macOS Sequoia TUN 模式怎么开？Clash Verge Rev 权限与排查步骤

更新于 2026-10-30 · lulian.buzz

简答：如果你在 macOS Sequoia 15.x 上使用 Clash Verge Rev，先别急着改 DNS：先确认配置和普通系统代理可用，再安装 Service Mode 或按客户端提示完成管理员授权，之后开启 TUN，并关闭系统代理单独验证。TUN、系统代理和 Service Mode 不是同一个开关；遇到秒关或断网时，优先按权限、服务、路由、DNS 的顺序回滚排查。本文只覆盖 Clash Verge Rev，不覆盖其他 macOS 代理客户端。

定义：TUN 模式是通过虚拟网络接口接管系统流量的方式；系统代理主要修改 macOS 的代理设置，Service Mode 则是客户端用于运行服务或核心的授权方式，三者不是同一个功能。

先看速查卡：TUN、系统代理和 Service Mode 分别做什么

本文是面向 macOS Sequoia 15.x 的 Clash Verge Rev 使用指南，本站仅提供第三方使用说明，不代表 Clash Verge Rev 官方。Clash Verge Rev 的设置文案将 TUN 描述为虚拟网卡模式，并提示启用 TUN 后通常不需要再开启系统代理；同时，TUN 需要 Service Mode 或管理员模式。相关菜单文字可在其 官方设置文案中核对。

最快判断：如果普通系统代理都不能工作，先不要开 TUN；如果普通代理可用但 TUN 秒关，优先检查服务和权限；如果 TUN 保持开启但某个应用不通，再检查应用路径、DNS、路由和其他 VPN 软件。

开启前的前置条件与备份

1. 确认系统范围。打开“关于本机”，确认使用的是 macOS Sequoia 15.x。本文不把其他 macOS 大版本的菜单路径直接套用到 Sequoia。
2. 确认客户端范围。打开 Clash Verge Rev，确认配置文件已经加载、核心正在运行，并记录当前客户端版本。不同版本的按钮名称可能变化，遇到菜单不一致时以应用内提示和官方发布页面为准。
3. 先验证普通系统代理。打开系统代理，用同一个浏览器或同一个应用测试一次。验证重点是：客户端有请求日志、配置文件没有报错、节点或代理组能够产生请求。单个网页能打开，只能说明该应用当时完成了一次连接，不能证明 TUN 或所有应用都已接管。
4. 记录回滚状态。在终端执行 scutil --proxy 查看系统代理状态，执行 scutil --dns 查看当前 DNS 配置，并记录当前使用的网络服务。这样在 TUN 关闭后状态没有自动恢复时，才有依据进行对照。
5. 暂时记下冲突软件。如果 Mac 上正在运行其他 VPN、企业网络工具、内容过滤器或安全软件，先记录它们的开关状态。不要一开始同时修改 TUN、DNS、MTU 和路由排除项，否则很难判断是哪一项造成变化。

Clash Verge Rev 的 macOS FAQ 提到，TUN 在 macOS 上不能自动劫持发往局域网的 DNS 请求，客户端可能在启动 TUN 时调整系统 DNS；因此，开启前记录 DNS 是必要的回滚准备，而不是证明 TUN 一定成功的依据。具体行为以客户端版本和当前配置为准，可参考其 官方 macOS FAQ。

macOS Sequoia 开启 Clash Verge Rev TUN 的最短步骤

1. 打开客户端设置。在 Clash Verge Rev 中找到系统代理、TUN 或代理控制相关区域。若 TUN 开关不可用，先查看是否有“Install Service”“安装服务”或“Switch to service mode”等入口。
2. 安装 Service Mode 或完成管理员授权。按照客户端界面操作并输入 macOS 管理员密码。不要把“输入密码成功”直接等同于 TUN 已经工作，后面仍需查看服务状态、客户端日志和实际连接。
3. 检查服务是否真的运行。如果客户端出现“service unavailable”“core stopped”或类似错误，先处理服务安装失败，不要连续反复点击 TUN。官方设置文案列出了服务安装、卸载、重装和修复等相关动作，可用来对照当前版本菜单。
4. 开启 TUN。打开 TUN 后等待数秒，观察开关是否保持开启，并查看客户端日志。日志中应至少没有核心启动失败、服务不可用或配置解析失败等错误。
5. 关闭系统代理。测试 TUN 时建议关闭系统代理，让两种接管方式保持单一入口。Clash Verge Rev 的官方设置文案明确说明，TUN 开启后不需要再开启系统代理。
6. 分层验证。先看客户端日志，再检查系统是否出现 utun 接口，最后在系统代理关闭的状态下用同一个应用重复测试。每一层只能证明对应范围，不能用其中一项代替全部验证。

