高墙之外❤️

PassWall2 TUN 模式怎么开？先核对版本与全局接管条件

更新于 2026-10-30 · passwall.lol

简答：PassWall2 是否能在你的设备上直接开启原生 TUN，不能仅凭安装了 sing-box 就下结论。先核对 PassWall2 页面是否出现 TUN 或内核 TUN 入口、系统是否有 kmod-tun，再用普通透明代理验证节点，最后才测试全局接管、UDP、DNS 和局域网访问。

定义：TUN 是由操作系统提供的虚拟三层网络接口，用于把经过路由表的 IP 流量交给用户态核心处理；它不等同于 PassWall2 的透明代理、TPROXY、REDIRECT 或规则分流。

先看结论：PassWall2 TUN 不能直接按教程照抄

截至 2026 年 10 月 30 日，PassWall2 官方仓库发布页列出的最新版本是 26.10.29-1，发布于 2026 年 10 月 29 日；该条目列出的 sing-box 版本为 1.14.4。较早的 26.10.1-2 发布于 2026 年 10 月 2 日，条目中列出的 sing-box 版本为 1.14.2。版本不同，菜单、生成配置和核心依赖都可能不同，应先以对应 release 条目为准：查看 PassWall2 官方发布页。

要核对的层级它能说明什么不能直接说明什么
PassWall2 LuCI 页面当前安装包是否提供 TUN、透明代理、TPROXY 或全局转发入口不能因为核心支持 TUN，就断定页面一定有该开关
sing-box 或 Xray 核心该核心本身支持哪些入站、路由和流量接管能力不能证明 PassWall2 已经把这些字段接入 LuCI
OpenWrt 系统与内核是否具备 TUN 设备、路由策略和防火墙条件不能保证节点、DNS、UDP 或 IPv6 已经正常

官方仓库的默认配置文件可以看到 PassWall2 的转发配置包含 tcp_redir_ports、udp_redir_ports、tcp_proxy_way 等字段，但这只能作为源码层面的字段核对，不能据此证明所有版本都没有原生 TUN，也不能替代你在当前 LuCI 页面中检查入口。查看官方默认配置文件。

TUN、TPROXY、REDIRECT 和全局模式不是一回事

名称流量路径适合先解决的问题主要限制
TUN系统路由把 IP 流量送入虚拟 TUN 接口，再由核心处理希望覆盖更多三层流量、UDP 或部分传统透明代理难以接管的场景需要核心、内核、路由和防火墙共同支持；配置错误可能导致回环或断网
TPROXY防火墙标记并保留目标信息，再交给透明代理端口需要透明处理 TCP/UDP 且希望保留目的地址的场景依赖防火墙规则、策略路由和核心实现
REDIRECT防火墙把流量重定向到本机代理端口先验证 TCP 网页访问和基础代理并非所有 UDP、QUIC 或特殊应用都能按相同方式接管
全局模式通常是规则选择上的“默认走代理”，不代表自动建立 TUN切换默认节点或默认代理策略仍可能受 LAN、DNS、IPv6、绕过规则和应用协议影响

sing-box 官方文档说明，TUN 的 auto_route 用于把默认路由设置到 TUN，Linux 上还推荐配合 auto_redirect；这描述的是 sing-box 核心能力，不等于 PassWall2 当前界面已经提供相同字段。查看 sing-box TUN 官方字段说明。

配置前置条件：先备份，再确认设备真的满足条件

  1. 记录版本。在 LuCI 中记下 OpenWrt 或兼容固件版本、PassWall2 版本、实际使用的核心名称和核心版本。不要只记录“已安装 PassWall2”。
  2. 备份配置。导出系统配置，至少记录 LAN 网段、WAN 接口、DNS、IPv6、DHCP 和防火墙自定义规则。首次测试最好准备实体网络或串口回滚方式，避免开启全局接管后无法访问管理页面。
  3. 检查 TUN 设备。SSH 执行：ls -l /dev/net/tun。如果路径不存在，再检查内核模块：opkg list-installed | grep kmod-tun；使用 APK 包管理器的系统则执行：apk info -e kmod-tun。OpenWrt 将 kmod-tun 定义为 TUN/TAP 内核支持包，但包版本需匹配当前内核，不能跨内核随意安装。查看 OpenWrt kmod-tun 包资料。
  4. 确认页面入口。在 PassWall2 页面中搜索或逐项查看“基本设置、节点、分流、透明代理、访问控制、DNS、其他设置”等区域。如果只有 TCP/UDP 转发端口、REDIRECT、TPROXY、规则模式等入口，就先按透明代理验证，不要手工把 sing-box 文档字段粘贴进 PassWall2 配置。
  5. 先跑通普通代理。只选一个已知可用节点，暂时关闭复杂分流、IPv6、QUIC 和自定义 DNS，验证路由器自身或一台测试设备能否通过 TCP 访问目标服务。

