Mihomo TUN 模式怎么开？从开启到验证的完整步骤

更新于 2026-11-01 · mhiyoo.buzz

简答：Mihomo TUN 模式的核心是启用配置中的 tun.enable，并让客户端获得创建虚拟网卡和修改系统路由所需的权限。最快做法是：先导入可用配置并启动核心，再在客户端开启 TUN，授权后关闭其他 VPN，最后通过虚拟网卡、核心日志和实际应用连接逐层验证。若开启后断网，先关闭 TUN，再恢复系统代理和网络路由。

定义：Mihomo TUN 模式是一种通过虚拟网卡接管系统网络流量的工作方式，适合处理不遵循 HTTP/SOCKS 系统代理的应用，但它会影响系统路由、DNS 和部分虚拟网卡通信。

先判断：你是否真的需要 TUN

如果浏览器通过系统代理已经正常，但游戏、命令行工具、独立网络栈程序或部分桌面应用仍不经过代理，TUN 才是值得优先尝试的方案。只使用浏览器或支持手动填写代理的应用时，系统代理通常更容易排查。

TUN 不等于全局模式。TUN 负责把流量送入 Mihomo，最终走直连还是代理，仍由当前配置的规则和策略组决定。开启 TUN 后，建议先保持规则模式不变，不要同时修改 DNS、规则和节点，以便定位问题。

本文是站内的第三方使用指南，不是任何客户端或服务的官方页面；客户端菜单名称、权限提示和服务模式可能随版本变化。

首屏速查：按你使用的方式选择步骤

使用方式	最短路径	重点检查
Windows 或 macOS 图形客户端	启动配置 → 启动核心 → 开启 TUN → 完成系统授权	虚拟网卡是否出现、核心日志是否显示 TUN、应用是否命中规则
纯 Mihomo 内核	编辑配置 → 启用 tun → 用当前版本的校验方式检查 → 重启核心	进程权限、系统路由、DNS 劫持和配置加载路径
Linux 服务方式运行	配置启用 TUN → 给服务授予网络管理能力 → 重启服务	服务权限、TUN 网卡、iptables/nftables 与 systemd 日志

官方文档将 enable、auto-route、auto-detect-interface、dns-hijack 和 strict-route列为 TUN 相关配置项；其中部分字段存在平台限制，不能把一套配置原样复制到所有系统。可先查看Mihomo 官方 TUN 配置文档。

图形客户端怎么开：最短操作顺序

先备份当前配置。如果客户端支持复制配置或导出配置，先保存一份能正常联网的版本。不要在首次开启 TUN 时同时改订阅、规则、DNS 和节点。
确认配置已经激活。先选择配置文件，启动 Mihomo 核心，并确认普通系统代理或客户端内置代理端口可以正常访问测试网站。
找到 TUN 或虚拟网卡开关。常见名称包括“TUN 模式”“虚拟网卡”“增强模式”或“透明代理”。不同客户端的菜单位置可能不同，找不到时应以当前客户端帮助和界面提示为准。
按提示完成管理员授权。TUN 需要创建虚拟网卡并设置系统级路由，因此 Windows、macOS 或 Linux 可能弹出权限确认。拒绝授权时，开关可能自动关闭，或者只启动普通代理而没有真正接管流量。
首次测试只保留一种接管方式。建议先暂时关闭系统代理，单独测试 TUN；如果 TUN 未接管，再恢复系统代理进行对照。不要同时运行其他 VPN、虚拟网卡工具或企业网络客户端。
观察客户端日志。重点看是否出现 TUN 网卡创建、路由启用、DNS 初始化或连接错误。仅看到开关变绿，不足以证明应用流量已经进入 Mihomo。

部分桌面应用会通过特权辅助组件完成系统级网络设置。官方控制面板项目的桌面说明也提示，首次启用 TUN 可能需要管理员授权；是否存在服务模式、服务名称及修复方式，应以你当前客户端的界面和官方说明为准，不要把某个客户端的菜单步骤套用于其他客户端。可参考官方控制面板项目的桌面 TUN 说明。

纯 Mihomo 配置怎么写：先用最小改动

如果你直接运行 Mihomo 内核，可以在现有配置中加入一个最小 TUN 结构。下面只是结构示例，不是可直接覆盖的完整配置；订阅、代理组、规则和 DNS 必须保留你自己的内容。

# 结构示例：请先备份配置，并按当前 Mihomo 版本文档核对字段
 tun:
   enable: true
   auto-route: true
   auto-detect-interface: true

这里刻意没有强行指定 stack、mtu、strict-route 或 dns-hijack。官方文档确实记录了这些字段及其平台差异，但客户端可能已经为它们设置默认值，版本之间也可能存在行为差异。新手应先让客户端生成或保留默认值，再一次只改一个字段。

enable: true：启用 TUN。
auto-route: true：让 Mihomo 自动设置全局路由，把流量导入 TUN；如果你只想创建网卡而不接管全局流量，不应盲目开启。
auto-detect-interface: true：自动识别出口网卡；多网卡、虚拟机或有线与无线同时连接时，可能需要按官方文档改为明确指定出口接口。
dns-hijack：将匹配的 DNS 请求导入内部 DNS 模块，但 Windows、macOS 的局域网 DNS 以及 Android 的私人 DNS 存在官方文档所述限制。
strict-route：会改变更严格的路由和 DNS 处理方式，可能影响 VirtualBox 等虚拟化软件；首次排障不要与多项路由改动一起启用。

