如何在Windows11上关闭Clash Verge的TUN模式以避免蓝屏？
问题背景：TUN 模式为何在 Windows 11 上容易触发蓝屏
Clash Verge 的 TUN 模式通过虚拟网卡抓取全部系统流量，实现无需手动配置系统代理的“透明代理”。然而，Windows 11 在 22H2 之后对第三方 NDIS 驱动签名与电源管理策略收紧，经验性观察显示，TUN 驱动与部分无线网卡、主板芯片组驱动并发时，DPC 延迟陡增，极易触发 DRIVER_POWER_STATE_FAILURE 或 KERNEL_SECURITY_CHECK_FAILURE 蓝屏。关闭 TUN 模式可瞬间解除该耦合，是故障排查的第一道隔离手段。
决策树：先判断是否真的需要 TUN
不少用户打开 TUN 只是“图方便”，却忽视其带来的驱动链复杂度。以下三条判断标准可帮助你决定是否可以干脆关闭：
- 应用是否强制绕过系统代理（如部分 UWP 游戏、EA App、Spotify PWA）？若否，可直接改用系统代理或 PAC。
- 是否需要给虚拟机、Docker Desktop 提供透明代理？若否，关闭 TUN 后让虚拟机走宿主机代理即可。
- 是否愿意在每次系统大版本升级后等待新版 Clash Verge 驱动适配？若否，建议回归纯系统代理方案。
经验性观察：在关闭 TUN 后，仅依赖系统代理的常规浏览器、IM 工具延迟差异 < 5 ms，对 200 Mbps 以上宽带几乎无感知；而蓝屏概率从每日一次降至零。
操作路径：图形界面一键关闭（最简方案）
适用于 Clash Verge v2.2.5 及之后版本，GUI 已把 TUN 开关提到首页，无需再手动编辑 YAML。
步骤
- 任务栏右下角找到 Clash Verge 图标 → 右键 →「打开主面板」。
- 左侧栏选择「连接」→ 顶部「TUN 模式」拨动开关 → 置灰即为关闭。
- 面板右上角「重启核心」按钮（快捷键 Ctrl+R），等待核心日志出现
TUN: disabled即生效。
提示
关闭后系统代理仍可用，浏览器流量会自动走 HTTP/SOCKS 端口，无需额外设置。
无界面或远程场景：YAML 手动关闭
若你通过远程桌面维护一台无头 PC，或 GUI 已崩溃，可直接改配置后重启核心。
步骤
- 用记事本打开「安装目录\resources\app.asar.unpacked\config\config.yaml」；若使用便携版，路径为「软件根目录\config.yaml」。
- 找到
tun: enable: true，改为false；如文件不存在该字段，可在根级新增：
tun: enable: false
- 保存后，在 PowerShell 中执行
clash-meta-service.exe -d .\config，确认日志无CreateTUN字样即成功。
彻底卸载 TUN 驱动（可选但推荐）
仅关闭开关不会移除已安装的 Wintun.sys 驱动，下次误触仍会加载。若你决定长期不用 TUN，可顺手卸载，进一步降低蓝屏因子。
步骤
- Win+X → 设备管理器 → 网络适配器 → 找到「Wintun Userspace Tunnel」。
- 右键 → 卸载设备 → 勾选「尝试删除此设备的驱动程序」→ 确定。
- 重启 Windows，确保
C:\Windows\System32\drivers\wintun.sys已消失（若文件残留可手动重命名备份）。
警告
卸载驱动后，若今后再次启用 TUN，Clash Verge 会提示重新安装，需管理员权限；请在无代理需求环境下操作，避免远程失联。
回滚验证：确认蓝屏根因已解除
关闭 TUN 后，建议做一次「蓝屏对照实验」：
- Win+R →
verifier→ 选择「删除现有设置」→ 重启，确保未强制加载第三方驱动。 - 连续使用高流量场景（Steam 下载 + 4K 视频 + 微信通话）30 min，观察是否再出现蓝屏。
- 若 48 h 内无新转储文件产生（路径
C:\Windows\Minidump），可基本认定 TUN 为诱因。
副作用与取舍：关闭 TUN 后的流量盲区
关闭 TUN 后，系统代理仅对支持 WinINet/WinHTTP 的程序生效。以下场景可能漏网：
- Windows 沙盒、WSL2、Docker Desktop 默认虚拟交换机流量。
- 部分使用自研网络栈的游戏启动器（如 EA App、Battle.net）。
- Edge/Chrome 的「安全 DNS」若设为 DoH 直连，也会绕过系统代理。
经验性观察：将上述应用手动指向 127.0.0.1:7890（Clash 混合端口）或直接改用 Proxifier 进行 SOCKS5 分流，可在不加载 TUN 的前提下覆盖 90% 以上流量。
进阶方案：用服务级代理替代 TUN
若你管理的是 10 人以内的小团队，与其每台机器冒险开 TUN，不如在网关或一台软路由上统一出墙，再把 Windows 11 的默认网关指向该设备。这样：
- 客户端无需安装任何驱动，蓝屏概率归零。
- 更新订阅、切换节点只需在网关一次操作，全员受益。
- Windows 更新、Teams 语音等边缘流量也能被透明转发，避免“漏网之鱼”。
常见故障排查 FAQ（使用 FAQPage Schema）
关闭 TUN 后 EA App 下载依旧失败？
EA App 默认强制走 IPv6 直连。请在「安装目录\config.yaml」中新增 ipv6: false，并在 EA App 设置里把「安全协议」改为 HTTP 而非 HTTPS，重启即可。
卸载 Wintun 后无法启用 TUN，提示缺少驱动？
Clash Verge 不会静默重装驱动。需手动点「设置→核心→重新安装 TUN 驱动」并以管理员身份运行，重启后生效。
关闭 TUN 后游戏 Ping 值升高 10 ms，是否正常？
经验性观察：系统代理多一次环回转发，增加 3–10 ms 属合理范围。若对延迟敏感，可把游戏执行文件单独设置为「直连」规则，或改用 Proxifier 的 SOCK5 UDP 转发。
版本差异与迁移建议
截至当前的最新版本（v2.2.5）已把 TUN 开关提到首页，并默认不开启；但早期 v1.3.x 系列把 TUN 与「系统代理」做成联动，升级后若直接覆盖配置，可能导致旧 tun: enable: true 残留。建议升级前备份 %USERPROFILE%\.config\clash 文件夹，升级后先核对首页开关状态，再逐步导入旧规则。
最佳实践清单（可打印）
- 新装 Windows 11 后，首次启动 Clash Verge 先关闭 TUN，确认系统稳定后再评估是否需要。
- 每月 Patch Tuesday 后，观察 48 h 无蓝屏再考虑是否重新开启 TUN。
- 开启 TUN 前，用
verifier /standard /all做一次驱动压力测试，提前暴露冲突。 - 长期不用的机器，直接卸载 Wintun 驱动，减少攻击面。
- 团队环境优先用网关级代理，客户端一律关闭 TUN，降低运维噪音。
收尾：下一步行动
蓝屏的本质是驱动链耦合，而不是 Clash Verge 本身。通过「先关 TUN → 再卸驱动 → 最后验证」的三步法，你可以在 10 分钟内把系统拉回稳定基线。若业务必须透明代理，可评估网关级方案或等待后续内核与 Windows 11 的兼容性迭代。现在就打开任务栏图标，把 TUN 拨到关闭，再重启一次电脑，给自己一份无蓝屏的五一假期。
