实测导读与核心结论（TL;DR）： 代理技术在操作系统层面主要存在两个维度的实现：应用层代理（L7，如 Windows 注册表代理设置）与网络层虚拟网卡（L3，TUN 模式）。系统代理依赖应用程序自觉调用 SOCKS5/HTTP 接口，无法接管 ICMP、原生 UDP 及未适配代理的底层进程；而 TUN 模式（如 Wintun / utun） 直接向操作系统注册一张虚拟网络适配器，通过在系统路由表中添加默认高优先级路由（
0.0.0.0/1与128.0.0.0/1），将整机所有三层原始 IP 数据包无差别吸入代理内核，配合用户态网络协议栈（gVisor / lwIP）重组为 TCP/UDP 流量转发。这是终端、开发工具与外服游戏实现真正透明出海的终极架构。
1. 计算机网络栈中三种代理方式的技术本质
[应用层 Application Layer 7] --> 浏览器、部分桌面软件 (依赖系统代理设置)
│
[传输层 Transport Layer 4] --> SOCKS5 代理接口 (TCP / UDP 端口转发)
│
[网络层 Network Layer 3] --> TUN 虚拟网卡 (直接拦截原始 IP 数据包) ★
│
[链路层 Data Link Layer 2] --> TAP 虚拟网卡 (处理以太网帧 Ethernet Frames)
- TUN vs TAP：TUN 工作在第三层（IP Packet），无需处理复杂的以太网广播包与 MAC 地址解析，CPU 占用与延迟远优于传统的 TAP 网卡；
- 无感接管：只要一个程序能发出网络数据包，无论它是否支持设置代理，都会被 TUN 强制透明分流。
2. 路由表接管技巧：0.0.0.0/1 与 128.0.0.0/1 的魔法
如果直接将默认网关 0.0.0.0/0 指向 TUN 虚拟网卡，会导致原本用于连接海外代理服务器的物理网卡流量也陷入回路死锁。
现代代理内核（Mihomo / Sing-box）采用巧妙的最长前缀匹配原则（Longest Prefix Match）：
- 添加路由
0.0.0.0/1（覆盖0.0.0.0~127.255.255.255）； - 添加路由
128.0.0.0/1（覆盖128.0.0.0~255.255.255.255）。
由于 /1 的掩码长度大于物理网卡的默认路由 /0，系统在查找路由时优先走 TUN 虚拟网卡；而对于直连专线服务器的真实公网 IP，单独添加一条带掩码 /32 的特定路由直接指向物理网关，完美规避路由死锁。
配合高规格企业专线（如 光速云 2.5Gbps 双向 IEPL 专线），数据包在进入 TUN 虚拟网卡后立即封装进入企业光纤，实现毫秒级端到端投递。
3. 蜂巢式关联与扩展阅读矩阵
- 客户端实操落地：在桌面端开启 TUN 模式，参考 Clash Verge Rev TUN 模式与虚拟网卡深度调优；
- 驱动故障排障：Wintun 驱动报错修复，查看 Windows 平台 Wintun 驱动故障修复指南；
- DNS 安全机制：Fake-IP 与 DNS 泄漏深度防护，查阅 DNS 污染与 DNS 泄漏深度防护教程；
- 专线物理架构：了解专线底层物理光纤原理，参考 IPLC 跨国点对点内网专线原理全景剖析。