客户端核心后，核心引擎会按照配置文件中的“规则集（Rules）”自上而下逐条匹配。例如：命中
DOMAIN-SUFFIX,cn,DIRECT则直接从本机物理网络请求；命中GEOIP,CN,DIRECT则判定为国内 IP 直连；其他未匹配流量则走向MATCH,PROXY走远端代理。 - 核心优势：兼顾访问速度与流量节约。国内流媒体、网银及政务网站保持本地高速互联，海外技术资源自动走代理，无需频繁手动切换开关。
- 对比全局模式：如果切换为“全局代理（Global）”，则无视规则直接将所有流量送入同一个代理节点，极易导致国内应用访问缓慢或 IP 被封禁。
三、TUN 模式（虚拟网卡）：网络层的全量强行接管
TUN 模式通过在操作系统内核中创建虚拟网络适配器（Virtual TAP/TUN Adapter）来运作：
- 实现原理：TUN 运行在网络层（OSI 第三层），接管 IP 数据包。它将操作系统的默认网络路由表指向该虚拟网卡。
- 最大优势：彻底解决不遵守系统代理约定的软件问题。无论是命令行的
curl、git clone，还是大型联机游戏或未配置代理接口的后台服务，其产生的所有 TCP/UDP 数据包都将无条件被 TUN 网卡捕获并转入核心引擎。 - 注意事项：开启 TUN 需要系统底层管理员权限；部分客户端需要安装特定的 Wintun 或 WinTUN 驱动。如遇到多网卡冲突，可能引发短时间网络重置。
安全提醒：TUN 模式无需关闭防火墙
配置 TUN 模式时系统通常会弹出管理员授权提示（UAC）。请务必通过合法提示点击“允许”。切勿听信某些网络教程关闭 Windows 防火墙或系统保护！系统防火墙对虚拟网卡流量同样具有合法的保护作用，随意关闭可能导致局域网端口完全暴露在未授权扫描风险中。
四、三大模式特性对比一览
| 对比维度 | 系统代理 (System Proxy) | 规则分流 (Rule Mode) | TUN 模式 (Tun Interface) |
|---|---|---|---|
| 工作层级 | 应用层 (HTTP / SOCKS) | 路由决策逻辑层 | 网络层 (IP 数据包) |
| 接管范围 | 仅支持系统代理约定的软件 | 依规则决定直连或代理 | 系统全局全协议接管 |
| 权限要求 | 普通用户权限 | 普通用户权限 | 需要系统管理员权限 |
| 常见用途 | 日常网页浏览、办公查资料 | 国内国外混合流量智能调度 | 终端开发、外服游戏、UDP 全流量 |
五、常见问题与搭配建议
在实际使用猫猫云节点时，最理想的搭配通常为：“规则模式 + 系统代理”用于普通办公电脑；而在需要支持开发终端或特定游戏客户端时，建议开启“TUN 模式 + 规则模式”。若在开启后遇到域名解析死循环或没有节点信息，请参考《订阅导入失败或没有节点时如何排查》。