规则模式和全局模式区别：直连、TUN 模式与代理模式怎么选

先说结论

很多人分不清这几个开关，因为它们其实是两个层面的东西。打个比方：规则 / 全局 / 直连是交通规则，决定每辆车往哪个方向开；系统代理 / TUN是收费站入口，决定哪些车会经过这套交通规则。入口没进来的车，规则定得再好也管不到它。下面先讲三种代理模式，再讲两种入口方式，最后给出各客户端的切换方法和常见问题排查。

规则模式、全局模式、直连对比

规则模式：日常就用它

规则模式下，客户端会拿每个请求的域名或 IP 去对照一张规则表，从上往下匹配，命中哪条就按哪条处理。一份典型的规则大致是这样的：

广告和追踪域名      → 拒绝
国内常见网站和服务  → 直连
ChatGPT / Claude    → AI 分组
YouTube / Netflix   → 流媒体分组
中国大陆 IP         → 直连
其他所有            → 代理

机场的 Clash 订阅通常已经带好了这样的规则，导入就能用，不需要自己写。规则模式的好处很明显：国内网站速度不受影响，不浪费机场流量，还可以让不同服务走不同地区的节点，比如 AI 走美国、看日剧走日本。

它的局限是规则可能不完整：新出现的网站、冷门服务可能没有被规则覆盖，于是走了错误的方向。遇到这种情况，先切全局测试，确认是规则问题后再处理。另外，机场会不定期更新订阅里的规则，定期点一下「更新订阅」，规则也会跟着更新。

全局模式：临时用，别常开

全局模式下，所有经过客户端的流量都发往你选中的节点，不管是国内还是国外网站。它适合两种情况：

• 排查问题：某个海外网站在规则模式下打不开，切全局能打开，说明是规则没覆盖到。
• 临时访问：某个冷门网站规则里没有，又只是偶尔用一下。

长期开全局的坏处：国内网站要绕到海外再回来，明显变慢；所有流量都扣机场流量；一些国内服务看到你是海外 IP，可能触发异地登录验证或者限制内容。所以用完记得切回规则模式。

直连模式：不关客户端的「暂停」

直连模式下所有流量都不走代理，和完全关闭客户端效果接近。区别是客户端还开着，想恢复时一键切回规则即可。适合需要临时排除代理影响的场景，比如判断某个问题是不是代理造成的、登录对 IP 敏感的国内服务等。

系统代理：浏览器够用

开启「系统代理」后，客户端会把自己设为操作系统的 HTTP / SOCKS 代理，地址是本机（127.0.0.1）加一个端口。浏览器、大部分聊天软件会读取这个设置，于是流量进入客户端，再按规则分流。

问题是不是所有程序都读系统代理：

• 多数游戏客户端不读；
• 命令行工具（git、npm、pip、curl 等）默认不读；
• 部分桌面软件、Electron 应用、UWP 应用有自己的网络设置，不一定遵守；
• 走 UDP 的应用（语音、游戏）系统代理基本管不到。

只用浏览器上网的话，系统代理完全够用，也是最不容易出问题的方式。

TUN 模式：接管整机流量

TUN 模式会在系统里创建一块虚拟网卡，并把系统的默认路由指向它。这样所有程序的流量，不管读不读代理设置、走 TCP 还是 UDP，都会先经过这块网卡进入客户端，再按规则分流。

手机上情况不同：iPhone 和安卓的代理客户端本身就是通过系统 VPN 接口工作的，原理上就是 TUN，所以手机上看到的「VPN」图标就是这个意思，不需要额外开 TUN。

按场景选组合

把「模式」和「入口」组合起来，常见场景可以这样设置：

原则很简单：模式默认规则，入口能用系统代理就用系统代理，覆盖不到的再开 TUN。

规则模式下怎么给某个网站加规则

规则模式下，如果某个网站总是走错方向，可以自己补一条规则，而不是一直开全局：

1. 先确认域名。在浏览器地址栏或客户端的连接日志里看清楚完整域名，有些网站会加载多个域名的资源。
2. 找到规则编辑入口。Clash Verge Rev 可以在配置的扩展或覆写功能里添加规则，避免订阅更新时被覆盖；Shadowrocket 在配置文件里编辑规则；具体位置以客户端版本为准。
3. 写一条域名规则。例如让某个域名走代理：DOMAIN-SUFFIX,example.com,代理分组名；想让它直连就把分组名换成 DIRECT。
4. 把规则放在前面。规则从上往下匹配，自定义规则要放在通用规则之前才会生效。
5. 重新加载配置测试。保存后重新加载，打开网站看连接日志里走的是不是你想要的方向。

