Windows에서 Clash Verge Rev TUN 모드 켜는 법과 설정 순서

TUN 모드가 필요한 이유와 기본 원리

Clash Verge Rev의 시스템 프록시와 TUN 모드는 비슷해 보이지만 트래픽을 넘겨받는 범위가 다릅니다. 시스템 프록시는 Windows 설정에 등록된 HTTP 및 SOCKS 프록시 주소를 따르는 애플리케이션의 요청만 Clash로 전달합니다. 브라우저나 일부 데스크톱 프로그램처럼 시스템 프록시를 따르는 앱에는 편리하지만, 자체 네트워크 스택을 사용하는 프로그램, 게임, 명령줄 도구, 일부 업데이트 모듈의 연결까지 모두 처리하지는 못합니다.

TUN 모드는 가상 네트워크 인터페이스를 만들고 운영체제의 라우팅 경로를 조정해 더 넓은 범위의 IPv4 및 IPv6 트래픽을 Clash로 넘깁니다. Clash는 이 트래픽을 mihomo 커널의 규칙과 DNS 모듈로 분석한 뒤 DIRECT, 프록시 그룹, REJECT 중 하나를 선택합니다. 따라서 애플리케이션에 프록시 설정이 없어도 규칙 기반 분기를 적용할 수 있다는 점이 핵심입니다.

다만 TUN을 켠다고 모든 연결이 자동으로 프록시를 통과하는 것은 아닙니다. 현재 선택한 모드가 Rule인지 Global인지, 규칙의 마지막 출구가 무엇인지, DNS 가로채기가 활성화되어 있는지, 다른 VPN이나 보안 프로그램이 가상 어댑터를 차단하지 않는지를 함께 확인해야 합니다. TUN은 기능을 넓혀 주는 네트워크 계층이므로, 잘못된 규칙이나 충돌하는 가상 어댑터가 있으면 오히려 연결이 끊길 수 있습니다.

시스템 프록시와 TUN은 서로 다른 기능입니다

웹 브라우저만 프록시로 보내려면 시스템 프록시만으로 충분할 수 있습니다. 여러 프로그램의 TCP·UDP 연결과 DNS 요청까지 한곳에서 처리하려면 TUN을 사용해야 합니다. 두 기능을 동시에 켜도 동작할 수 있지만, 문제를 찾을 때는 한 번에 하나씩 활성화해 경로를 분리하는 편이 좋습니다.

Windows에서 켜기 전 확인할 항목

TUN 설정을 시작하기 전에 Clash Verge Rev가 정상적으로 실행되고, mihomo 기반 프로필이 적용되어 있는지 확인합니다. 프로필을 가져오지 않은 상태에서는 노드와 정책 그룹이 없기 때문에 TUN을 켜도 프록시 연결을 검증하기 어렵습니다. 먼저 프로필을 업데이트하고, 노드 목록에서 실제로 사용할 노드의 지연 시간과 연결 가능 여부를 확인하세요.

관리자 권한: TUN은 가상 네트워크 어댑터와 라우팅 정보를 변경하므로 일반 사용자 권한만으로는 설치 또는 실행이 실패할 수 있습니다. 클라이언트를 관리자 권한으로 다시 실행하거나, TUN을 처음 활성화할 때 표시되는 권한 요청을 허용합니다.
다른 VPN 종료: Windows 내장 VPN, 기업용 보안 터널, 다른 프록시 클라이언트의 TUN 또는 Wintun 어댑터가 동시에 실행 중이면 기본 경로와 DNS가 서로 덮어쓰일 수 있습니다.
네트워크 상태: Wi-Fi와 유선 LAN을 동시에 연결한 경우 어느 인터페이스가 기본 경로인지 확인합니다. 자동 인터페이스 감지가 잘못되면 트래픽이 사용하지 않는 어댑터로 전달될 수 있습니다.
방화벽 승인: Windows Defender 방화벽이 Clash Verge Rev 또는 mihomo의 네트워크 통신을 차단하지 않아야 합니다. 알림이 표시되면 현재 사용하는 네트워크 유형에 맞게 허용하고, 회사나 공공 네트워크에서는 보안 정책을 먼저 확인합니다.
절전과 자동 실행: 노트북에서 절전 후 네트워크가 복구되지 않는 문제가 있으면 TUN을 껐다가 다시 켜야 할 수 있습니다. 항상 켜둘 목적이라면 시작 프로그램 설정과 절전 복귀 동작을 함께 시험합니다.