最短可回滚流程：先普通代理，再确认是否存在原生 TUN

  1. 在 PassWall2 中导入订阅或节点，并检查节点地址、端口、协议、TLS、传输方式和服务器名称是否完整。节点导入成功不代表核心已经启动。
  2. 选择一个节点，启用 PassWall2 主开关，先使用默认透明代理或页面明确提供的 TCP/UDP 转发方式。保存并应用后，查看运行状态和日志，确认核心进程没有立即退出。
  3. 只让一台测试设备使用路由器作为网关，先验证普通网页、DNS 解析和路由器后台访问。不要一开始就把所有 LAN 设备、IPv6 和远程私网访问同时纳入。
  4. 如果当前页面存在明确的 TUN 入口，再检查它是否要求指定核心、启用 TUN、自动路由、自动重定向、DNS 劫持或排除接口。每改一项就保存一次，并记录原值。
  5. 启用后检查：ip link show 是否出现 TUN 相关接口；ip rule 和 ip route 是否出现新增策略；logread | grep -i -E 'tun|route|redirect|tproxy|dns' 是否有启动错误。命令只能证明接口或规则存在，不能单独证明全部流量已经通过代理。
  6. 验证完成后，逐步恢复分流规则、国内直连、LAN 直连、IPv6 和 UDP。发现断网时，先关闭 PassWall2 主开关或取消刚启用的 TUN 选项，再恢复备份配置。

如果页面没有 TUN 入口，不建议通过修改生成文件强行加入 tun、auto_route 或 auto_redirect。当前公开讨论中，用户仍在询问 PassWall2 是否支持 sing-box TUN，这说明“sing-box 支持 TUN”和“PassWall2 已提供原生 TUN 配置”之间必须分开核实。查看 PassWall2 关于 sing-box TUN 的公开讨论。

全局接管后的验证清单：不要只测一个网页

检查项怎么测失败时先看什么
TCP测试多个网页或应用，并查看 PassWall2 日志是否有对应连接节点、域名解析、规则组和 TCP 转发端口
UDP使用明确依赖 UDP 的应用或工具，再结合核心日志判断是否有 UDP 会话UDP 转发端口范围、防火墙、核心协议与路由规则
QUIC/HTTP3在应用允许的情况下分别比较启用和禁用 QUIC 的结果不要把 TCP 网页正常当作 QUIC 已接管
DNS查看客户端实际 DNS、路由器监听端口和 PassWall2 日志DNS 劫持、直连 DNS、LAN 地址冲突和 IPv6 DNS
IPv6单独关闭 IPv6 做对照，再决定是否纳入代理IPv6 路由、核心支持、规则覆盖和防火墙
LAN 与 NAS访问路由器管理地址、NAS 和打印机地址私网排除规则、LAN 防火墙区域、回程路由和 SNAT

不要用“能打开一个网页”“端口正在监听”或“ping 成功”作为完整可用性证明。它们分别只能说明某一层面的现象，不能证明 TCP、UDP、DNS、IPv6 和局域网流量都已按预期处理。

常见故障分流：按现象撤销最近一次改动

  • 开启后所有设备断网：先关闭主开关或取消 TUN/自动路由，恢复到单设备透明代理；再检查默认路由、策略路由和核心日志，避免继续叠加 DNS 或 MTU 修改。
  • 网页正常但 UDP 或 QUIC 不通：确认当前模式是否只做 REDIRECT，检查 UDP 转发范围和防火墙规则；如果页面没有 TUN 或明确 UDP 接管入口，不要把 sing-box TUN 参数直接套入。
  • DNS 超时或解析结果异常：先固定一个可验证的直连 DNS 和远程 DNS，检查路由器 LAN 地址是否被当作上游 DNS，同时暂时关闭 IPv6 DNS 进行对照。
  • 路由器后台或 NAS 无法访问：把管理网段、LAN 网关和 NAS 地址加入直连或排除范围，确认返回流量仍经由原 LAN 接口。远程访问私网时，还要核对回程路由、防火墙区域和是否需要 SNAT；没有实际拓扑时，不要照搬固定规则。
  • 速度下降、CPU 占用升高：先关闭日志、减少并发测试设备和复杂规则，比较普通透明代理与 TUN 的资源变化。不要仅凭一次测速判断核心或模式优劣。
  • 改 MTU 后更差：撤销 MTU 修改，先确认是否存在明确的分片、握手或特定链路问题，再逐步调整；MTU 变化会影响整个接口或路径，不应作为第一步。

