FlowerCloud 开启 TUN 模式后无法上网怎么办？
简答：如果 FlowerCloud 开启 TUN 后立即断网，先关闭 TUN，只保留系统代理做对照；随后确认节点与订阅可用，再检查管理员权限、虚拟网卡、DNS 接管、其他 VPN 或虚拟网卡冲突。Windows 可最后执行 Winsock、IP 与 DNS 缓存修复；macOS 则优先检查网络扩展授权和重复代理。
定义：TUN 模式是一种通过虚拟网络接口在网络层接管流量的工作方式，启用后通常会同时影响路由、DNS 和系统网络扩展。
先做这 5 步：大多数 TUN 断网问题可先分出范围
FlowerCloud 的具体客户端名称、版本和配置入口需以当前页面为准。下面的顺序不依赖某个品牌客户端，目标是先恢复网络，再判断问题是在节点、客户端权限、DNS、路由还是本机安全软件。
- 关闭 TUN，保留系统代理：如果仅开启系统代理后网页可以打开，说明节点或订阅未必失效，问题更可能集中在虚拟网卡、路由或 DNS 接管。
- 换一个已知可用节点并更新订阅：确认配置已经选中，避免把节点离线、订阅过期与 TUN 故障混在一起。
- 暂时退出其他网络接管软件：包括其他 VPN、游戏加速器、虚拟机网络、Tailscale 类虚拟网卡工具以及重复的系统代理。
- 检查权限和网络扩展：Windows 重点看客户端是否获得管理员权限及虚拟网卡是否正常；macOS 重点看系统设置中的网络扩展或 VPN 授权。
- 最后再处理 DNS、路由和防火墙：不要一开始就修改全局 DNS、路由表或关闭安全软件，先用现象对照确认方向。
| 现象 | 优先判断 | 先做什么 |
|---|---|---|
| 关闭 TUN 后系统代理能上网 | 虚拟网卡、路由、DNS 或权限 | 检查 TUN 权限、自动路由和 DNS 接管 |
| 系统代理与 TUN 都不能上网 | 节点、订阅、客户端或本地网络 | 更新订阅、换节点、确认普通网络可用 |
| 只有部分网站打不开 | 规则、DNS 或 IPv6 分流 | 切换规则/全局模式做短时对照，再恢复原设置 |
| 开启 TUN 后所有网络立即中断 | 虚拟网卡、权限或默认路由冲突 | 先关闭 TUN，退出其他 VPN 和虚拟网卡软件 |
在 mihomo 的官方配置说明中，TUN 会涉及自动路由、DNS 劫持、接口识别、协议栈和严格路由等设置；这些项目中任意一项与本机环境不匹配，都可能造成“已启用但无法联网”的现象。具体字段是否存在，应以所用客户端当前配置页面为准。参考：mihomo TUN 配置文档。
第一阶段：关闭 TUN，确认是不是 TUN 本身导致断网
先把 TUN 关闭，完全退出客户端，再打开一个平时能访问的普通网页。此时不要同时启用其他 VPN、全局代理或系统级网络工具。
- 如果关闭 TUN 后恢复，重新打开客户端但只启用系统代理。
- 如果系统代理可以工作，再单独开启 TUN，观察是否在授权、创建虚拟网卡或切换路由后断网。
- 如果关闭 TUN 后仍然无法上网，先检查普通 Wi-Fi 或有线网络，再检查系统代理是否残留。
这一步的意义是把“FlowerCloud 节点不可用”和“TUN 接管本机网络失败”分开。TUN 属于网络层接管方式，和只给支持代理的应用设置代理并不是同一条路径；Apple 对数据包隧道的说明也将其描述为通过虚拟接口转发网络流量。参考：Apple Packet Tunnel Provider 文档。
验证：分别测试普通网页、客户端订阅更新和一个使用代理的应用。若只有开启 TUN 时失败，继续看下面的权限、冲突和 DNS 分支。
Windows 10/11：按权限、虚拟网卡、DNS 和防火墙排查
1. 检查管理员权限与虚拟网卡
关闭 TUN 后退出客户端，重新以管理员身份启动，再开启一次 TUN。若系统弹出网络或管理员授权窗口，应确认授权对象是你已经核验来源的客户端。不要为了测试而长期关闭 Windows 安全防护。
打开“设置 → 网络和 Internet → 高级网络设置”，观察是否出现客户端创建的虚拟适配器，以及是否被禁用。名称和入口可能随客户端变化，未看到适配器时，优先回到客户端的服务模式、虚拟网卡或驱动安装选项核对，而不是直接修改注册表。
