机场与代理术语表

一张测速图只代表某个时刻、某条宽带上的结果，底部那几行写着测试后端、线程数和开测时间，读数之前先看它们。机场自己发的图，时段和线路都由它挑。本站的测试口径写在评测方法里。

表里的 MB/s 指每秒多少兆字节，宽带套餐标的是兆比特，两者差 8 倍，500MB/s 约合 4000Mbps。本站用 MiaoKo 时常开 32 线程，测的是节点能给出的上限，一台设备平时下载很难跑到。延迟一般有两列，工具注脚把 TLS RTT 写作单次数据交换延迟，HTTPS Ping 写作单次请求体感延迟。测速也很费流量，2025-05-29 用 32 线程测星岛梦的 20 个香港节点，工具记下的消耗是 67.0GB。

重新拉取的间隔由客户端决定，mihomo 在 proxy-providers 里用 interval 设置，单位是秒。换一个客户端导入报错，可能是拿到的格式不对。Clash Verge Rev 文档提到，订阅服务商靠请求里的 UA 字段分辨你用的代理工具，据此决定返回什么。碰到这种情况，去机场后台找对应这个客户端的订阅。

令牌就在链接里，别人拿到一样能导入，扣的是你的流量。求助发截图先打码。机场用户中心如果提供重置订阅，怀疑外泄就重置，旧链接随之作废。

自己排查时，对节点的服务器地址持续 ping 几分钟，看回包缺了多少。这样测到的只是你到入口这一段，入口往外的情况要结合测速结果和实际使用判断。走公网出境的线路，晚高峰时更容易丢包。

丢包严重的网络上可以试 Hysteria 2，官网说它为不可靠、易丢包的网络设计。它的 Brutal 拥塞控制按设定的速率发送，丢了包就多发一些，让实际送达的速率维持在目标值。官方文档同时提醒，带宽别填得超过线路实际能承受的上限，否则会造成拥塞，连接反而不稳。

本站收录的 28 家里，27 家有月付，最低一档月付价的中位数是 20 元，低至 12.5 元，高到 30 元。数据按 2026 年 8 月至 9 月核对的套餐表计算。周期套餐的流量一般按月重置，另有 12 家卖没有到期日的不限时流量包。

买完把订阅链接导进客户端就能用，电脑上常见 Clash Verge Rev，安卓上常见 FlClash。机场可能在任何时候停运，第一次买付一个月，下单前先去跑路预警里查一查它。

节点名由机场自己起，常见写法是地区加编号，有的还把线路和倍率写进去，星岛梦 2026-07-18 的订阅里就有「日本BGP-原生落地08」「德国直连-01」。有的订阅还夹着几行写剩余流量、下次重置还有几天、套餐到期日的条目，那是机场借节点名显示账户信息，星岛梦 2025-07-09 的测试里就有。

节点多不代表服务器多。本站 2026-07-08 测飞猫云的拓扑，49 个节点共用一个入口，星岛梦 2025-07-09 那次则分出了 37 个入口。

同一家机场，节点之间差别很大。本站 2026-07-09 测飞猫云的 49 个节点，Gemini 全部通过，Claude 46 个，OpenAI 37 个。2026-06-27 测星岛梦，60 个 VLESS 节点里 57 个能看 Netflix，10 个新加坡节点的 YouTube 却全部送中。官网写的支持解锁只算官方自述。

解锁表里还有中间状态。Netflix 一栏的「自制」，对应它帮助中心的说法，连着 VPN 时可能只剩全球都有授权的作品可看。YouTube 一栏的「送中(CN)」，是出口 IP 被判到了中国大陆，YouTube Premium 不在中国大陆提供，这类节点上用不了会员功能。

想解锁某个地区的流媒体，或者用只对部分国家开放的 AI 服务，就得挑落地在那里的节点，入口设在国内哪座城市不影响这些判断。

落地到底在哪，以测试工具识别出的出口 IP 为准，节点名只能参考。本站 2026-07-08 测飞猫云的拓扑，名为英国的节点，出口被识别在法国 OVH 的机房。2026-06-27 测星岛梦，10 个台湾节点的 Netflix 和 Disney+ 全被认成英国区。IP 的归属地和类型怎样影响解锁，见原生 IP 和住宅 IP。

