Windows TUN模式无法上网怎么办？分层排查与恢复步骤
简答：Windows 开启 TUN 后无法上网，先关闭 TUN 并确认普通网络或系统代理是否正常；随后以管理员身份运行客户端，检查虚拟网卡、DNS 接管、路由和防火墙。不要一开始就修改 MTU 或重置网络，先用 ipconfig、nslookup、route print 和 curl.exe 判断故障层级。
定义：TUN 模式是一种在网络层接管系统流量的方式，依赖管理员权限、虚拟网卡、路由规则和 DNS 处理，因此其中任一环节异常都可能表现为“开启后断网”。
先看这一张：现象对应的最快处理路径
本文是面向 Windows 10 和 Windows 11 的第三方使用指南，不代表任何客户端或服务的官方页面。不同客户端的菜单名称和内核版本可能不同，以下方法优先使用 Windows 官方命令和通用 TUN 原理；具体字段以当前客户端页面和配置说明为准。
| 现象 | 先查层级 | 判断标准 | 下一步 | 回滚方法 |
|---|---|---|---|---|
| 开启 TUN 后全部网络断开 | 权限、虚拟网卡、默认路由 | 关闭 TUN 后立即恢复，说明问题集中在 TUN 接管链路 | 管理员运行客户端，检查 TUN 网卡和路由 | 关闭 TUN并正常退出客户端 |
| 系统代理能用，TUN不能用 | TUN 网卡、路由、DNS 接管 | 浏览器通过系统代理可访问，但开启 TUN 后失败 | 先关闭严格路由或 DNS 劫持进行对照测试 | 恢复原配置并重新启动客户端 |
| 只有部分应用无法联网 | 规则、IPv6、严格路由或应用自身代理 | 浏览器正常，特定应用失败 | 查看客户端日志和规则命中情况 | 暂时改用系统代理模式验证 |
| 退出 TUN 后仍然断网 | 系统代理、残留路由、虚拟网卡 | 客户端已退出但 Windows 仍无法访问 | 检查代理设置，再执行网络命令 | 最后再考虑 Windows 网络重置 |
先试这一步：关闭 TUN，完全退出客户端，再打开 Windows 的“设置→网络和 Internet→代理”，确认手动代理不是被错误开启。Windows 的代理设置适用于 Windows 10 和 Windows 11，入口和字段可参考微软代理设置说明。
第一层：关闭 TUN，确认基础网络是否正常
- 在客户端中关闭 TUN，不要同时切换多个配置项。
- 完全退出客户端，避免后台内核或服务继续接管路由。
- 打开浏览器访问一个平时能够访问的站点，或使用 Windows 的网络状态查看本地连接是否正常。
- 如果关闭 TUN 后仍然无法上网，先不要继续改 TUN 配置，应检查系统代理、Wi-Fi 或网线、默认网关和 DNS。
如果关闭 TUN 后网络恢复，说明物理网络未必有问题，优先检查 TUN 的权限、虚拟网卡、路由和 DNS。若关闭 TUN 后仍断网，问题可能已经扩展到 Windows 网络配置，后文提供恢复顺序。
第二层：检查管理员权限与虚拟网卡
TUN 需要把流量接入系统网络层，通常涉及创建或控制虚拟网卡、写入路由和处理 DNS。以 mihomo 文档为例，Windows 下的 TUN 参数包括 auto-route、strict-route、dns-hijack、stack 和 mtu；其中 strict-route 在 Windows 上还会增加用于阻止 DNS 泄漏的防火墙规则，某些应用可能因此异常。相关字段含义应以项目 TUN 配置文档为准。
- 右键客户端快捷方式或程序文件，选择“以管理员身份运行”。如果系统弹出用户账户控制提示，确认后再开启 TUN。
- 打开“设备管理器”，展开“网络适配器”，查看是否存在客户端创建的 TUN、Wintun 或类似虚拟网络适配器。名称会因客户端和版本不同而变化，无法仅凭名称判断是否正确。
- 如果虚拟网卡带有黄色感叹号、被禁用或重复出现多个旧适配器，先关闭 TUN并重启客户端，不要直接删除所有网络设备。
- 如果客户端提供“恢复网络”“重置 TUN”或类似按钮，优先使用客户端自带恢复功能；没有该功能时，正常退出客户端后再检查网络。
成功判据：客户端能够启用 TUN，Windows 网络状态不会立即变为断开，且关闭 TUN 后系统网络仍能恢复。仅看到虚拟网卡出现，并不能证明流量已经正确转发。
第三层：用命令区分 DNS、路由和代理问题
下面命令适用于 Windows PowerShell 或命令提示符。涉及查看路由和网卡状态时，建议使用管理员权限；命令只读取状态或刷新本机网络缓存，不要把输出中的订阅链接、令牌和私钥发给他人。
