在 Mac 环境下使用分流代理时，系统代理模式与增强 TUN 模式代表了两种截然不同的网络接管层级。系统代理仅拦截遵循系统环境变量的应用流量，而 TUN 模式通过创建虚拟网卡在底层网络协议栈接管本机全部 IP 数据包。
苹果桌面系统的网络架构对权限隔离有着严格要求，许多命令行工具或未配置环境代理的桌面软件不会主动读取系统的 HTTP 代理参数。这导致很多买家在开启软件后，发现浏览器能够正常翻阅外网网页，但终端代码拉取或部分本地服务依然无法联网。理解这两种模式的差异是解决分流异常的前提。
系统代理与 TUN 模式的底层区别：流量接管范围解析
系统代理属于应用层协议调度，而 TUN 模式依托系统虚拟网卡在网络三层实现全流量截获。
系统代理的工作机制较为简单，客户端通过修改 macOS 系统的网络偏好设置，指定本地监听的 HTTP 和 SOCKS5 端口。像 Safari、Chrome 这类标准桌面浏览器启动时会自动向该端口转发网络请求。但其局限性在于，如果某个程序不主动读取系统代理配置，其产生的所有数据流都会直接绕过客户端直连公网。
依据 Mihomo 官方文档的技术定义，TUN 模式会在操作系统内核中注册一张虚拟网络接口（TUN 设备）。一旦启用该接口，操作系统会将默认网络路由指向该虚拟网卡，从而在底层 IP 数据报文层面全面捕获流经网卡的数据。无论应用程序是否适配代理协议，其流量都将被强制送入核心规则引擎进行路由分流。更多基础概念可参阅 Clash 核心常识汇总。
什么情况下必须开启 TUN 增强模式：终端与复杂开发环境
当买家需要在终端执行命令、运行容器镜像或者使用不支持手动配置代理的应用时必须开启 TUN。
对于在 Mac 环境下从事软件工程的开发者而言，日常使用终端命令行拉取远程代码仓库是高频操作。原生 Git 命令、SSH 远程连接工具以及各类语言的包管理软件，默认情况下完全忽略桌面系统的 HTTP 代理设置。如果不单独配置环境变量，这类操作就会持续报出连接超时错误。
此外，很多大型联机软件或未经代理适配的即时通信工具同样不遵循系统代理协议。开启 TUN 模式能够直接省去为每一个终端会话单独导出代理环境变量的繁琐操作，实现全局底层的无感透明代理。关于现代内核的高级特性，可参阅 Clash Meta 内核进阶指南。
开启 TUN 增强模式容易碰到的三类麻烦：权限、DNS 与网络冲突
启用虚拟网卡模式需要接管全局路由表，这容易触发系统管理员授权、域名解析污染与软件互斥。
第一个常见现象是系统频繁弹出权限提示窗口。在 macOS 严格的权限沙盒管理机制下，向系统网络内核注入虚拟网卡属于高危系统操作，必须获取系统的 root 管理员权限。在首次开启该模式时，客户端通常会提示安装服务模式并要求输入开机密码以完成特权守护进程部署。
第二个常见问题是 DNS 域名解析冲突与解析泄漏。依据 Mihomo 官方文档说明，TUN 模式通常结合内部 DNS 模块工作，采用 Fake-IP 或 Redir-Host 进行域名截获。如果本地系统已经运行了其他本地 DNS 转发工具，可能会导致系统解析器出现循环解析或域名解析超时。
第三个问题是与其他虚拟专网软件的路由表互斥。如果在运行增强模式的同时开启了企业内网通讯工具或第三方远程连接客户端，两套虚拟网卡会争夺系统默认网关的控制权，从而导致全局断网。
场景化模式选择矩阵：日常浏览与开发调试怎么选
买家应当结合自身实际使用的软件类型来决定模式开关，避免在不需要全局接管时增加系统开销。
这里将两种模式在不同使用场景下的核心特征整理为对比矩阵：
| 对比维度 | 系统代理模式（System Proxy） | 增强模式（TUN 模式） | 适用场景与取舍考量 |
|---|---|---|---|
| 底层工作层级 | 应用层（HTTP/SOCKS5 端口监听） | 网络层（虚拟 TUN 网卡全局截获） | 普通浏览选系统代理，深度调试选 TUN |
| 浏览器应用接管 | 自动接管，完全顺畅 | 自动接管，完全顺畅 | 两种模式对常规网页浏览体验相同 |