入口管的是你家宽带到机场这一段，它和你所用运营商之间互联得好不好，直接影响速度，有的机场会按运营商分开设入口。星岛梦的官方自述写了移动、联通优化入口，本站 2026-06-27 测它时，订阅里还有一组以「电信-」开头的节点。

拓扑测试能数出入口有几个。星岛梦 2025-07-09 测出 37 个，飞猫云 2026-07-08 只有 1 个，49 个节点全靠它，它一出故障，整份订阅就一起断。ping 节点地址得到的延迟只量到入口，入口往后的质量要看测速结果。

线路好坏在晚高峰更容易看出来。走公网出境的节点要和大量家庭用户挤同一段国际出口，机场自述走 IEPL 或 IPLC 的节点按设计绕开了这一段，晚上掉速应该更少，实际怎样还得看晚上的测试。

本站公开的测速图里，落在晚高峰的只有 2026-07-18 那两轮，闪跃 21:18 开测，无忧 21:40 开测，其余几轮在上午到傍晚之间，只能代表白天的水平。本站没有全天候监控，第一次买付一个月，挑几个晚上自己跑一跑，再决定续不续。

离得越远，延迟越高。飞猫云的香港节点，2026-07-09 从广州移动宽带测出的 TLS RTT 多在 16 到 26 毫秒，同一轮里美国节点是 163 到 173 毫秒。

下载快慢另看带宽。2026-06-17 测星岛梦，日本节点延迟多在 172 到 182 毫秒，均速 100MB/s 上下，美国节点延迟更高，多数均速却有 310 到 370MB/s。在 mihomo 系客户端里比较不同协议的节点，先打开 unified-delay，按文档的说法，它会改为计算 RTT，把连接握手之类造成的类型差异排除掉。

看到机场写原生 IP，能自己核对的只有一件事，解锁测试里平台识别出的地区和节点名对不对得上。本站两次测试都碰到过对不上的情况。星岛梦的台湾节点在 2026-06-27 的测试里被 Netflix 认成英国区，灵动云的台湾节点在 2026-07-21 被认成西班牙区。

28 家里有 3 家的官方自述写了原生 IP，星岛梦 2026-07-18 的订阅里也有「日本BGP-原生落地08」这类节点名，这些标注本站都没法逐个验证。平台认地区靠 IP 归属地数据库，一段地址登记在别国、后来调到本地使用，数据库里的旧记录就会让识别出错。归属地之外，IP 还有类型之分，那是住宅 IP 一条讲的事。

IPinfo 的文档里，自治系统的类型分 isp、hosting、business、education、government 五种，它的隐私检测数据还单列一个 hosting 字段，和 vpn、proxy、tor 这些标记放在一起。

本站 2026-07-09 测飞猫云，解锁表里 IP 类型一栏，49 个节点全标着商宽/机房 IP，28 家的官方自述里也没有一家提到住宅 IP。要做跨境电商或者注册对 IP 敏感的账号，另找专门的住宅 IP 服务更合适。订阅里如果出现标着住宅、家宽的节点，拿 IP 查询工具看一眼它归在哪类网络。它和原生 IP 各管一件事，一个看地址类型，一个看归属地。

作为线路，直连不用租国内入口和专线，价格因此低，快不快取决于你家宽带的出境质量和境外机房回国方向的线路，晚高峰波动也更大。本站收录的 28 家里，边缘节点、宇宙云、星岛梦 3 家提到直连，三家都把它和 IPLC 并列，星岛梦 2026-07-18 的订阅里就有「德国直连-01」这样的节点名。

在客户端里，mihomo 文档对 DIRECT 的解释是直连、数据直接出站。规则模式下国内网站通常命中 DIRECT，这部分流量不经过机场，也不扣套餐流量。某个国内网站打不开时，看看它是不是被规则错分去走了代理。

没有专线字样的中转，入口和落地之间一般靠公网连接，成本低一些，晚高峰表现要看入口机房的出境质量。本站收录的 28 家里，光速云自述隧道中转优化加高速专线，极连云写的是中转。拓扑测试看得出这种结构，星岛梦 2025-07-09 那次，37 个入口后面接着 51 个出口。

客户端里也有个 relay。mihomo 的 relay 策略组已在文档里标为弃用，想让一个节点经另一个节点连出去，文档让改用 dialer-proxy。这和机场线路的中转是两件事。

阿里云的文档对 BGP 多线的解释是接入多条运营商线路并自动选择最优路径。这个词用在机场的国内入口上，意思是三家运营商的用户都能比较顺地连进来。它只描述接入这一侧，跨境那段用什么线路要另看。