설정 중 인터넷이 완전히 끊기더라도 당황하지 마세요. Clash Verge Rev에서 TUN을 끄고 시스템 프록시도 해제하면 대부분 원래 경로로 돌아옵니다. 복구를 위해 설정 변경 전 현재 사용 중인 네트워크 어댑터 이름과 기본 DNS를 기록해두면 원인 파악이 쉬워집니다.

Clash Verge Rev에서 TUN 모드 켜는 순서

Clash Verge Rev의 메뉴 명칭과 위치는 버전에 따라 약간 다를 수 있지만, 핵심 옵션은 일반적으로 Settings 또는 설정 화면의 TUN beziehungsweise Service 영역에 있습니다. 아래 순서는 Windows에서 처음 설정할 때 충돌을 줄이는 기준 순서입니다.

Clash Verge Rev를 실행하고 프로필 페이지에서 사용할 구성을 선택합니다. 구성이 로드된 뒤 노드 또는 프록시 그룹에서 연결 가능한 출구를 하나 선택합니다.
설정 화면에서 TUN 모드를 찾고 Enable TUN 또는 이에 해당하는 스위치를 켭니다. 첫 실행이라면 가상 어댑터 설치, 서비스 등록, 관리자 권한 요청이 차례로 나타날 수 있습니다.
권한 요청을 허용한 뒤 잠시 기다립니다. Windows의 네트워크 어댑터 목록에 mihomo 또는 Wintun 계열의 가상 인터페이스가 생성되어야 하며, 생성 직후에는 기존 연결이 잠깐 재협상될 수 있습니다.
가능하면 auto-route를 켜서 기본 라우팅 경로를 자동으로 TUN에 연결합니다. auto-detect-interface는 실제 인터넷에 연결된 물리 네트워크 인터페이스를 자동 선택하는 옵션으로, 노트북처럼 Wi-Fi와 유선 네트워크가 바뀌는 환경에서 유용합니다.
DNS 유출 방지까지 TUN에 맡기려면 dns-hijack에 any:53 또는 클라이언트가 제공하는 기본 DNS 가로채기 항목을 사용합니다. 이 옵션은 UDP 및 TCP 53번 DNS 요청을 Clash DNS 모듈로 보내는 역할을 합니다.
처음에는 stack: mixed 또는 클라이언트의 기본값을 유지합니다. system 스택은 운영체제 네트워크와의 호환성이 좋을 수 있고, gVisor는 별도 사용자 공간 네트워크 처리에 유리하지만 성능과 호환성 차이가 있으므로 문제 해결 단계에서만 바꾸는 것이 안전합니다.
설정 적용 후 TUN 상태가 켜짐으로 표시되는지 확인하고, 시스템 프록시는 먼저 끈 상태에서 테스트합니다. TUN 자체가 작동하는지 확인한 뒤 필요할 때만 시스템 프록시를 추가로 사용합니다.

설정 파일을 직접 편집하는 경우에는 사용 중인 mihomo 버전이 해당 항목을 지원하는지 먼저 확인해야 합니다. 예시는 개념을 이해하기 위한 기본 형태이며, 기존 프로필의 dns와 tun 항목을 통째로 덮어쓰지 말고 중복 키가 생기지 않도록 병합해야 합니다.

tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

dns:
  enable: true
  enhanced-mode: fake-ip
  nameserver:
    - https://example.invalid/dns-query

위 코드의 example.invalid은 실제 서비스 주소가 아닌 문서용 예시입니다. 실제 프로필에서는 제공되는 DNS 주소나 신뢰할 수 있는 설정을 사용해야 하며, 구독 제공자가 DNS 항목을 관리하는 경우 임의로 삭제하지 않는 편이 좋습니다. 특히 TUN 설정과 DNS 설정을 별개로 생각하면 DNS 요청은 로컬로 빠지고 웹 트래픽만 프록시로 가는 불완전한 결과가 생길 수 있습니다.