2. 排除重复接管与路由冲突
暂时退出其他 VPN、游戏加速器、虚拟机网络、远程办公网络工具和虚拟网卡软件。TUN 的自动路由可能会改变流量出口；如果同时存在多个网络接管组件，无法仅凭“客户端显示已连接”判断实际路由已经正确。
如果客户端提供“自动检测出口网卡”“自动路由”“严格路由”“DNS 接管”或类似选项，先恢复默认值，只改动一个选项并测试一次。不要直接照搬其他设备的 MTU、路由表或 DNS 地址。
3. 用 Windows 官方命令做低风险修复
以下命令适用于 Windows 10/11 的常规网络故障排查。需要管理员权限，并可能影响当前网络连接；执行前关闭正在进行的下载、远程桌面和重要网络任务。微软建议的顺序包括重置 Winsock、重置 IP、释放与更新地址以及刷新 DNS 缓存：
netsh winsock resetnetsh int ip resetipconfig /releaseipconfig /renewipconfig /flushdns
执行后重启 Windows，再先测试普通网络，之后才重新启动客户端和 TUN。微软说明，netsh winsock reset 会将 Winsock 目录恢复到干净状态；ipconfig /flushdns 会清空 DNS 解析缓存。参考：Microsoft Windows 网络连接排查、Microsoft netsh winsock 文档、Microsoft ipconfig 文档。
4. 最后再考虑 Windows 网络重置
如果前面的步骤无效，可把“网络重置”作为最后手段。Windows 官方说明，网络重置会移除已安装的网络适配器并恢复网络设置默认值，重启后可能需要重新安装或配置 VPN、虚拟交换机等网络软件。因此，执行前记录当前代理、Wi-Fi、虚拟机和客户端设置，准备好重新配置方法。路径通常是“设置 → 网络和 Internet → 高级网络设置 → 网络重置”。参考：Microsoft 网络重置说明。
macOS：检查网络扩展授权，避免手动改路由表
macOS 上，TUN 或 VPN 类功能通常依赖 Network Extension。Apple 文档说明，网络扩展可用于数据包隧道、DNS 代理和 DNS 设置；具体授权方式取决于客户端实现和 macOS 版本。打开客户端后，留意系统设置是否出现 VPN、网络扩展或允许相关扩展的提示。
- 关闭 TUN，退出客户端，再重新打开并重新授权网络扩展。
- 检查“系统设置 → VPN”以及“系统设置 → 网络”中是否存在重复或残留的 VPN 配置。
- 暂时关闭其他 VPN、过滤器、虚拟网卡和安全软件的网络接管功能。
- 如果客户端提供 DNS 接管、全局路由或 IPv6 选项，恢复默认值后逐项测试。
- 先用普通网络确认网页可访问，再启用 TUN；不要把“连接状态已变为已连接”当作网页一定可用。
Apple 明确建议使用 Network Extension 处理 VPN 和网络扩展，并提醒不要直接修改 macOS 的路由表或使用不受支持的底层方式，以免与系统或其他应用安装的路由、过滤规则冲突。参考：Apple WWDC25 网络过滤与隧道说明、Apple VPN 流量路由文档。
回退方法：如果授权后立即断网，先断开 VPN 或关闭 TUN，删除明显重复且由本次测试产生的 VPN 配置，再重启客户端。不要在无法确认来源的情况下删除所有网络配置。
DNS、规则和 IPv6：网页打不开时如何定位
如果 IP 连接看似正常，但域名网页打不开，问题可能在 DNS 接管、DNS 劫持、Fake-IP、浏览器安全 DNS 或规则分流。mihomo 官方 TUN 文档列出了 DNS 劫持、自动路由、严格路由和 IPv6 地址等相关配置项，但没有规定所有客户端都应使用同一组参数，因此不建议复制网络文章中的完整配置。
- 先做对照：关闭 TUN 后测试网页；再只开启 TUN，暂时关闭客户端内的 DNS 接管或高级 DNS 选项。