修改后先使用当前构建提供的配置校验入口或客户端的“检查配置”功能，再重启核心。不要凭记忆套用旧命令，因为不同打包方式、客户端和版本的命令参数可能不同。

stack、DNS 和系统代理怎么处理

官方 TUN 文档列出了 system、gvisor、mixed 和 mips 等协议栈，并说明它们在系统协议栈、用户态隔离和 TCP/UDP 处理方式上存在差异。本文不把某个值当作所有设备的默认答案：如果当前配置已有 stack，先保留；如果是手写配置，先留给客户端或当前版本文档决定，遇到兼容性问题再单独测试一个值。

首次测试建议遵循“单变量”原则：先只开启 TUN，保持原有规则和 DNS；如果能创建网卡但域名打不开，再检查 DNS；如果浏览器正常而某个应用不通，再查看该应用是否使用独立网络栈、IPv6、UDP 或自身代理设置。

系统代理与 TUN 不必默认同时开启。两者同时运行可能让排查变复杂：浏览器可能走系统代理，其他应用走 TUN，结果看起来像“部分能用、部分不能用”。先关闭系统代理验证 TUN，再根据实际需求决定是否恢复。

四层验证：不要只看开关是否变绿

虚拟网卡层：在系统网络适配器或网络接口列表中查看是否出现新的 TUN 网卡。名称可能由客户端或配置决定，不能预设固定名称。
核心层：打开 Mihomo 日志，重新启动 TUN，确认出现网卡监听、路由或 DNS 初始化信息；如果只有普通代理端口日志，没有 TUN 相关信息，说明可能没有真正启用。
规则层：访问一个你明确知道会命中某条规则的域名，查看客户端连接记录中的域名、目标地址和策略组。规则不匹配时，TUN 本身正常也可能表现为“没有代理”。
应用层：分别测试浏览器、命令行工具和一个原本不遵循系统代理的应用。记录测试时间、网络类型、使用的节点或策略组、是否能解析域名、是否能建立连接，不要用一次成功推断长期稳定。

如果需要检查出口地址、DNS 或 WebRTC，应使用你信任的公开检测页面，并记录“开启前”和“开启后”的结果。检测结果只能说明该次网络环境下的表现，不能替代对规则、应用和长期稳定性的判断。

开后断网：按这个顺序回退

在客户端关闭 TUN，等待网络恢复。
如果仍无法联网，停止 Mihomo 核心，再关闭客户端的系统代理开关。
暂时断开其他 VPN、企业网络客户端、虚拟机网络和热点共享工具。
检查系统网络设置中是否还残留异常代理、虚拟网卡或路由。
恢复刚才备份的配置，先只启动普通代理，不要立即再次开启 TUN。
如果普通代理正常，再逐项恢复 TUN、自动路由、DNS 相关设置，每次只改一项。

Windows 下，严格路由可能影响某些虚拟化应用；Linux 下，自动重定向涉及 iptables 或 nftables；macOS 下，系统 DNS 解析路径也可能与 TUN 行为不同。官方文档对这些平台边界有明确说明，因此遇到问题时应先确认系统、核心版本和客户端版本，再决定是否调整路由或 DNS，而不是直接复制网上的完整配置。

常见问题

为什么 TUN 开关打开后马上又关闭？

优先检查管理员授权、核心是否已启动、当前配置是否有效，以及其他 VPN 或安全软件是否阻止创建虚拟网卡。先关闭其他网络接管工具，再从客户端日志确认失败发生在权限、网卡创建还是路由设置阶段。

浏览器能用，但命令行或游戏仍然不通，怎么办？

这通常说明浏览器可能走了系统代理，而目标应用没有。先确认虚拟网卡和自动路由已生效，再检查该应用是否使用 UDP、IPv6、自带 DNS 或独立代理设置；同时查看连接日志中是否出现该应用的目标连接。

开启 TUN 后域名打不开，但 IP 连接似乎正常，怎么排查？

重点检查 Mihomo DNS 是否启用、DNS 请求是否进入内部 DNS、规则是否把解析结果导向正确策略，以及系统或浏览器是否保留旧缓存。Windows、macOS 局域网 DNS 和 Android 私人 DNS 可能无法被自动劫持，应按官方 TUN 文档的限制逐项核对。

需要同时打开系统代理吗？

不建议首次测试就同时打开。先单独验证 TUN 是否能接管目标应用；只有在明确知道某些应用仍需要系统代理时，再恢复系统代理并记录两种模式的差异。

macOS 只能使用特定的 TUN 网卡名称吗？

官方配置文档说明，macOS 的 TUN 设备名称需要以 utun 开头。若客户端自动生成设备名，优先保留客户端默认值；手写配置时再按当前版本文档填写。

Linux 服务启动了，为什么 TUN 还是失败？

除了配置中的 enable: true，服务还需要具备创建 TUN 和修改网络路由所需的权限。检查 systemd 日志、服务权限、TUN 设备以及 iptables 或 nftables 状态；不要只看进程是否正在运行。

常见问题