在 Windows 上开 Tun、装驱动、或看到「需要管理员 / 服务未安装」一类提示时，背后多半是 Service Mode（服务模式）。它不是又一个代理开关，而是让 Clash Verge Rev 以系统服务方式拿到足够权限，去创建虚拟网卡、接管本机流量。很多人把 Tun 失败、开机代理偶发、核心通信异常，都误判成「节点坏了」——先查服务有没有装好，往往更省时间。
Tun 本身见Tun 模式、Tun 启动失败；安装包走下载中心。模式选择见三种模式；端口手填后备见混合端口。这里讲：服务解决什么、何时必须装、何时可跳过、安装与验收、公司机 / 杀软 / VPN 冲突，以及何时别再重装服务。
服务模式到底修什么
系统代理只影响「愿意读系统代理设置」的程序。游戏、部分命令行、部分 IM / AI 工具会无视它。Tun 要用虚拟网卡兜住这些流量，在 Windows 上通常需要提升权限；服务模式把这份权限做成可持久的系统服务，而不是每次「以管理员运行」碰运气。
没有服务或服务异常时，常见表现：Tun 开关失败、提示权限不足、虚拟网卡创建失败、核心通信错误、休眠唤醒后 Tun 起不来。浏览器走系统代理仍可能正常，于是你会觉得「一半能用一半不能用」——这更像服务 / Tun 层，而不是机场全挂。唤醒专项见休眠唤醒断网；通信横幅见内核通信错误。
何时必须装，何时可以跳过
建议装：你要长期用 Tun；要用 AI CLI / IDE / 游戏等不走系统代理的应用；希望开机后少一次管理员弹窗。
可以暂缓：只用浏览器 + 系统代理就够；公司策略明确禁止安装本地服务或虚拟网卡；你暂时没有管理员权限。
只开系统代理、从不碰 Tun，多数场景不必强行装服务。一旦 Tun 进入日常路径，服务就从可选项变成前置条件。系统代理路径见系统代理不生效；开机自启另见开机代理不生效。
安装、同意管理员，以及验收顺序
- 用可核验安装包安装客户端（下载中心），不要混用来路不明的绿色包。
- 在设置里找到服务模式 / 安装服务入口，按提示以管理员同意安装。杀软若弹拦截，先放行再重试。
- 装完先不要叠开其它 VPN / 游戏加速器。再开 Tun，看是否能保持开启。
- 打开连接页，访问一个平时不走系统代理的应用或站点，确认有新连接记录。
- 关 Tun，确认系统代理仍可用——证明你有回退路径，而不是「一开 Tun 就断网且回不来」。
服务装上但 Tun 仍失败：转到 Tun 启动失败专文，查驱动冲突、残留 TAP、防火墙（见防火墙拦截）。应用内更新半残也可能拖垮服务相关文件，对照应用更新失败。
公司机、杀软与多 VPN
公司镜像常禁本地服务、禁驱动安装，或用 EDR 静默拦虚拟网卡。表现是：你点了安装，界面一闪而过，服务列表里找不到对应项，或 Tun 永远失败。这时个人账号怎么重装都不够，需要管理员策略放行，或换个人环境验证「是不是机器策略问题」。
家用机则要小心叠 VPN：ExpressVPN、公司 SSL VPN、某些加速器会抢网卡与路由表。排障时先退出其它 VPN，只留 Clash，再装服务与开 Tun。占用过高或假死后的服务重启思路见内存 CPU。SmartScreen / 管理员安装提示见SmartScreen 与管理员。同一台机器上午装服务成功、下午被公司推送策略静默卸掉，也会表现为「昨天还能开 Tun」——对照服务列表是否还在，比反复点安装更有用。
止损标准：何时别再重装服务
验收不要只看开关颜色。真正有用的信号是：服务在系统里存在且为运行中；Tun 打开后，一个「平时不走系统代理」的应用能在连接页留下记录；关掉 Tun 后浏览器仍能靠系统代理上网。三条缺一，说明服务或 Tun 层还没就绪。
用命令行确认服务是否存在、是否在运行（名称以你版本为准）：
sc query | findstr /i "clash verge"
Get-Service | Where-Object {$_.Name -match 'clash|verge'}- 服务已安装且能在系统服务列表里看到（名称以你版本为准）。
- Tun 能稳定开启；目标应用流量出现在连接页。
- 关闭 Tun 后，系统代理路径仍可用。
仍失败时：管理员重装服务 → 清其它 VPN/TAP → 放行杀软 → 必要时安全重置配置（先备份订阅）。同一天反复重装服务超过两次仍无连接记录，停手去查驱动冲突与策略，而不是继续点安装。日常排错入口见常见错误索引；干净安装包回下载中心。