- 检查浏览器：如果只有浏览器失败，暂时检查浏览器自己的安全 DNS、代理和扩展设置；其他应用正常时，不要先修改系统路由。
- 检查规则：在规则模式下，个别域名打不开而其他网站正常，可短时切换到客户端提供的全局模式做对照。测试结束后恢复原模式。
- 检查 IPv6：如果 IPv4 站点能开、部分 IPv6 目标失败，可暂时关闭客户端的 IPv6 接管或在路由器侧确认 IPv6 是否可用；不要把关闭 IPv6 当作永久修复。
- 逐项验证：每次只改一个选项，记录修改前的值。若某个选项无效，立即恢复原值，避免多个改动叠加后无法判断原因。
如果系统代理能开网页，但 TUN 仍失败，优先回到虚拟网卡、路由和权限分支；如果两种模式都打不开，优先检查节点、订阅、普通网络和服务端状态，不能仅凭 TUN 现象判断是 DNS。
仍然无法上网：整理资料后再反馈或更换客户端
当上述步骤没有解决问题时，建议整理以下信息：操作系统及版本、客户端名称和版本、TUN 是否能创建虚拟网卡、系统代理是否可用、关闭 TUN 后是否恢复、是否存在其他 VPN 或虚拟网卡、订阅更新是否成功、出现问题的时间，以及客户端日志中的错误原文。不要公开完整订阅链接、访问令牌、账号密码或个人 IP。
如果问题只发生在某一个客户端，可在确认订阅格式和服务规则允许的前提下，使用另一个兼容客户端做对照。客户端的 TUN 字段、授权入口和日志位置可能不同，不能把一个客户端的配置字段直接套到另一个客户端。
安全回退顺序：关闭 TUN → 关闭系统代理 → 退出客户端 → 恢复系统网络设置 → 重启设备 → 重新启用一个网络功能并验证。只有在确认普通网络已恢复后，才继续尝试 TUN。
常见问题
FlowerCloud 开启 TUN 后立刻断网，是节点坏了吗？
不一定。若关闭 TUN、只启用系统代理后可以上网，故障更可能与虚拟网卡、权限、路由、DNS 或其他网络接管软件有关；若两种模式都失败，才需要同时检查节点、订阅和普通网络。
TUN 和系统代理可以同时开启吗？
是否应该同时开启取决于客户端设计。TUN 已经在网络层接管流量时，重复启用系统代理可能造成规则、端口或应用行为混淆。排查时建议先单独启用一种模式，确认可用后再按客户端说明组合。
Windows 执行网络命令后还是不能上网怎么办？
先重启电脑并测试普通网络，再检查是否需要重新授权客户端、重新安装虚拟网卡或重新配置其他 VPN。网络重置属于更大范围的回退操作，可能移除网络适配器和相关设置，应在记录配置后再执行。
macOS 需要手动修改路由表吗？
通常不建议把手动修改路由表作为第一步。Apple 建议网络扩展使用系统支持的 Network Extension 机制；手动路由可能与系统或其他应用的规则冲突。优先检查网络扩展授权、重复 VPN、DNS 和客户端自身的路由选项。
什么时候应该怀疑 DNS？
如果 IP 层连接正常、只有域名解析或部分网站失败，才更值得检查 DNS 接管、浏览器安全 DNS、Fake-IP 和规则。若开启 TUN 后所有连接立即中断，应先查权限、虚拟网卡和路由，不要一开始只改 DNS。
常见问题
FlowerCloud 开启 TUN 后立刻断网，是节点坏了吗？
不一定。先关闭 TUN，只启用系统代理做对照；如果系统代理可用，优先检查虚拟网卡、权限、路由、DNS 和其他网络接管软件。
TUN 和系统代理可以同时开启吗？
取决于客户端设计。排查时建议先单独启用一种模式，确认可用后再按当前客户端说明组合，避免重复代理和规则冲突。
Windows 执行网络命令后还是不能上网怎么办？
重启后先测试普通网络，再检查客户端授权、虚拟网卡和其他 VPN。网络重置会移除并重新安装网络适配器，执行前应记录原有配置。
macOS 需要手动修改路由表吗？
通常不建议。优先检查 Network Extension 授权、重复 VPN、DNS 和客户端路由设置，避免手动路由与系统或其他软件规则冲突。
什么时候应该怀疑 DNS？
如果 IP 层连接正常但域名或部分网站失败，再检查 DNS 接管、浏览器安全 DNS、Fake-IP 和规则；所有连接立即中断时应先查权限、虚拟网卡和路由。