Подключение

Системный прокси, режим TUN, режимы маршрутизации и что они значат.

Системный прокси

По умолчанию кнопка подключения включает системный прокси (если провайдер не задал другой способ). Приложение прописывает в настройках системы адрес 127.0.0.1 и порт прокси: свой из «Настройка порта», иначе из подписки, иначе 7897. Через него ходят браузеры и большинство программ.

Другой адрес («Хост прокси» в окне «Настройка системного прокси») пишется, только когда включена раздача в локальную сеть — например, для WSL и Docker.

Это самый простой режим: права администратора не нужны, сеть целиком не затрагивается, при выходе из приложения настройка снимается.

При запуске приложение само не подключается — для этого есть «Подключаться при запуске» (по умолчанию выключено).
Чужой прокси, прописанный другой программой, приложение не трогает, а при выключенном переключателе ничего в систему не пишет.
Защита прокси. Если прокси сняли руками, по умолчанию он так и останется снятым. Переключатель «Защита прокси» в окне «Настройка системного прокси» (Настройки → Настройки системы, шестерёнка у «Системный прокси») возвращает его раз в «Период защиты» (по умолчанию 30 с).

Программы, которые не смотрят на системный прокси (некоторые мессенджеры, игры, консольные утилиты), через него не пойдут. Для них есть TUN.

Режим TUN

TUN создаёт виртуальный сетевой адаптер и перехватывает трафик всех программ. Включается переключателем «TUN» в быстрых действиях (расширенный режим), «Режим TUN» в Настройки → Настройки системы или в меню трея. Эти же переключатели задают, что включает кнопка подключения.

Если провайдер запер режим и задал способ подключения, в быстрых действиях вместо переключателей видно «… — способ подключения задан провайдером», а в настройках у оставшегося переключателя — «Задан провайдером».

Для TUN нужна фоновая служба с правами системы. На Windows её ставит установщик, на Linux — пакет, на macOS она ставится при первом включении после одного запроса пароля. Само приложение остаётся обычной программой без особых прав.

Переключатель показывает факт, а не настройку: если ядро не смогло поднять адаптер, TUN гаснет, а под кнопкой появляется строка с причиной и кнопкой «Настроить». Подъём получает три попытки. Сразу после включения приложение проверяет, что трафик действительно идёт через туннель, и предупреждает, если нет.

Стек

В окне «Режим TUN» (шестерёнка у переключателя «Режим TUN» в настройках) выбирается стек: gvisor, system, mixed или mips. «Auto» — стек из подписки, а если его там нет — gvisor. mips — собственный стек Mihomo; как и gvisor, он не открывает локальный слушатель.

TUN на Windows

Стеки system и mixed открывают локальный слушатель, и брандмауэр Windows может резать входящие подключения к ядру — трафик молча пропадает. Установщик сам добавляет правила брандмауэра для обоих ядер. Если правила нет (например, его удалил антивирус), на главной появится предупреждение с кнопкой «Починить» — один запрос прав. Сторонний брандмауэр приложение не чинит: в нём ядро нужно разрешить вручную.

Поэтому system и mixed из подписки на Windows не берутся — выберите их в диалоге TUN сами, если нужно.

Если при включении TUN приложение сообщает, что адаптер занят другим клиентом — на компьютере запущен другой VPN-клиент на том же драйвере (или он не освободил адаптер после закрытия). Закройте его или перезагрузите компьютер.

TUN на Linux

Пакет регистрирует службу в systemd при установке. Если служба остановлена, приложение запускает её через pkexec; если polkit не установлен, вы увидите понятную ошибку с командой для ручной установки службы:

sudo /usr/bin/clash-verge-service-install

На Fedora и других системах с SELinux нужные метки ставятся автоматически.

Режимы маршрутизации

Пилюля под кнопкой показывает режим:

По правилам — трафик делится по правилам из подписки: что идёт напрямую, а что через сервер, решает провайдер. Обычный режим.
Глобальный — всё через сервер.
Прямой — ничего через сервер (удобно, чтобы быстро проверить, «это VPN виноват или нет»).

Нажатие на пилюлю открывает настройки; сам режим меняется в Настройки → Продвинутые настройки → Настройки Clash → «Режим маршрутизации», на странице «Прокси», в меню трея (подменю «Исходящие режимы» или сами пункты режимов, если включён их показ в строку) или горячей клавишей.

Пока вы режим не выбирали, он берётся из подписки, а если там не указан — «По правилам». Ваш выбор запоминается отдельно для каждой подписки и переживает её обновление. Провайдер может закрепить режим заголовком — тогда выбора нет. Ограничение снимется, когда панель перестанет его присылать или при удалении подписки, а временное — ещё и если подписка несколько дней не обновлялась.