回滚与版本核对：升级后不要沿用旧截图

  1. 在升级前导出 PassWall2 和 OpenWrt 配置，保存节点订阅来源、当前核心版本和自定义 DNS/防火墙设置。
  2. 升级后先查看官方 release 的版本号、发布日期、安装包格式、架构资产和 SHA-256；官方发布页在 26.10.29-1 条目中同时列出了 APK、IPK 资产及校验值，不能把不同包管理器的文件混用。
  3. 升级后重新检查页面入口和生成日志，不要根据旧文章判断当前版本是否存在 TUN。以 26.10.29-1 为例，官方条目列出的 sing-box 是 1.14.4；26.10.20-1 则列出 1.14.3，26.10.1-2 列出 1.14.2，核心版本差异需要单独记录。
  4. 如果新版本导致无法启动，先停用 PassWall2，恢复备份；若是包依赖问题，回到与固件、架构和包管理器匹配的版本，不要只替换一个核心文件。

本文是第三方使用指南，本站不代表 PassWall2 项目，也不把未核实的界面能力写成确定结论。对于当前设备是否存在原生 TUN 入口，最终以你安装的版本页面、生成配置和启动日志为准。

常见问题

PassWall2 安装了 sing-box，就一定能开启 TUN 吗？

不一定。sing-box 官方文档说明的是核心支持 TUN 的字段和行为；PassWall2 是否把这些能力接入当前 LuCI 页面，还要看具体版本、构建方式和页面入口。请先检查当前页面，再核对启动日志和生成配置。

全局模式是不是等于 TUN 模式？

不是。全局模式通常表示规则默认选择某个代理组或节点，TUN 则是流量进入虚拟接口后的接管方式。全局模式可能运行在透明代理、TPROXY 或其他转发路径上，不能仅凭“全局”两个字判断是否启用了 TUN。

为什么 TCP 网页正常，但 UDP 或 QUIC 失败？

网页测试常常只覆盖 TCP。UDP/QUIC 还受到核心协议、UDP 转发端口、防火墙、策略路由和规则范围影响。应单独验证 UDP，并检查日志中是否出现对应会话；不要直接把 TCP 正常当作全局接管完成。

开启 TUN 后能不能保留 NAS、路由器后台直连？

可以尝试，但要按实际 LAN 网段、接口和防火墙区域配置排除规则，并验证请求与返回流量都走 LAN。若涉及远程访问私网，还需检查回程路由和 SNAT；没有拓扑信息时，不建议复制固定 IP 或固定接口规则。

没有 TUN 入口，还要不要继续配置？

先用页面明确提供的透明代理或 TPROXY 跑通基础 TCP，再确认是否确实需要 TUN。若需求只是规则分流、国内直连、路由器后台和单设备连接，透明代理可能已经足够；若必须覆盖特定 UDP/QUIC 场景，则应选择页面和核心都能明确证明支持的方案。

常见问题

PassWall2 安装了 sing-box，就一定能开启 TUN 吗？

不一定。核心支持 TUN 不代表 PassWall2 当前页面已经提供原生 TUN 入口，必须核对具体版本的 LuCI 页面、生成配置和启动日志。

全局模式是不是等于 TUN 模式？

不是。全局模式通常是规则选择方式，TUN 是流量进入虚拟接口后的接管路径，两者可能同时出现，也可能单独使用。

为什么 TCP 网页正常，但 UDP 或 QUIC 失败？

TCP 测试不能证明 UDP 或 QUIC 已接管，应单独检查 UDP 转发、防火墙、策略路由、核心协议和日志。

开启 TUN 后如何保留 NAS 和路由器后台直连？

将实际 LAN 网段、管理地址和 NAS 地址加入直连或排除范围，并验证请求与返回流量都经过 LAN；远程私网访问还需核对回程路由和 SNAT。

相关阅读

参考资料

  1. PassWall2 官方 GitHub Releases：版本、发布日期、核心版本与安装包校验值
  2. PassWall2 官方 GitHub 仓库：项目定位与安装说明
  3. PassWall2 官方默认配置文件
  4. sing-box 官方 TUN 入站配置说明
  5. OpenWrt 官方 kmod-tun 包资料（openwrt.org）
  6. PassWall2 官方仓库关于 sing-box TUN 支持的公开讨论