本站收录的 28 家里有 2 家的线路资料出现 BGP。全球云的依据是套餐名带着「BGP 智能优化」，星岛梦 2026-07-18 的订阅里则有「日本BGP-原生落地08」这样把 BGP 写在境外地区后面的节点名。同一个词标在哪一段并不统一，想弄清楚就问机场，或者看入口的拓扑测试。

本站收录的 28 家里，10 家的官方自述写着 IEPL，星岛梦、飞猫云、梯子云都在其中，资料核对于 2026 年 8 月至 9 月。拓扑测试能数出入口和出口，看不出两者之间走的是专线还是公网，这一点只能当机场的说法听。

它和 IPLC 都是独享带宽的点对点线路，中国电信的对比里，IEPL 的带宽可以灵活扩展，IPLC 是固定档位。两者在使用上有什么差别，本站没有数据能分辨。比线路名更实在的是晚高峰实测，先买月付，晚上自己跑几次。

本站收录的 28 家里有 7 家官方自述走 IPLC，其中边缘节点、宇宙云、星岛梦把它和直连并列，哪些节点走哪种线路，要看节点名或问机场。这 7 家的最低月付从 12.5 元到 27 元不等。

自述 IPLC 纯专线的闪跃，2026-07-18 晚上 21:18 的测速里，香港节点均速 505 到 551MB/s，美国节点只有 8.6 到 13.9MB/s，一个线路标注说明不了每个地区都快。它和 IEPL 的区别在运营商那一侧，按中国电信的说法，IPLC 走电路交换，带宽固定，IEPL 走以太网，带宽能灵活扩展。

本站收录的 28 家里，飞猫云和星岛梦自述用 AnyTLS。飞猫云 2026-07-08 的测速里，49 个 AnyTLS 节点全部跑出了速度。星岛梦 2026-06-27 那轮测了 10 个 AnyTLS 节点，其中 4 个的延迟一栏只有横线。

按 anytls-go 的协议文档，分包和填充方案由服务端决定，客户端报上自己方案的 MD5，对不上时服务端就下发新方案。sing-box 从 1.12.0 起支持，mihomo 有 anytls 类型，iOS 上 README 列了 Shadowrocket 2.2.65 以上、Stash、Loon。mihomo 不支持它和 REALITY 组合。

用它要留意带宽设置。mihomo 的 up、down 两个字段就是 Brutal 的速率，不写单位默认按 Mbps。Hysteria 文档说明，填了带宽的方向才用 Brutal，不填就退回 BBR 这类常规拥塞控制，填得超过线路实际上限会适得其反，造成拥塞和连接不稳。

它跑在 UDP 上。Hysteria 的端口跳跃文档说，国内有用户遇到运营商封锁或限速长时间的 UDP 连接，这类限制常常只落在当前端口上，端口跳跃为此而设，mihomo 用 ports 写端口范围，hop-interval 默认 30 秒换一次。本站收录的 28 家，写明的协议里还没有 Hysteria 2。

REALITY 的参数都在订阅里，有服务端私钥对应的公钥、一个 shortId、要借用的网站域名和浏览器指纹，Xray 文档把客户端 fingerprint 列为必填。导入失败先看内核，Xray、mihomo、sing-box 都支持，mihomo 写在 reality-opts 下，只有 public-key 和 short-id 两项。

服务端要指定一个 target 网站，REALITY 的说明要求它是国外网站，支持 TLSv1.3 和 H2，通不过验证的流量会直接转发给它。它可以配 VLESS 用，mihomo 的 trojan 类型也能挂 reality-opts。

常见加密方式 aes-128-gcm、aes-256-gcm、chacha20-ietf-poly1305 都属于官方推荐的 AEAD 类。以 2022-blake3 开头的是 Shadowsocks 2022，规范要求用随机生成、base64 编码的定长密钥，不再从口令推导，时间差超过 30 秒的消息一律按重放处理，所以设备时钟偏差太大会连不上。

它不做 TLS 伪装，mihomo、sing-box、Xray 都支持，2022 版也在内。星岛梦 2025-05-29 测速时，20 个香港节点还是 Shadowsocks，2026 年 6 月再测，订阅里只剩 VLESS 和 AnyTLS。

