结论： 系统代理只影响"愿意读取 Windows 代理设置"的程序（如浏览器）；TUN 创建一块虚拟网卡，在网络层接管流量，覆盖面更广，但需要更高权限，也更容易与其他网络软件冲突。
一、原理对比
| 项目 | 系统代理 | TUN 模式 |
|---|---|---|
| 工作位置 | 应用层：Windows 记录一个代理地址，程序自己读取并使用 | 网络层：虚拟网卡接管路由，不依赖程序配合 |
| 覆盖范围 | 浏览器等遵守系统设置的程序 | 几乎所有程序（含不读代理设置的程序） |
| 权限 | 普通权限 | 通常需要管理员权限或服务模式 |
| 风险 | 退出时若设置未还原，会导致无法联网 | 与其他 VPN、加速器、虚拟网卡冲突 |
| 排查难度 | 低 | 较高（涉及路由和 DNS） |
二、怎么选
- 只用浏览器、一般办公： 系统代理足够，简单稳定。
- 命令行、部分客户端软件不走代理： 它们不读系统代理，可以给该程序单独设置代理，或使用 TUN。
- 游戏、个别桌面软件： 这类软件常不遵守系统代理，需要 TUN。
三、开启方式
- 系统代理：「设置」页打开"系统代理"开关。
- TUN：通常要先安装"服务模式"，再打开"TUN 模式"。无法开启时见TUN 模式无法开启的排查。
四、验证
- 系统代理开启后，Windows 设置 → 网络和 Internet → 代理，应能看到"使用代理服务器"已开启，地址为本机
127.0.0.1加端口。 - TUN 开启后，网络适配器列表应出现一块新的虚拟网卡。
- 在客户端「连接」页，能看到对应程序的连接记录，说明流量确实进入了 Clash。
五、一个常见坑
关闭客户端后系统代理没有还原，导致浏览器无法上网，见退出 Clash 后 Windows 仍无法联网。