권장 옵션과 선택 기준

TUN 화면에 여러 옵션이 보인다고 해서 모두 켜야 하는 것은 아닙니다. 각 항목은 서로 다른 문제를 해결하므로 현재 환경에 맞게 선택해야 합니다.

옵션	역할	권장 기준
`enable`	가상 네트워크 인터페이스 활성화	전체 트래픽을 Clash 규칙으로 처리할 때 켬
`auto-route`	TUN으로 라우팅 경로 자동 추가	일반적인 Windows 환경에서는 켬
`auto-detect-interface`	외부 통신에 사용할 물리 인터페이스 자동 선택	Wi-Fi와 유선을 번갈아 쓰면 켬
`dns-hijack`	53번 포트 DNS 요청을 Clash로 전달	DNS 유출 방지가 필요하면 켬
`strict-route`	라우팅을 더 엄격하게 적용	일반 설정 후에도 우회가 남을 때 시험
`stack`	TUN 트래픽 처리 방식 선택	기본값 또는 mixed부터 시작

strict-route는 트래픽이 TUN을 우회하는 상황을 줄이는 데 도움이 되지만, 로컬 네트워크 장치나 회사 내부 주소 접근까지 제한할 수 있습니다. 프린터, NAS, 라우터 관리 페이지가 열리지 않는다면 로컬 대역에 대한 예외 규칙을 확인하거나 strict-route를 잠시 끄고 차이를 비교하세요. 반대로 특정 프로그램만 직접 연결되는 현상이 계속되면 strict-route를 켜고 테스트할 가치가 있습니다.

IPv6를 사용 중인 네트워크에서는 IPv6 처리 여부도 확인해야 합니다. IPv4만 TUN으로 넘기고 IPv6 경로를 그대로 두면 일부 연결이 IPv6로 직접 빠져나갈 수 있습니다. IPv6를 실제로 사용하지 않는 환경에서는 Windows 어댑터와 프로필 양쪽에서 일관되게 비활성화하는 방법이 더 단순할 수 있지만, 회사 네트워크나 다른 장치에 영향을 줄 수 있으므로 변경 전 현재 상태를 기록해야 합니다.

실제 트래픽이 TUN을 통과하는지 확인하기

상태 표시가 “켜짐”으로 바뀌었다는 사실만으로는 충분하지 않습니다. 가상 어댑터가 만들어졌지만 기본 경로가 추가되지 않았거나, 연결은 TUN에 들어왔지만 규칙이 DIRECT로 처리하고 있을 수도 있습니다. 다음 순서로 계층별 검사를 진행하세요.

Clash Verge Rev의 로그를 열고 로그 레벨을 Info 또는 Debug로 설정합니다. 웹 브라우저에서 테스트할 주소를 새로 열어 해당 연결이 어떤 정책 그룹으로 매칭되는지 확인합니다.
현재 모드를 Rule로 두고 노드 그룹을 선택합니다. 검증 중에는 마지막 규칙이 의도하지 않은 DIRECT가 아닌지 확인해야 프록시 경로 여부를 판단할 수 있습니다.
PowerShell에서 ipconfig를 실행해 TUN 가상 어댑터가 표시되는지 확인합니다. 이어서 route print를 실행해 기본 경로와 특수 라우팅 항목이 생성되었는지 살펴봅니다.
브라우저와 시스템 프록시를 따르지 않는 간단한 명령줄 프로그램으로 외부 IP를 확인합니다. 브라우저 결과만 확인하면 브라우저 자체 프록시나 보안 DNS가 개입할 수 있으므로 서로 다른 앱에서 비교하는 것이 좋습니다.
PowerShell에서 nslookup example.com을 실행하고 Clash 로그에 DNS 요청이 나타나는지 확인합니다. fake-ip 모드라면 애플리케이션에 198.18.x.x 대역의 주소가 반환될 수 있으며, 이 주소는 실제 인터넷 서버의 주소가 아니라 Clash가 관리하는 가상 주소입니다.