本站收录的 28 家里，自述 Trojan 的是极连云和灵动云两家。灵动云的页面文案把 VLESS 和 Trojan 混着写，本站 2026-07-21 实测它的 60 个节点，类型一栏全是 VLESS，订阅里实际是什么协议，以导入后客户端显示的为准。

原始实现 trojan-gfw 最新的正式版至今仍是 2020-06-10 发布的 v1.16.0，协议本身由 Xray、sing-box、mihomo 各自实现，主流客户端都能导入。按协议文档，通不过验证的连接默认接到 127.0.0.1:80 上的网页服务，所以服务端要靠真实域名和有效证书撑起伪装，这部分由机场负责。

游戏和语音连不上、网页却正常，可以先从 UDP 查起。Clash Verge Rev 在名词解释里说，系统代理不能代理 UDP 流量，举的例子是游戏数据包，这时要换 TUN 模式。节点这头，mihomo 里的 udp 字段默认是 false，得由订阅或覆写设成 true。

有的配置会主动拦 UDP。Xray 文档说明，xtls-rprx-vision 流控会拦下发往 443 端口的 UDP，也就是 QUIC，促使浏览器改用普通 HTTPS，离不开 QUIC 的程序要换 xtls-rprx-vision-udp443。测速表的 UDP 类型那一列，量的是 NAT 类型。

本站收录的 28 家里，官方自述用 VLESS 的有 6 家，在写明协议的 8 家里最多。2026-07-18 测闪跃，订阅里的 50 个节点全是 VLESS。

它自己不加密，Xray 文档规定它必须叠在 TLS 或 REALITY 之上使用，设计文档的考虑是外层 TLS 已经提供了加密，协议内部不必重复一遍。新版本另外提供了可选的 VLESS Encryption。它可以和 REALITY 以及 xtls-rprx-vision 流控组合使用。Xray、mihomo、sing-box 都能用，mihomo 里对应 vless 类型，REALITY 参数写在 reality-opts 下。

手动配置时会碰到 alterId 这一项。按 V2Fly 的说明，v4.28.1 起客户端 alterId 填 0 表示用 VMessAEAD，从 2022 年 1 月 1 日开始，服务端默认关闭了对 MD5 认证信息的兼容，所以照 0 填。Xray 现在的 VMess 出站配置里已经没有这个字段。

Xray 文档把时间容差放宽到 120 秒。要是只有 VMess 节点连不上，别的协议照常，先核对系统时间，打开自动对时再试。本站资料里写明协议的 8 家机场，没有一家用 VMess，同样靠 UUID 认证的 VLESS 用得更多。

2023-12-03 发布的 v1.17.0 起，安装包从 clash.meta 改名为 mihomo，老教程里的 Clash Meta 就是它，许可证 GPL-3.0。README 列的协议包括 VLESS、Trojan、Hysteria 等，内置 DNS 支持 DoH、DoT 和 Fake-IP。

内核没有界面，电脑上常配 Clash Verge Rev，安卓上有 FlClash。在 GitHub 打开 MetaCubeX/mihomo，默认分支是个与代理无关的 Python 库，内核源码放在 Meta 和 Alpha 两个分支，安装包到 Releases 页找。

它的许可证在 GPL 第 3 版之外加了一条，衍生作品未经同意不得使用 sing-box 的名字，也不得暗示与它有关。官网客户端页只列安卓、苹果、桌面三个官方客户端，还说那些拿 sing-box 当招牌的第三方项目，维护者主要想拉用户，代码大多粗糙，并且塞了广告。

配置是 JSON，和 Clash 的 YAML 不通用，Clash 格式的订阅没法原样导进官方客户端，得要 sing-box 格式。Karing 的简介写着支持 Clash 和 sing-box 的分流规则，手里只有 Clash 订阅时可以考虑。AnyTLS 从 1.12.0 起可用。

Xray 官网自己交代，这个项目从 v2ray-core 分出来以后一直独立发展，别再把它当作能和 v2ray-core 完全互换的东西。GitHub 仓库 2020 年 11 月创建，用 MPL 2.0 许可，版本号按发布日期编，2026-03-27 发布的就是 v26.3.27。

它原创的 VLESS 和 REALITY，mihomo 和 sing-box 也都支持，连这类节点不一定要装 Xray。直接用它的客户端里，安卓的 v2rayNG 简介写着支持 Xray 和 v2fly 内核，电脑上的 v2rayN 可以在 Xray 和 sing-box 之间选。

