TUN 模式如何处理网络流量

Linux 内核文档的描述：程序打开 /dev/net/tun 注册设备，设备显示为 tunXX 或 tapXX；程序关闭后，设备与相应路由一起消失。TUN 与 TAP 的区别是「TUN 处理 IP 包，TAP 处理以太网帧」。

系统代理TUN

入口程序自愿读取系统设置系统路由层接管

UDP不能代理可处理

依赖 App 配合依赖不依赖开发者的意愿

Clash Verge Rev 还说明，服务模式的用途是能以非管理员身份启动 TUN 模式。系统代理的边界见系统代理说明。

Android 文档写道，VPN App 用 VpnService.Builder 建立本地 TUN 接口，用 addRoute() 决定哪些流量进入（全收用 0.0.0.0/0 或 ::/0），再从接口读出外发的 IP 包。由此可以理解，手机上代理客户端的「VPN 模式」本质上就是 TUN（这是两份文档拼合得出的，没有一份官方文档逐字这么写）。

TUN 的「协议栈」（stack）是把 IP 包还原成连接的实现，mihomo 可选 system、gvisor、mixed、mips。默认值两处官方说法不一致：Clash Verge Rev 名词页写「TUN 模式的默认堆栈是 GVisor」；mihomo 文档写 stack 默认 mips，并建议「如无使用问题」用 mips。原因官方没有说明。

TUN 决定流量怎样进入内核，分流规则决定进入后按什么条件选出口，两者不是同一个功能，见分流规则说明。