TUN 模式是什么？哪些流量进入 Verstro，进入后又如何出站

先把两个问题分开

关键边界：“全局模式”只改变已经进入 Verstro 的流量如何出站，不会自动把原本没有进入的应用流量纳入接管。

为什么浏览器能用，终端却可能仍然直连

浏览器和其他遵循系统代理设置的应用通常可以进入 Verstro，但部分命令行工具、Git、Docker、游戏或桌面应用可能读取自己的代理配置，或者完全忽略系统代理。因此，浏览器出口变化只能证明当时的浏览器请求按当前配置工作，不能证明另一应用采用相同路径。

TUN 创建虚拟网络接口，在更靠近系统网络层的位置处理流量，因此可以覆盖更多不读取系统代理的应用。首次开启可能需要 Windows UAC 或 macOS / Linux 管理员授权；与其他 VPN、代理或安全软件同时运行时，也可能出现冲突。

四个设置分别控制什么

移动端的模型不同：Android 和 iOS 使用系统 VPN 通道承担流量接管，所以不会显示桌面端相同的“系统代理”和“虚拟网卡”开关；移动端仍需根据当前客户端、系统和网络环境验证实际结果。

如何选择入口与出站模式

• 只需要浏览器等遵循系统代理的应用：可以先使用系统代理。
• 需要覆盖更多终端或桌面应用：再考虑启用虚拟网卡，并处理可能的系统授权或软件冲突。
• 日常使用：智能路由适合按规则区分直连与节点。
• 临时排障或需要统一当前出口：可使用全局模式，但它仍不会扩大入口层接管范围。

如何验证某个请求是否真的进入 Verstro

页面总流量适合观察总体趋势，不适合单独证明一个很小的网页请求是否被接管。首次请求与重复请求还可能因 DNS、TLS 会话复用、HTTP 缓存和内容缓存产生不同流量。更可靠的办法是查看目标请求对应的逐连接记录。

1. 1
   记录设置组合

   先记录“系统代理”“虚拟网卡”和“智能路由 / 全局模式”的当前状态。

2. 2
   打开连接页

   准备按目标主机或进程名定位本次请求。

3. 3
   发起可控请求

   在目标应用中请求一个已知资源；测试终端工具时，先确认没有额外设置显式代理环境变量。

4. 4
   核对同一连接

   检查目标主机、进程、上传 / 下载字节和实际链路是否属于同一次请求。

5. 5
   按证据解释

   链路显示 DIRECT 表示该请求按当前规则直连；显示当前节点或代理链路，表示它按该链路出站。

6. 6
   限制结论范围

   只对已观察到的应用、协议、时间点和配置下结论，不把一次成功外推成整机、无泄漏或长期稳定。

第一手对照：一次终端请求如何被确认

测试时版本：2026-08-21 · arm64 Mac · macOS 26.5.2 · Verstro 1.4.13+20000（之后已升级，不以本页版本号下载）

在测试设备上关闭系统代理、开启虚拟网卡并选择全局模式后，使用未设置显式代理环境变量的 curl 请求 Verstro 公开下载域名。Verstro“连接”页在同一时间显示该进程、目标主机、传输字节和代理链路。

第一轮只观察累计流量面板，无法把后台活动、显示取整、DNS / TLS 和缓存差异与单个小请求分开，因此没有判定力。第二轮只有在逐连接记录同时匹配进程、主机、字节和链路后，才确认截图时这一条 TCP/HTTPS 请求进入 Verstro 并按所示链路出站。

证据范围：这不代表其他应用、UDP、DNS、切换网络或长期运行结果，也不证明下载请求最终完整结束。为保护隐私和基础设施信息，本文不发布原始截图、公网 IP 或内部节点标识。

常见误解