比价时这一项最容易漏。本站榜单算每 GB 单价时，用的是套餐写的流量，倍率没算进去。举个算术例子，月付 25 元、150G 的套餐，常用节点若是 1.5 倍，实际能用 100G，每 GB 从约 0.167 元变成 0.25 元，贵了一半。

标倍率的机场会把 2x、0.5x 之类写进节点名。本站手里星岛梦、飞猫云、闪跃、灵动云的测试截图，节点名都没有倍率标记，是不是一律按 1 倍扣，以机场说明为准。收录的机场里，闪跃在官方自述里写明全部套餐 1 倍率。别家没写的，买之前找客服要一份倍率表。

适合两类人。一类每月只用十来 G，按 1 元/GB 算，一个月花十来块，比最低月付的中位数 20 元省；另一类想在主力机场之外留一份备用。天天大量使用的人买它不划算。

本站收录的 28 家里有 12 家在卖。按各家起步那一档算，不限时包的每 GB 价格中位数为 1 元，而最低月付档的每 GB 中位数只要 0.167 元。单价低的是极连云，600G 卖 399 元，高的是暮光网络，150G 卖 219 元。星岛梦的 100G 不限时包卖 100 元，用完补满要 90 元。流量不设期限，机场却可能停运，一次别囤太多，下单前先查跑路预警。

以开源面板 V2Board 为例，源码里列了几种重置方式，每月 1 日、每月到期日那天、每年 1 月 1 日、每年到期日，另有一项是干脆不重置，默认用每月 1 日。年付套餐的流量有按月给的，也有按年算总量的。灵动云的套餐表把 99 元一档写作 70 GB / 年，星岛梦客服介绍 96 元的年付小包时说的是 8 元一个月、60GB，下单前看清单位是月还是年。

流量提前用完可以买重置包。灵动云的四档常规套餐，重置包都和月付同价，最便宜的拂风两样都是 20 元，星岛梦 100G 那档月付和重置包也都是 19 元，买一次等于多付一个月。

Sogo云、宇宙云的官方自述里也有负载均衡，那是机场对自家线路的描述，和客户端这个策略组是两回事。

mihomo 的 strategy 有三种。round-robin 轮流把请求发给组内各个节点，consistent-hashing 按目标地址分，去同一个目标的请求总落在同一个节点，sticky-sessions 看来源加目标这一对，同一对在 10 分钟缓存期内固定用一个节点。目标是域名时按顶级域名匹配。一条连接只会落在一个节点上，单线程下载叠不出更快的速度。round-robin 下出口 IP 不停变，对登录状态敏感的网站换成 consistent-hashing 更稳当。

规则从上往下逐条匹配，排在前面的优先，最后一条通常是 MATCH，匹配所有请求，前面没认领的连接都按它走。按目标 IP 判断的规则，比如 GEOIP、IP-CIDR，会让 mihomo 先做一次 DNS 解析，规则后面加 no-resolve 可以跳过，这和 DNS 泄露有关。

机场订阅里通常自带一套规则，写得细不细各家差别很大。一个境外网站被分到了直连，或者国内网站绕去了代理，多半是规则没写到它，先切全局模式确认，再给这个域名补一条规则。

切到全局以后，mihomo 会让你到 GLOBAL 这个策略组挑出口。Clash Verge Rev 的说法是所有流量都从手工选定的代理节点或本地网络出去，选中的若是 DIRECT，就等于全部直连。和它并列的还有直连模式，所有流量从本地网络出去。

全局模式下国内网站也绕到境外，速度变慢，还要扣机场流量。它适合拿来排错，在规则模式下打不开的网站，换到全局能打开，说明毛病在规则。全局与否只影响出口，不经过客户端的流量它管不到，那要靠 TUN 模式解决。

Clash Verge Rev 的文档把系统代理说成一种行业约定，程序自发去读，遵不遵守由程序自己决定，不遵守的那部分流量就绕开了代理，这时换 TUN 模式。Windows 上的 UWP 应用，比如微软商店，因为沙盒机制访问不了本机回环地址，文档给的办法是在客户端设置里用 UWP 工具解除限制。

它的 Windows FAQ 里还有一条，客户端碰上断电、蓝屏之类没来得及关掉系统代理，结果不开客户端就上不了网。打开 Windows 设置里的网络和 Internet，进代理页，在手动设置代理下关掉使用代理服务器就能恢复。

