TonBoVPN 里该选系统代理还是 TUN 模式？先看结论
在 TonBoVPN 客户端里，系统代理和 TUN 模式的网速差异小到几乎感知不到，真正的区别是「覆盖得全不全」：系统代理轻量，浏览器和读取终端环境变量的命令行工具都能用；TUN 模式通过虚拟网卡接管所有程序的流量，适合 macOS 开发和不读环境变量的 GUI 工具。接管之后，流量怎么走由智能路由或全局代理决定，这是另一组独立的选择。
| 你的情况 | 推荐连接模式 | 路由策略 |
|---|---|---|
| 只用浏览器访问 GPT、Claude | 系统代理 | 智能路由 |
| Windows / Linux 上用 Cursor、Claude Code 开发 | 系统代理 | 智能路由 |
| macOS 开发，或用到不读环境变量的 GUI 工具 | TUN 模式 | 智能路由 |
| 团队协同、重视各设备体验一致 | TUN 模式 | 全局代理 |
| 对隐私敏感，不想暴露本地直连的访问模式 | TUN 模式 | 全局代理 |
如果你想先弄懂 TUN 模式、系统代理、全局代理这些词本身的通用含义，可以先读TUN 模式是什么：与系统代理、全局代理、智能分流的区别；本文只讲这些模式在 TonBoVPN 客户端里的实际行为和怎么切换。
系统代理模式：轻量，终端环境变量已经帮你配好
系统代理的原理很直接：Windows 上修改注册表里的代理开关和地址，macOS 上用 networksetup 给每个网络服务挂代理，Linux 上修改 gsettings。整个过程不新建进程，不动路由表，所以 CPU 占用几乎为零，延迟增量可以忽略。
它比你想的覆盖得广
一般意义上的系统代理只对认操作系统代理设置的程序生效，典型是浏览器。TonBoVPN 的系统代理模式多做了一步：开启后会自动写入 Windows 的 PowerShell $PROFILE 和注册表里的环境变量，Linux 上自动修改 shell 配置文件（.bashrc / .zshrc），不需要你手动 export HTTP_PROXY。新打开一个终端窗口就会直接继承代理，pip、npm、cargo 这类命令行工具能直接连上，Claude Code 的命令行调用也不例外。
它有哪两个盲区
- 旧终端窗口：开代理之前就已打开、还没重新加载配置的终端，不会继承新的环境变量，重新开一个窗口即可。
- 不读环境变量的程序：少数程序既不读取标准的 HTTP_PROXY / HTTPS_PROXY，也不走系统代理，只认底层网络接口。这类边缘场景，正是 TUN 模式要补上的位置。
TUN 模式：不依赖环境变量，接管所有程序的流量
TUN 模式在系统里创建一张虚拟网卡，所有程序发出的流量，不管认不认环境变量、认不认系统代理，都会先经过这张网卡再转发到代理。省去了逐个排查「这个工具到底认不认代理」的麻烦。
三个平台的实现方式不同
- macOS：优先用特权辅助进程静默拉起虚拟网卡，没装辅助进程时降级为系统密码框授权，安装一次后续无需再输入密码。
- Windows：依赖后台服务持有的驱动创建虚拟网卡，首次安装客户端时一并装好服务，后续启用 TUN 无感知。
- Linux：通过系统授权工具临时提权，原生度最高，但每次开启都需要输入一次密码确认。
防死循环与断网自恢复
为了防止「代理连自己」造成死循环，TUN 模式会把代理服务器自身的地址和用户手动添加的直连地址单独摘出来，强制走原始网关，其余流量才送进虚拟网卡。客户端还配了一个独立的守护进程，每隔几秒检查主程序和代理连接是否存活；一旦检测到网络环境变化（比如切换 Wi-Fi 或掉线），连续多次探测不到代理服务，就会自动回退并清理路由和 DNS 设置，避免出现整台电脑没网的情况。
智能路由和全局代理：决定流量怎么走
系统代理和 TUN 模式解决的是「谁的流量被接管」，智能路由和全局代理解决的是「接管之后往哪走」，它们是两组独立的选项，不是同一个维度上的快与慢。
智能路由：能直连的不多绕路
智能路由会先判断目标域名或 IP 属于哪一类：本地网络和常用的日常应用走直连，不额外过一层代理；GPT、Claude、Midjourney、Gemini 这些跨境 AI 服务，以及 Notion、Slack 等协作工具，才会被送进 AI 智能路由。你还可以手动添加自定义规则，把某个域名单独指定为直连或代理，规则会覆盖预设策略。好处很直接：不需要代理的流量不占用节点带宽，延迟更低；真正需要跨境访问的应用，流量集中调度到就近节点，连接更稳。想了解智能路由与手动选节点的差别，可以看AI 智能路由到底怎么工作。
全局代理：统一策略，换来一致性
全局代理关闭了直连判断，所有流量无差别走 AI 安全隧道。优势是行为可预期、不需要维护规则列表，对隐私要求高、不希望本地网络环境暴露访问模式的用户更合适；代价是访问本地就能打开的服务时，也会绕一趟代理节点，速度上不占优势。
怎么在 TonBoVPN 客户端里切换
切换不需要理解底层原理，三步就能完成：
- 打开客户端设置，在连接模式里选择系统代理或 TUN 模式。首次开启 TUN 需要按提示完成一次系统授权。
- 在路由策略里切换智能路由或全局代理。智能路由下，可以在自定义规则里添加你自己常用的直连域名。
- 连接后可以随时切换，不需要重新登录或重新选节点，策略会立即生效。切到系统代理模式后，记得新开一个终端窗口，再验证环境变量是否生效。
各客户端版本的界面文案可能略有差异，具体选项以官网当前说明和客户端内提示为准；不同平台的客户端支持情况，可参考TonBoVPN 全平台客户端支持。
常见问题
系统代理和 TUN 模式，到底哪个网速更快？
两者的网速差异很小。系统代理只改系统设置，几乎不产生额外开销，延迟和直连代理端口的水平接近；TUN 模式多了一层虚拟网卡处理和路由维护，在现代设备上这点开销通常小到感知不到。体验差异更多来自你用的工具能不能被接管到，而不是谁「跑得快」。
Windows 和 Linux 上用 Claude Code、Cursor，需要开 TUN 吗？
大多数情况下不需要。系统代理已经自动写好终端环境变量，新开终端窗口即可直接使用。macOS 上开发，或用到不读环境变量的 GUI 工具时，再切到 TUN 模式。长任务总是断线的场景，可以看Claude Code、Cursor 长任务总断线的排查思路。
切换模式要重新登录或重新选节点吗？
不需要。连接后可以随时切换，策略立即生效。从 TUN 切回系统代理时，注意新开终端窗口。
团队该怎么选？
团队更看重各设备连接体验统一，或者对访问路径一致性有硬性要求时，TUN 模式加全局代理，搭配组织级网关的独享 IP，会是更稳的选择；个人在 Windows / Linux 上用 GPT、Claude Code、Cursor 做日常 AI 创作和跨境办公协同，系统代理搭配智能路由就够用了。