| 终端命令行接管 | 默认不接管，需手动设置环境变量 | 自动接管，无需配置任何终端变量 | 开发者终端环境推荐使用 TUN 模式 |
| 系统权限依赖 | 普通买家权限即可运行，无弹窗 | 必须获取 root 权限，需安装服务模式 | 对权限敏感或公用电脑优先使用系统代理 |
| 资源占用与冲突 | 极低内存占用，无网卡冲突风险 | 占用稍高，可能与企业虚拟专网冲突 | 需多套办公内网并存时建议关闭 TUN |
关于现代桌面上常用的客户端配置，可参考 Clash Verge 详细使用教程。
跨平台配置迁移：从 Windows 习惯切换至 Mac 端
从其他桌面环境搬迁配置文件时，订阅链接可直接沿用，但系统服务组件与本地规则需要重新核验。
对于此前习惯在微软系统使用 Clash for Windows 的买家，其核心订阅链接本身与操作系统平台无关。将旧客户端导出的订阅 URL 直接添加至 Mac 端的客户端中，即可完整还原全部节点列表。关于旧版客户端的详细变迁与搬迁指引，可参阅本站专门整理的 Clash for Windows 迁移指南。
然而在本地个性化规则方面，由于 Windows 与 macOS 的本地文件路径与网卡命名规则截然不同，涉及绝对路径引用的规则分流配置需要手动调整。建议买家优先沿用服务商提供的远端规则集，减少本地硬编码依赖。挑选适配桌面端的服务商可参考 适配 Clash 的服务商名录。
现代 Mihomo 客户端生态：主流工具的演进现状
目前 Mac 平台的桌面客户端生态百花齐放，主流工具均在围绕增强内核与跨平台界面进行演进。
Mac 上用 Mihomo 内核的图形客户端有好几款，Clash Verge Rev 是讨论最多的一款，系统代理和 TUN 两种模式都能在界面里切换。
各个客户端的维护节奏不一样，有的已经很久没更新。下载前先看一眼项目页最近一次发布的时间，长期不更新的不要装，新协议它可能识别不了。买家可根据自己的操作习惯在 客户端下载专区 中挑选合适的工具。
买之前看一眼：订阅能不能导进 Mac 客户端
不是每家都给通用订阅，Mac 上用第三方客户端的话，先确认这一点。
跨界云给订阅链接，可以直接导进 Clash Verge Rev 这类客户端，用上面讲的两种模式；它也有自己的官方客户端，登录就能连（Mac 版的情况以对方页面为准）。最低月付是轻云档，¥20/月、120GB（2026-08-03 核对）。
下面是合作推广链接，推荐位含合作关系；价格与优惠以跨界云结算页为准。
本站推荐位顺序是跨界云、微风网络、飞猫云、暮光加速，含合作关系。第一次在 Mac 上配 TUN 模式，先买一个月，确认两种模式都能连再续。
关于 Mac 平台使用 Clash 的常见问题
针对买家在 macOS 系统配置代理工具时容易产生的各类困惑，这里汇总了六条具有代表性的疑问并给出解答。
为什么在 Mac 上开了代理之后终端命令行依然无法翻墙？
普通系统代理仅对遵循系统代理的应用生效，终端命令默认忽略该设置，需开启 TUN 模式或手动导出变量。
开启 TUN 增强模式为什么每次都提示输入开机密码？
创建虚拟网卡和修改底层网络路由表属于高特权操作，系统需要验证管理员权限以部署后台守护进程。
开启 TUN 模式后电脑无法打开网页怎么排查？
通常是 DNS 劫持模块发生冲突或者默认网关配置被覆盖，可尝试在设置中切换 DNS 解析模式并重启网络。
Mac 端能直接沿用以前在 Windows 上使用的订阅吗？
可以，订阅链接下发的是标准协议节点与通用规则，可以直接复制并在 Mac 客户端中下载配置文件。
同时运行公司企业内网 VPN 和 TUN 模式会冲突吗？
可能会冲突，两套虚拟网卡会争夺系统默认路由的控制权，建议在接入办公内网时关闭 TUN 增强模式。
退出客户端之后 Mac 依然上不了网是什么原因？
非正常退出可能导致系统网络偏好设置中的代理勾选未被自动清除，前往系统设置关闭手动代理即可恢复。
此处的配置档案均汇总自各家公开页面，由于费率与规则更迭频繁，在客户端导入前请以对方官网为准。这里不搭建代理节点、不传送任何订阅链接，也绝不代为购买。