前言：瀏覽器能連，終端機為何失敗？
瀏覽器已經能透過 Clash 開啟網站，npm 卻卡在下載套件，或 pip 出現逾時、連線重設，這類情況在開發工作中並不少見。原因通常不是套件管理工具「不支援代理」，而是瀏覽器和終端機使用網路的方式不同：瀏覽器可能已套用系統代理設定，終端機程式則可能忽略該設定，直接使用作業系統的網路連線。
Clash TUN 模式會建立虛擬網路介面，接管系統層級的流量，再依照 Clash 規則分流。因此，即使 npm、pip 或其呼叫的下載程序沒有自行設定 HTTP 代理，也有機會由 TUN 接手並交由規則處理。本文會依序說明 TUN 的適用情況、啟用前檢查、npm 和 pip 測試方式，以及如何定位常見問題。
本文目標
讓終端機套件下載流量有明確的代理路徑，並以實際安裝測試確認規則、DNS 與權限是否正常；不要求所有環境都必須使用 TUN。
先確認使用情境
請使用你有權存取的網路與代理服務，並遵守套件來源、公司網路和服務供應商的使用規範。TUN 會影響整個裝置的流量，不只是 npm 或 pip。
1了解 TUN、系統代理與終端機流量
Clash 常見的系統代理模式主要處理會主動讀取作業系統代理設定的應用程式。不同終端機工具、語言執行環境和子程序，對代理環境變數及系統設定的支援程度並不一致。即使 shell 裡的 npm 能連線，實際安裝時若套件需要從另一個主機下載，也可能因第二段連線未經代理而失敗。
TUN 的工作位置更接近作業系統網路層，能接管更多未明確設定代理的程式。不過，TUN 不會自動修正錯誤的分流規則、失效的節點或套件登錄檔設定；流量被接管後，仍需由 DNS 解析和規則決定走向。若 TUN 關閉時 npm、pip 已能透過正確的代理環境變數穩定下載，未必需要再開啟 TUN。
| 方式 | 適用情境 | 檢查重點 |
|---|---|---|
| 系統代理 | 應用程式會遵循系統代理設定 | 確認系統代理已啟用，並觀察連線是否進入 Clash |
| 終端機代理變數 | 只想讓特定終端機工作階段使用代理 | 確認 HTTP_PROXY、HTTPS_PROXY 等變數格式及連接埠 |
| TUN 模式 | 程式不讀取系統代理，或子程序連線難以逐一設定 | 確認核心支援、管理員權限、路由與 DNS 設定 |
小撇步
一次只調整一種代理方式。若同時開啟 TUN、系統代理，又在終端機設定代理變數，可能造成重複轉送或難以判斷實際路徑；排查時先簡化設定。
2啟用 TUN 前的權限與 DNS 檢查
以下步驟以 Clash Verge、Clash Verge Rev 等使用 Mihomo 核心的桌面客戶端為例。不同版本的選單名稱可能略有差異，請以目前安裝版本的介面為準。若你使用的是其他客戶端，先確認它所搭配的核心是否支援 TUN，再依該客戶端文件操作。
- 更新或選擇支援 TUN 的 Mihomo 核心，並確認訂閱設定已成功載入。若核心啟動失敗，先查看客戶端日誌中的錯誤訊息。
- 在客戶端設定中找到「TUN 模式」並啟用。部分系統會要求安裝或建立虛擬網路介面，或以管理員／系統管理權限執行；只在可信任的客戶端上授予必要權限。
- 確認 TUN 狀態顯示已啟動，再查看路由、DNS 和核心日誌。不要只以開關顏色判斷成功，部分客戶端在權限不足時會啟用失敗或立即停止。
- 先選擇一個已確認可用的代理策略組或節點，並確認規則模式下的預設規則沒有把套件網站錯誤地導向不可用的
DIRECT或其他策略。 - 開啟 Clash 連線紀錄，稍後執行 npm、pip 測試，確認相關網域出現在紀錄中，且命中的策略符合預期。
DNS 與規則不要忽略
套件工具連線前必須先解析登錄檔或下載主機的網域。若終端機出現名稱解析失敗，而瀏覽器正常，請留意 TUN 的 DNS 接管設定、系統 DNS 快取，以及自訂規則是否有攔截解析請求。不同網路環境對 DNS 模式的相容性不同，不建議直接複製不明來源的完整 DNS 設定；先檢查客戶端日誌和實際查詢結果，再按需要調整。
在規則模式下，npm 常會連到設定的套件登錄檔，安裝過程也可能存取其他套件資訊或檔案主機。pip 則可能連到自訂套件索引，或由索引頁面提供不同主機的下載網址。因此，測試時不要只看登錄檔首頁能否開啟，也要觀察安裝過程中實際連線的網域。若使用公司或團隊維護的內部鏡像，依其文件確認應走直連還是代理。
3實測 npm 與 pip 下載路徑
