先问需求：这个应用是否需要 TUN
系统代理需要应用主动读取操作系统的代理设置，并非所有程序都支持。TUN 通过虚拟接口与路由把请求交给内核，适用于部分命令行工具、游戏或不读取系统代理的应用。
TUN 不会修复过期订阅、失效节点或错误规则，也不保证服务商支持所有协议。先确认同一配置和节点下浏览器可用，再测目标应用；浏览器也失败时，先查配置与节点。
开启前，保留一个能回到的状态
记录版本、配置、节点、模式和系统代理状态。Mac 还需记录当前网络服务的 DNS 获取方式。运行 VPN、虚拟机、容器或公司网络工具时，先核对它们使用的路由与虚拟接口，不随意删网卡。
先备份配置，在合适时段关闭其他自用代理客户端，对同一应用比较开启前后的结果，确认 TUN 是否解决了原问题。
- 确认当前订阅、节点与浏览器连接正常。
- 记录模式、开关与原有 DNS 设置，创建备份。
- 核对其他网络工具，保留必要的工作网络配置。
- 选定一个要测试的应用和一个具体操作，例如打开某个页面。
理解服务与权限，再开启 TUN
TUN 需要相应系统权限，服务模式可由有权限的后台服务启动内核。Windows v2.x 先进入“设置 → 服务模式”，按提示检查、安装或修复服务并完成管理员授权。回首页确认服务与内核正常，再开 TUN。名称、位置与状态文案可能随版本调整，开关可见不代表服务就绪。
Windows 服务启动或安全检查报错时，保留提示，核对路径、安装位置与官方说明。防火墙只为可信内核程序配置所需规则，不关闭整个防火墙。受管理设备请管理员确认，不自行扩大磁盘或目录权限。
验证是否接管了你真正需要的应用
开启后重新打开目标应用或建立新连接，同时查看连接页面。核对对应请求、命中规则与节点。流量数字变化只说明有请求经过客户端，不能证明目标应用已正确接管。
浏览器可用而应用失败时，检查接管、节点协议支持、地区或账号限制。游戏与实时应用不能只看 HTTP 延迟。修改 TUN 堆栈、MTU、IPv6 或 DNS 前，先找日志依据，每次只改一项并复测。
- 有目标应用记录、出口正确、功能可用：保留当前设置继续观察。
- 有记录但命中错误分组：检查配置规则与策略组。
- 有记录但节点报错：更换节点复测，并核对服务支持。
- 没有目标应用记录：检查接管状态、既有连接与网络环境。
开启后网络异常，按顺序恢复与比较
先关闭 TUN，回到原先可用的系统代理或原网络，复测同一目标。恢复后正常，再查服务、路由、DNS 与其他网络工具，不能据此直接认定虚拟网卡损坏。
退出后仍异常时，检查系统代理残留，Mac 再核对 DNS。按原记录恢复，不覆盖企业网络要求。保存开启前后相近时段的日志和最先出现的错误。
进一步排查时对照官方 TUN 与平台 FAQ。修改路由表、堆栈或规则网段需有明确依据；保留可用配置和原设置，测试失败就恢复，不删所有网卡或盲目重装。
常见问题
TUN 开启后还需要规则模式吗？
TUN 负责把请求交给内核，规则、全局或直连负责决定出口。因此仍需核对路由模式和策略组选择。
TUN 能保证匿名或杜绝所有 DNS 泄漏吗？
不能作这种保证。实际行为取决于配置、系统、应用和网络环境，需要验证具体请求及 DNS 路径；TUN 开关本身不构成隐私承诺。
打开 TUN 后断网，应该删除虚拟网卡吗？
先关闭 TUN 恢复基线，再查看服务、日志、DNS 与现有网络工具。删除网卡会影响其他软件，不能作为没有诊断依据的第一步。