Windows 与 macOS 客户端系统代理与 TUN 虚拟网卡模式深度解析
对比桌面端两大流量接管机制——System Proxy（系统代理）与 TUN（虚拟网卡模式）的工作层级、性能开销及开发工具适配方案。
在 Windows 与 macOS 桌面端配置好花云（Hua Cloud）订阅后，几乎所有现代客户端（如 Clash Verge Rev、Mihomo Party 等）的主界面醒目位置都会提供两个核心开关：系统代理（System Proxy） 与 TUN 模式（虚拟网卡模式）。许多用户并不清楚这两者的底层区别，有时两个一起开，有时在终端里执行 git clone 却发现毫无加速效果。本文将从操作系统网络栈层级出发，为您厘清这两大模式的精确用法。
一、System Proxy（系统代理）：轻量、纯净的应用层协商机制
当您在客户端中打开 系统代理（System Proxy） 开关时，客户端实际上只做了一件事：向 Windows 注册表或 macOS 的网络偏好设置写入一条本地 HTTP / SOCKS5 代理地址（例如 127.0.0.1:7897）。
1. 它的核心优势
- 零驱动侵入：不需要安装额外的虚拟网卡驱动，也不需要频繁请求管理员（Administrator / root）最高权限。
- 低资源占用：仅处理主动读取系统代理变量的应用程序请求，CPU 与内存开销极低。
- 即开即用：Chrome、Edge、Safari、Firefox 等主流网页浏览器，以及大多数支持系统代理的桌面软件（如 Notion、Slack、VS Code 主界面）都会自动遵循这一设置。
2. 它的局限性
系统代理本质上是一种“君子协定”——它只能接管那些主动遵守操作系统代理设置的软件。像命令行终端（PowerShell、Terminal、CMD）、部分独立编译的开发工具、Docker 守护进程以及绝大多数桌面端大型独立应用，默认会直接绕过系统代理，直接走物理网卡发起连接。
二、TUN 模式（虚拟网卡模式）：全栈接管的网络层方案
为了解决“不遵守系统代理的应用无法分流”的痛点，TUN（网络隧道虚拟网卡）模式应运而生。开启 TUN 模式后，客户端会在操作系统中注册一张虚拟网卡，并通过路由表将该网卡设为高优先级默认网关。
1. 它的核心优势
- 无差别接管三层流量：无论是命令行里的
curl、git、npm、pip，还是不支持代理配置的专业设计软件与跨区客户端，只要发出 TCP / UDP 数据包，都会被虚拟网卡捕获并交由客户端的 Rule（规则引擎） 进行分流。 - 原生 UDP 转发支持：对于依赖 UDP 协议的实时语音、视频会议或 QUIC 传输场景，TUN 模式比传统 HTTP 系统代理具备更完整的协议支持。
2. 使用 TUN 模式的注意事项
- 必须搭配合适的套餐容量：由于 TUN 模式会接管机器上所有后台软件的网络请求，若分流规则未命中，部分大体积更新包可能走远端通道。因此，长期开启 TUN 模式进行跨国开发或远程协同的用户，建议优先选用 GLOBAL ACCELERATION PLUS（400GB · 月付 ¥58 / 年付 ¥546） 或 GLOBAL ACCELERATION MAX（1000GB · 月付 ¥113 / 年付 ¥946），以确保个人使用配额游刃有余。
- 管理员权限授权：在 Windows 上开启 TUN 模式需要启用“服务模式（Service Mode）”或以管理员身份运行客户端；在 macOS 上首次开启则需要输入系统开机密码完成内核网络扩展授权。
三、HUA SELECT 桌面端实战配置建议
针对不同使用需求的花云用户，我们给出如下简明建议：
- 日常网页浏览与轻办公用户（如使用 AIR 20GB 或 LITE 150GB）：只需开启 「系统代理（System Proxy）」+「规则模式（Rule）」，保持 TUN 模式关闭。这样既能流畅访问目标网页，又能最大限度避免后台独立程序偷跑流量。
- 全栈开发者与重度跨国办公用户（如使用 PLUS 400GB 或 MAX 1000GB）：可开启 「TUN 模式」+「规则模式（Rule）」，并在客户端连接面板中观察常用开发进程的匹配情况，将明确属于国内镜像源的域名加入直连白名单，实现速度与流量的双重优化。