规则按域名写好了，某个程序的流量却走错了节点，一种可能是连接到达内核时只剩 IP。比如程序自己解析了域名，再直接拿 IP 发起连接，开着 TUN 时这类流量也会被收进内核。开着 Fake-IP 的话，连接进内核时已经带着域名，只有这些例外要靠嗅探补上。

mihomo 的 sniffer 里，override-destination 默认开启，用嗅探结果当作实际访问目标。force-dns-mapping 对 redir-host 识别出的流量强制嗅探，parse-pure-ip 对所有没拿到域名的流量强制嗅探。嗅探后出问题的域名写进 skip-domain。

两家内核的默认值不一样。mihomo 文档示例的测试网址是 gstatic 的 generate_204，间隔 300 秒，tolerance 以毫秒计，新节点得比当前快出这个数才切换，lazy 默认开启，没选到这个组时不测。sing-box 里同类出站叫 urltest，间隔默认 3 分钟，容差默认 50 毫秒，闲置 30 分钟后停测。

它只比延迟，延迟最低的节点不一定下载快，也不一定能解锁你要的平台。切一次节点出口 IP 就跟着变，看流媒体、挂着登录的网站最好手动固定一个。只想在节点超时时顶上，mihomo 另有 fallback 类型，会按顺序换到第一个可用节点。

在 mihomo 里，按目标 IP 判断的规则会让内核先把域名解析一遍，GEOIP、IP-CIDR 都是这类，这一步用的是本地配置的 DNS。给这类规则加上 no-resolve，就不再为它触发解析。

另外几个开关也和它有关。respect-rules 让 DNS 连接同样遵守路由规则，需要同时配 proxy-server-nameserver；nameserver-policy 能给指定域名单独安排解析服务器；开 TUN 时用 dns-hijack 把查询导进内核的 DNS 模块；Fake-IP 模式也能省掉走代理域名的本地解析。国内网站的域名交给国内 DNS，本来就在分流的设计之内。

RFC 8484 的说法是，用 HTTPS 默认的 443 端口，还能和其他 HTTPS 流量共用连接，途中没有权限的设备就难以干扰 DNS。它只加密路上这一段，谁来回答取决于所填的服务器。mihomo 文档示例的 nameserver 是 doh.pub 和 dns.alidns.com 两个国内服务，境外域名的查询也会落到它们那里。

mihomo 里 https:// 开头的是 DoH，tls:// 是 DoT，quic:// 是 DoQ。填进去的 DoH 服务器是个域名，解析它也要 DNS，所以 default-nameserver 只能填 IP。

代理开着时 ping 某个网站，回来的地址以 198.18 打头，就是它在起作用。mihomo 文档示例里的 fake-ip-range 是 198.18.0.1/16，IANA 按 RFC 2544 把这一带分给了网络设备的性能测试，日常上网碰不到。

mihomo 的 enhanced-mode 可选 fake-ip 和 redir-host，文档写的默认是 redir-host。必须拿到真实 IP 的域名，比如局域网里的 *.lan，要写进 fake-ip-filter。好处是连接带着域名进内核，规则能按域名命中，走代理的域名交给节点解析，本地少一次查询，DNS 泄露的机会也少了。

测速表的 UDP 类型一栏，标的是节点这一侧的 NAT 行为。星岛梦 2026-06-17 那轮共 60 个节点，FullCone 56 个，Unknown 3 个，RestrictedCone 1 个。打联机游戏、用语音通话的人才需要在意这一栏，而且要开 TUN 模式，系统代理带不了 UDP。

RFC 3489 分出的四类里，对称型对每个目标用不同的映射，只有收到过包的外部主机能回 UDP。2008 年的 RFC 5389 取代了它，说不少 NAT 的行为没法干净地归进这几类，测速工具仍沿用这套叫法。

系统代理管不到的程序，比如不读代理设置的软件，或者要走 UDP 的游戏，才需要开 TUN。在 Clash Verge Rev 里，先以管理员身份装好服务模式，之后普通账户也能打开，FAQ 提醒 360、金山毒霸这类软件可能拦下服务模式的安装。开了以后网络异常，FAQ 给的原因是系统里多出的网卡或网段和规则冲突，删掉多余的网卡再试。

mihomo 的 TUN 默认用 gvisor 协议栈，另有 system 和 mixed 可选，mixed 是 TCP 走 system、UDP 走 gvisor。macOS 上网卡名只能以 utun 开头。