1. 查看 IP、网关和 DNS
打开 PowerShell，执行：
ipconfig /all
重点看当前使用的 Wi-Fi 或以太网适配器是否有有效 IPv4 地址、默认网关和 DNS 服务器。微软建议通过 IP 地址、子网掩码、默认网关和 DNS 配置判断客户端是否具备有效的 TCP/IP 配置，具体可参考微软 DNS 客户端排查文档。
2. 区分域名解析失败还是网络路径失败
先执行：
nslookup example.com
如果能返回地址，说明至少有一个 DNS 查询成功；如果出现超时或服务器不可用，重点检查 TUN 的 DNS 接管、DNS 劫持、系统 DNS 和防火墙。nslookup 不使用 Windows 客户端 DNS 缓存，适合用来对照配置的 DNS 服务器。
3. 查看路由是否被 TUN 接管
执行：
route print
重点观察是否存在指向 TUN 虚拟网卡的路由，以及物理网卡的默认路由是否仍存在。不同客户端的路由数量和网关地址不同，不能把某个固定数字当作通用成功标准。若开启 TUN 后默认路由消失、指向错误接口或关闭 TUN 后仍残留异常路由，应先退出客户端并重启，再进行下一步操作。
4. 测试 HTTP 请求是否受系统代理影响
PowerShell 中优先使用：
curl.exe -I https://example.com
如果浏览器打不开但 curl.exe 能返回 HTTP 响应，可能是浏览器扩展、浏览器代理或应用规则问题；如果 curl.exe 也失败，再结合 nslookup 和 route print 判断是 DNS、路由还是出口连接问题。一次成功响应只能证明该地址、该协议和该时刻的链路可用，不能证明所有应用都正常。
第四层：按 DNS、路由和规则逐项做最小改动
DNS 接管异常
如果 nslookup 失败、网页提示无法解析域名，先在客户端中暂时关闭 DNS 劫持或 Fake-IP 相关选项进行对照测试。不同客户端的字段名不一致，不要直接复制其他客户端的配置。部分 TUN 实现会把 DNS 请求导入内部 DNS 模块；例如 mihomo 文档说明，Windows 下 DNS 劫持与 strict-route 存在关联，且无法自动处理所有发往局域网的 DNS 请求。应结合当前配置和日志判断，不要仅凭“有虚拟网卡”认定 DNS 已接管。
严格路由或局域网异常
如果网页能打开，但局域网打印机、公司内网、虚拟机、Docker 或其他本地设备无法访问，可暂时关闭 strict-route 做对照。严格路由可能改变本地流量和 DNS 的处理方式；如果关闭后局域网恢复，说明应检查排除地址、局域网网段和应用兼容性，而不是直接修改 MTU。
规则误拦截或仅部分应用失败
如果浏览器正常、某个应用失败，先确认该应用是否使用独立代理、IPv6、UDP 或自己的 DNS。查看客户端日志中的规则命中信息，临时切换到更简单的规则模式进行对照。不要把“某一个应用失败”直接归因于节点不可用，因为应用自身的证书、代理设置、IPv6 或防火墙策略也可能造成相同现象。
防火墙或安全软件拦截
如果日志显示 TUN 已创建但流量全部超时，可在 Windows 安全中心中检查客户端核心程序和虚拟网卡是否被防火墙阻止。mihomo 的官方 TUN 文档明确提示，Windows 防火墙开启时，部分协议栈需要允许核心程序通过防火墙。只添加当前使用的客户端程序，不要为了测试长期关闭系统防火墙。
第五层：处理“退出 TUN 后仍然断网”
- 正常退出客户端，而不是直接结束进程。
- 再次打开“设置→网络和 Internet→代理”，关闭不需要的手动代理和脚本代理。
- 重新连接当前 Wi-Fi 或拔插网线，确认 Windows 是否重新获得 IP 地址和默认网关。
- 以管理员身份依次执行以下命令：
ipconfig /flushdns
ipconfig /release
ipconfig /renew
如果仍然异常，再执行：
netsh winsock reset
netsh int ip reset
执行后按提示重启 Windows。微软将这些命令列为手动重置 TCP/IP、释放和更新 IP 地址以及刷新 DNS 缓存的网络排查步骤，可参考微软 Windows Wi-Fi 排查说明。
如果网络恢复，先不要立刻重新开启 TUN。先确认直连和系统代理均正常，再以管理员身份启动客户端，并一次只改变一个 TUN 选项。