macOS 的“系统设置 → 通用 → 登录项与扩展”主要用于管理登录项、后台运行项目和系统中安装的扩展。Apple 的说明还指出，网络扩展可以用于 VPN 或内容过滤器等网络功能。这个入口可以作为可能相关的系统检查项，但不能据此断言所有 Clash Verge Rev TUN 授权问题都能在这里解决。可参考 Apple 关于登录项与扩展的说明。

如何确认 TUN 真的接管了流量

Mihomo 官方文档将顶层 tun 配置用于系统流量接管、自动路由和 DNS 处理；auto-route、auto-detect-interface、dns-mode 和 dns-hijack属于 TUN 相关字段，但它们承担的职责不同，不能混为一个“DNS 开关”。字段说明应以 Mihomo TUN 配置文档为准。

其中，dns-mode描述系统 DNS 的配置方式，可选行为包括不设置系统 DNS、将 TUN 地址作为系统 DNS，以及进一步处理其他接口发往 53 端口的请求；dns-hijack则是把匹配的 DNS 连接转入内部 DNS 模块。Mihomo 文档同时说明，macOS 和 Windows 不能自动劫持发往本地网络的 DNS 请求。因此，局域网域名或公司内网异常时，不要只增加 dns-hijack，应先检查系统 DNS、路由排除和其他网络软件。

第一次使用时，建议保持客户端默认的 TUN 参数，不要为了“提高速度”直接修改协议栈、MTU 或 DNS。Mihomo 文档将 MTU描述为影响极端条件下传输的参数，普通用户可先保持默认值；如果基础连接尚未验证，修改 MTU 只会增加排查变量。

常见故障分流：先回滚，再定位

Apple 建议在网络连接异常时检查 VPN、配置描述文件、防火墙以及第三方安全软件。这个建议适合用作冲突排查方向，但不能说明问题一定由某个软件造成；应通过逐项停用和重复测试来定位。相关说明见 Apple 关于 VPN 和第三方安全软件的支持页面。

如果关闭 TUN 后网络没有立即恢复，不要假设客户端一定会自动还原所有设置。先退出客户端或重新连接当前网络服务，再对照开启前保存的系统代理和 DNS 状态。只有在确认客户端已经停止服务、路由和 DNS 状态也已检查后，才继续处理其他 VPN 或安全软件。

Stack、DNS 和 MTU：新手不要一次性全改

如果你的目标只是确认 macOS Sequoia 上的 Clash Verge Rev TUN 能否运行，优先保持客户端默认值，只处理三件事：服务授权、TUN 开关、系统代理切换。不要把 dns-mode当成 TUN 层的普通开关，也不要把 DNS 配置段中的增强模式与 TUN 的 DNS 处理字段混写。

Mihomo 的配置文档把顶层 tun与顶层 dns分开说明：前者处理虚拟接口、路由和 TUN 侧 DNS行为，后者处理 DNS 解析模块及其增强模式。配置文件中字段所在段落必须以实际文档和当前客户端生成的配置为准；如果客户端界面已经提供 TUN 设置，优先通过界面保存，并在修改前备份原配置。

只有在出现明确现象时才进入进阶调整：DNS 只在特定域名失败时检查解析配置；大文件或视频会议断流时再考虑 MTU；多网卡或 Wi-Fi 与有线同时连接时再检查出口接口识别。每次只改一个变量，记录修改前后的日志和应用结果，失败后立即恢复。

安全关闭与恢复顺序

1. 在 Clash Verge Rev 中关闭 TUN，等待日志显示服务或核心停止相关 TUN 操作。
2. 确认系统代理是否处于预期状态。测试 TUN 时通常应关闭系统代理；如果要回到普通代理模式，再单独开启系统代理。
3. 执行 scutil --proxy 和 scutil --dns，与开启前记录进行对照。
4. 如果客户端未自动恢复网络，尝试重新连接当前 Wi-Fi 或有线网络服务；这只是可选恢复动作，不代表所有版本都会自动修复。
5. 网络恢复后，再逐项启用其他 VPN、企业网络工具或内容过滤器，每启用一项就重复测试。

