直接答案：TUN 启动失败时先关闭 TUN、保留系统代理确认基本连接正常，再检查管理员权限、辅助服务、虚拟接口、其他 VPN 和防火墙。TUN 不是所有场景的必选项，基础代理能用时可以先不启用。
先确认为什么需要 TUN
只有应用不遵循系统代理、需要接管 UDP 或希望统一处理更多流量时，才有必要考虑 TUN。浏览器等常规应用能通过系统代理工作，就先保持简单配置。TUN 会改变路由和 DNS 路径，排查复杂度更高。
权限和辅助服务
Windows 或 macOS 上，创建虚拟接口和修改路由通常需要提升权限或安装辅助服务。使用官方客户端提供的“安装服务”入口，并留意系统提示。不要从论坛下载来源不明的驱动。安装后重启客户端，查看日志是否从 permission denied 变为正常创建接口。
排除 VPN、虚拟网卡和防火墙冲突
退出其他 VPN、加速器、抓包工具和会修改路由的软件，再测试 TUN。检查安全软件是否拦截 Mihomo 内核或服务。若设备中残留多个虚拟网卡，不要盲目删除；先在设备管理器或网络设置中确认来源，并优先使用对应软件的卸载流程。
检查 TUN 配置和堆栈
配置至少要符合当前 Mihomo 语法。不同系统可使用 system、gVisor 或 mixed 堆栈，默认值和推荐项会随内核文档更新。先使用客户端默认设置验证，再根据兼容性调整。详细差异见Mihomo TUN 堆栈选择。
收集日志再处理
记录客户端版本、内核版本、系统版本和完整错误行。常见线索包括权限拒绝、接口已存在、路由添加失败、服务不可用和端口占用。只截取必要日志并隐藏订阅、节点密码和本地用户名。
常见问题
TUN 和系统代理可以同时开吗？
不少客户端允许同时开启，但是否需要取决于实现。排查时建议一次只验证一种接管方式，避免重复代理。
每次启动都要求管理员权限正常吗？
取决于客户端是否正确安装辅助服务。应查看该项目官方说明，不要用关闭系统安全机制的方式规避。
开启 TUN 后局域网设备访问失败怎么办？
检查路由、绕过局域网、strict-route 和防火墙设置，先关闭 TUN确认问题是否由接管范围变化引起。
参考资料
内容说明：本文由 HowOClash 编辑部根据项目官方文档与公开发布记录整理，没有使用虚构测速、评价或排名。软件界面和版本可能变化；发现步骤失效时，请以官方资料为准，并查看内容与测试说明。