不熟悉配置文件的话，最简单的办法是联系机场客服，让他们在订阅规则里补上，或者等机场更新规则。

规则模式靠什么分流：规则集和更新

规则模式好不好用，取决于规则本身。机场订阅里的 Clash 配置一般自带一整套规则，客户端从上往下逐条匹配，命中哪条就按哪条走。常见的几类：

规则怎么更新。直接写在订阅配置里的规则，跟着订阅一起更新；引用外部规则集的，客户端按配置里设的间隔自动拉取；IP 归属依赖 GeoIP 数据库，部分客户端可以在设置里找到更新 GeoIP / GeoSite 数据库的相关选项手动更新。

新网站走错方向的原因。新上线的网站往往还没被收进规则集，会一路落到兜底规则。兜底是代理的话，海外新网站能打开，但国内一些冷门网站可能绕到国外；兜底是直连则反过来。遇到这种情况，先更新订阅和规则集再试，还不对就按上一节自己加一条规则。

怎么确认规则生效。Clash 类客户端的「连接」页面会列出每个请求命中了哪条规则、走的是哪个节点还是 DIRECT。打开目标网站后到这里看一眼，比反复切换模式猜原因快得多。

各客户端怎么切换

不同版本的菜单名称可能略有差异，找不到时在设置里找「模式」「虚拟网卡」「TUN」相关选项。

终端和开发工具不走代理怎么办

写代码的人经常遇到浏览器能上 GitHub、终端里 git clone 却很慢。两种解决办法：

1. 开 TUN 模式。最省事，所有程序自动走代理。
2. 设置环境变量。在终端里把 http_proxy 和 https_proxy 指向客户端的本地端口。端口在客户端设置里查看，Clash 系常见的是 7890 或 7897。

export http_proxy=http://127.0.0.1:端口
export https_proxy=http://127.0.0.1:端口

Windows 的 PowerShell 写法不同，用 $env:HTTPS_PROXY="http://127.0.0.1:端口"。更多见GitHub 访问教程。

模式相关问题排查

关于代理模式的误区

• 「全局更稳定」：全局只是不分流，不会让节点更稳。
• 「全局更安全」：安全性没有本质区别，DNS 泄露要单独检查。
• 「TUN 模式更快」：TUN 解决的是覆盖范围，不提升速度。
• 「规则越多越好」：规则太多会增加匹配开销，用机场或主流规则集就够了。

无论用哪种模式，都请遵守所在地法律法规和平台规则。

网站打不开时：按模式、策略组、节点、DNS 的顺序排查

规则模式下某个网站打不开，很多人的第一反应是切全局或者换节点，结果改了一堆设置还是没找到原因。按下面的顺序一项一项排除，通常几分钟就能定位：

1. 确认当前模式。先看客户端里是规则、全局还是直连。误切到直连是最常见也最容易漏看的原因。
2. 看连接日志里命中了什么。打开客户端的「连接」或请求记录页面，刷新这个网站，看它命中了哪条规则、进了哪个策略组。显示 DIRECT 说明规则把它判成了直连。
3. 看策略组里选的是什么。命中的策略组如果选的是「直连」或一个已经失效的节点，网站同样打不开。手动换成可用节点再试。
4. 换同地区其他节点。如果只是这个节点不通，问题在节点；所有节点都不通，再去查订阅和网络，见 节点超时怎么办。
5. 临时切全局对比。全局能打开、规则打不开，说明是规则没覆盖，按上文方法补规则或更新订阅；全局也打不开，就不是规则的问题。
6. 最后查 DNS。节点通、规则对，网页仍然打不开或时好时坏，多半是 DNS 被系统或浏览器的安全 DNS 接管了，关掉后再试，见 DNS 泄露检测与修复。

排查完记得把模式切回规则。全局只是排查工具，不是解决办法。

新手用哪家机场

订阅里自带完善分流规则的机场，导入就能用规则模式，对新手最友好。可以先从本期面向新手、提供试用的机场开始。

点表头可排序。价格、流量和每 GB 按官网核对于 2026 年 10 月 24 日；AI / 流媒体为官网标注（✓ 标注支持，△ 部分或需自测，✗ 未标注）。

更多选择看新手机场推荐和机场推荐。

下一步阅读

担心规则模式下 DNS 泄露看DNS 泄露检测与修复；客户端不认订阅看订阅转换；其他名词查机场术语大全。