如果你只需要让浏览器等支持系统代理的应用使用代理，普通系统代理通常更容易验证和回滚；如果目标应用不读取系统代理，或客户端明确要求更广泛的流量接管，再继续使用 TUN。

常见问题

macOS Sequoia 开 TUN 一定要安装 Service Mode 吗？

不能把所有客户端都概括为同一种授权方式。对 Clash Verge Rev，官方设置文案提示 TUN 需要 Service Mode 或管理员模式；如果界面显示服务不可用，先完成客户端提供的安装或授权流程，再检查日志，而不是直接修改 DNS 或 MTU。

开启 TUN 后还要打开系统代理吗？

验证 TUN 时通常不建议同时打开系统代理。Clash Verge Rev 的官方设置文案说明，TUN 开启后不需要再启用系统代理。关闭系统代理后再测试，才能减少两个入口同时生效造成的判断混乱。

TUN 开启后 macOS 断网怎么办？

先关闭 TUN，检查客户端日志和其他 VPN、过滤器，再用 scutil --proxy、scutil --dns核对代理和 DNS。如果客户端未自动恢复，可以重新连接当前网络服务，并根据开启前记录手动恢复状态。

为什么看到 utun 接口，仍然有应用无法连接？

utun 只说明系统出现了虚拟接口，不能证明所有流量都经过正确路由。还需要结合客户端请求日志、系统代理状态、DNS 结果和同一应用的开关对比；企业 VPN、Docker、局域网服务或应用自身代理设置也可能造成差异。

需要手动修改 dns-mode、dns-hijack 或 MTU 吗？

第一次开启 TUN 不建议手动修改。Mihomo 文档将这些字段分别用于系统 DNS 配置、DNS 请求转发和传输单元设置；先用默认值完成基础验证，出现明确 DNS 或断流现象后，再按对应字段所在配置段逐项调整。

常见问题

macOS Sequoia 开 TUN 一定要安装 Service Mode 吗？

不能把所有客户端都概括为同一种授权方式。对 Clash Verge Rev，官方设置文案提示 TUN 需要 Service Mode 或管理员模式；如果界面显示服务不可用，先完成客户端提供的安装或授权流程，再检查日志。

开启 TUN 后还要打开系统代理吗？

验证 TUN 时通常不建议同时打开系统代理。Clash Verge Rev 的官方设置文案说明，TUN 开启后不需要再启用系统代理。关闭系统代理后再测试，便于判断实际接管方式。

TUN 开启后 macOS 断网怎么办？

先关闭 TUN，检查客户端日志和其他 VPN、过滤器，再用 scutil --proxy、scutil --dns 核对代理和 DNS。如果客户端未自动恢复，可以重新连接当前网络服务，并根据开启前记录手动恢复状态。

为什么看到 utun 接口，仍然有应用无法连接？

utun 只说明系统出现了虚拟接口，不能证明所有流量都经过正确路由。还需要结合客户端请求日志、系统代理状态、DNS 结果和同一应用的开关对比；企业 VPN、Docker、局域网服务或应用自身代理设置也可能造成差异。

需要手动修改 dns-mode、dns-hijack 或 MTU 吗？

第一次开启 TUN 不建议手动修改。Mihomo 文档将这些字段分别用于系统 DNS 配置、DNS 请求转发和传输单元设置；先用默认值完成基础验证，出现明确问题后再按对应字段逐项调整。

相关阅读

• 先检查 Clash Verge Rev macOS 订阅和节点是否正常
• 继续排查 Clash Verge Rev macOS TUN 开关自动关闭
• 检查规则顺序和代理组是否导致特定应用不通
• 了解 macOS 其他客户端的配置文件与 TUN 排错

参考资料

1. Clash Verge Rev 官方设置文案
2. Clash Verge Rev 官方 macOS FAQ
3. Mihomo 官方 TUN 配置文档
4. Mihomo 官方 DNS 配置文档
5. Apple 官方：登录项与扩展设置
6. Apple 官方：检查 VPN 和第三方安全软件