啟用 TUN 後，先在終端機查看客戶端的連線紀錄，再執行下列不會安裝套件的檢查。指令可協助確認工具、版本與套件來源；不同 npm、pip 版本或自訂設定可能讓輸出略有差異。
檢查 npm 設定並查詢套件
npm config get registry 可確認目前使用的登錄檔；npm view 會向登錄檔查詢套件資訊。若查詢成功，但實際安裝仍失敗，請留意錯誤訊息中的下載網域，並在 Clash 連線紀錄中確認該連線是否被接管。若先前手動設定過 npm 代理，檢查設定是否指向有效的本機代理連接埠；過期的代理位址可能使請求即使經過 TUN 仍失敗。
檢查 pip 設定並安裝測試套件
支援 --dry-run 的 pip 版本可用它檢查解析與相依資訊，而不進行一般安裝；若你的版本不支援此選項，可省略該參數，改用一個可信任且已審查的套件進行短測試。安裝指令會依目前 pip 的索引設定運作，請先確認 pip config list 沒有指向無法使用的索引或代理。
若要明確驗證「TUN 是否有接管流量」，可先關閉終端機中的手動代理變數，只保留 TUN，再執行測試並觀察 Clash 紀錄；測試完成後再恢復原有設定。若連線紀錄沒有出現相應請求，應優先檢查 TUN 是否真正啟動、作業系統路由是否切換，以及終端機是否使用了與預期不同的網路環境。
判斷是否成功
至少確認三件事：命令列測試有回應、Clash 紀錄看得到實際連線、npm 或 pip 使用的索引設定正確。單純能開啟一個網站，不代表套件安裝涉及的所有下載主機都已正常。
4常見錯誤與逐項排查
| 現象 | 可能原因 | 建議處理方式 |
|---|---|---|
| 連線逾時或重設 | 策略選到不可用節點、連線未命中預期規則，或遠端主機暫時無法連線 | 確認節點可用性，查看連線紀錄和命中策略，再單獨測試套件索引 |
| 找不到主機或名稱解析失敗 | DNS 查詢失敗、快取過期，或 TUN DNS 設定與目前網路不相容 | 檢查客戶端 DNS 狀態與系統解析結果，清除快取後重試；一次只改一項 DNS 設定 |
| npm 或 pip 使用錯誤索引 | 曾設定自訂 registry、index-url、額外索引或組織內部鏡像 | 執行設定查詢指令，確認目前索引符合專案文件，再決定是否還原設定 |
| 權限錯誤或 TUN 啟動失敗 | 虛擬介面建立權限不足、核心不相容，或另一個 VPN／網路過濾工具發生衝突 | 查看客戶端日誌與系統權限提示，暫停衝突工具後逐項驗證；避免長期以最高權限執行終端機 |
建議採用由外而內的排查順序：先確認代理節點能正常使用，再確認 TUN 已建立並接管路由，接著確認 DNS 能解析套件索引，最後檢查 npm、pip 的個別設定。若關閉 TUN 後問題消失，代表可能是路由、DNS 或網路工具衝突；若只有某個套件失敗，則應比較該套件使用的登錄檔與額外下載網域。
排查時可暫時切換到直連或已知可用的策略做對照，但不要長期停用防護功能，也不要把含有帳號密碼的代理網址貼到公開日誌或求助貼文。公司設備還可能套用管理政策，修改系統網路或安裝虛擬介面前，請先確認是否需要管理員核准。
常見問題 FAQ
開啟 TUN 後，還需要設定 npm 的 proxy 嗎？
不一定。TUN 的目的之一，是接管不會自行讀取代理設定的應用程式流量。若已透過 TUN 正常連線，通常不必再為 npm 設定代理。若網路環境要求使用明確的 HTTP 代理，則依服務或組織文件設定，避免代理變數與 TUN 設定互相衝突。
為什麼瀏覽器正常，pip 還是無法下載？
瀏覽器可能遵循系統代理，而 pip 使用不同的索引、代理設定或下載主機；也可能是終端機沒有被 TUN 接管。請查看 pip 設定、完整錯誤訊息和 Clash 連線紀錄，確認實際失敗的主機與流量策略。
所有套件安裝流量都應該走代理嗎？
不一定。公共索引、內部鏡像與套件檔案主機可能適用不同路徑。依你的網路政策和套件來源設定規則即可，不要為求「全都代理」而忽略本地服務、私有索引或安全要求。
升級客戶端後 TUN 突然無法使用，該怎麼辦？
先查看核心版本、TUN 狀態與最新日誌，再確認系統權限和虛擬網路介面是否正常。若同時使用其他 VPN 或網路過濾程式，先檢查是否發生衝突。請不要直接套用來路不明的完整 YAML 設定；以客戶端提供的範例和 Mihomo 對應版本文件為準。
準備好開始設定時，可先取得適用平台的 Clash 客戶端，再依照本文流程逐項驗證。