最后手段：Windows 网络重置与回滚提醒
只有在系统代理清理、客户端正常退出、DNS 刷新和 TCP/IP 重置都无效时，才考虑 Windows 的网络重置。Windows 11 通常可从“设置→网络和 Internet→高级网络设置→网络重置”进入；Windows 10 的入口可能位于“设置→网络和 Internet→状态→网络重置”，实际菜单会随系统版本变化。
网络重置会移除并重新安装网络适配器，可能影响已安装的 VPN、TUN 虚拟网卡、企业网络配置、虚拟机和 Hyper-V 网络。操作前记录当前 Wi-Fi、代理、DNS 和客户端配置；完成重启后，按需重新安装或启用虚拟网卡。网络重置不是判断节点或订阅问题的工具，不能用它证明服务端一定正常。
一套可执行的最小排查顺序
- 关闭 TUN并退出客户端，确认普通网络能否使用。
- 检查 Windows 代理设置，关闭不需要的手动代理或脚本。
- 以管理员身份重启客户端，再开启 TUN。
- 执行
ipconfig /all，确认当前网卡有 IP、网关和 DNS。 - 执行
nslookup example.com，判断域名解析是否正常。 - 执行
route print，观察默认路由和 TUN 路由是否异常。 - 执行
curl.exe -I https://example.com，确认至少有一条 HTTP 链路能返回响应。 - 仍失败时，暂时关闭严格路由、DNS 劫持或复杂规则做单项对照；每次只改一个选项。
- 最后再使用 Windows 网络重置，并准备重新配置虚拟网卡和企业网络。
如果需要提交日志，只提供客户端版本、Windows 版本、CPU 架构、发生时间、现象和脱敏后的错误信息，不要公开完整订阅链接、访问令牌、私钥或个人 IP。
常见问题
Windows TUN 开启后所有网页都打不开，应该先换节点吗？
不建议第一步就换节点。先关闭 TUN确认普通网络，再检查管理员权限、虚拟网卡、DNS 和路由。如果系统代理模式也完全无法连接，再结合客户端日志判断节点或配置问题。
系统代理可以上网，为什么 TUN 模式不行？
系统代理和 TUN 的接管层级不同。系统代理主要影响遵循代理设置的应用，TUN 会改变网络层流量路径，因此还依赖虚拟网卡、路由、DNS 和防火墙。可以把系统代理作为对照，不要把两种模式同时开启后再判断。
只有部分应用无法联网，是不是 MTU 太大？
不能直接这样判断。先检查规则命中、IPv6、应用自身代理、严格路由和防火墙。官方 TUN 文档将 MTU定义为影响传输的参数，并建议一般用户保留默认值；只有在出现具有重复性的分片、特定协议或特定网络异常时，才应在记录原值后做小范围对照。
关闭 TUN 后仍然断网，是否必须重置 Windows 网络？
不一定。先正常退出客户端，检查 Windows 代理设置，重新连接 Wi-Fi 或网线，再执行 ipconfig 和 netsh 命令。网络重置应放在最后，因为它可能影响虚拟网卡、企业 VPN、Hyper-V 和其他网络组件。
怎样判断是 DNS、路由还是节点问题？
nslookup 失败通常先查 DNS；nslookup 正常但 curl.exe 无法建立连接，继续看 route print 和客户端日志；系统代理可用而 TUN失败，优先查 TUN接管链路。节点问题需要在相同客户端、相同规则和相同测试地址下复核，不能仅凭一次网页打不开下结论。
常见问题
Windows TUN开启后全部断网怎么办？
先关闭 TUN并退出客户端，检查 Windows 代理设置；恢复后以管理员身份启动客户端，再检查虚拟网卡、DNS 和 route print，不要先修改 MTU或重置网络。
系统代理正常但TUN模式无法上网，问题在哪里？
通常应优先排查 TUN 虚拟网卡、管理员权限、路由、DNS 接管和防火墙，因为系统代理与 TUN 的流量接管层级不同。
关闭TUN后仍然无法上网怎么恢复？
正常退出客户端，关闭错误的手动代理或脚本代理，重新连接网络，再执行 ipconfig /flushdns、ipconfig /release 和 ipconfig /renew；必要时执行 netsh winsock reset 和 netsh int ip reset。
什么时候使用Windows网络重置？
只有在代理清理、客户端正常退出、DNS刷新和 TCP/IP 重置都无效时再考虑。网络重置可能影响 TUN 虚拟网卡、企业网络、VPN和 Hyper-V。