관찰된 증상	가능성이 높은 원인	우선 조치
브라우저는 되지만 게임이나 명령줄 프로그램은 직접 연결됨	시스템 프록시만 적용되고 TUN 라우팅이 실패함	auto-route, 가상 어댑터, route print 확인
TUN을 켜면 모든 인터넷이 끊김	노드·정책 그룹 오류, 방화벽 차단, 다른 VPN 충돌	TUN을 끄고 충돌 프로그램과 로그를 점검
사이트는 열리지만 DNS 로그가 없음	DNS hijack 미설정 또는 앱이 자체 DoH 사용	dns-hijack와 브라우저 보안 DNS 설정 확인
로컬 프린터와 공유 폴더만 접근 불가	strict-route 또는 로컬 대역 규칙 문제	LAN 대역 DIRECT 예외와 strict-route 비교
IPv6 검사에서 실제 회선 주소가 나타남	IPv6 트래픽이 TUN 경로를 우회함	IPv6 처리 설정을 통일하거나 사용하지 않을 때 비활성화

정상 작동의 판단 기준

가상 어댑터가 존재하고, 외부 IP가 선택한 프록시 출구와 일치하며, 대상 연결이 Clash 로그에 나타나고, DNS 요청도 Clash DNS 모듈에서 처리되면 TUN 경로가 제대로 구성된 것입니다. 단순히 웹페이지가 열린다는 한 가지 결과만으로 정상 여부를 확정하지 마세요.

연결 실패와 반복 해제 문제 해결

TUN을 켠 뒤 문제가 생기면 옵션을 한꺼번에 바꾸지 말고, 변경 범위를 좁혀 원인을 찾습니다. 먼저 TUN을 끄고 인터넷이 회복되는지 확인합니다. 회복된다면 프로필 자체보다 라우팅, DNS, 어댑터 또는 권한 계층에 문제가 있을 가능성이 높습니다.

권한 오류가 계속되는 경우: Clash Verge Rev를 완전히 종료한 뒤 관리자 권한으로 실행합니다. 이전에 생성된 가상 어댑터나 서비스가 비정상적으로 남아 있다면 클라이언트의 TUN 서비스 재설치 기능을 사용하고 Windows를 재시작합니다.
인터넷이 전혀 연결되지 않는 경우: 선택한 프록시 노드가 실제로 연결되는지 시스템 프록시나 일반 모드에서 먼저 확인합니다. 노드가 오프라인인데 TUN부터 점검하면 네트워크 계층 문제로 잘못 판단하기 쉽습니다.
특정 앱만 실패하는 경우: 해당 앱의 프로세스 매칭, UDP 지원, QUIC 사용 여부를 확인합니다. 브라우저가 UDP 기반 HTTP/3를 사용하면 테스트 단계에서 QUIC를 잠시 끄고 TCP 연결 결과와 비교할 수 있습니다.
사이트가 간헐적으로 열리지 않는 경우: fake-ip 필터에 호환되지 않는 도메인이 있는지 확인합니다. 금융, 기업 인증, 게임 런처처럼 IP를 직접 비교하는 앱은 fake-ip 예외가 필요할 수 있으므로 관련 도메인을 fake-ip-filter에 추가한 뒤 다시 테스트합니다.
절전 후 연결이 끊기는 경우: 네트워크 인터페이스가 재생성되면서 기존 라우팅이 오래된 어댑터를 가리킬 수 있습니다. TUN을 껐다가 켜고, 자동 인터페이스 감지를 사용 중이라면 현재 활성 어댑터가 올바르게 선택되었는지 확인합니다.

문제가 해결된 뒤에는 설정을 하나씩 원래대로 되돌려 어떤 옵션이 영향을 줬는지 기록하세요. 특히 stack을 변경한 뒤 성능이 좋아졌다는 이유만으로 모든 환경에 같은 값을 적용해서는 안 됩니다. Windows 버전, 네트워크 카드 드라이버, 보안 소프트웨어, 프로필의 DNS 구조에 따라 결과가 달라질 수 있습니다.

일상 사용을 위한 최종 설정 순서

처음부터 TUN과 시스템 프록시를 모두 켜기보다, 먼저 TUN 하나만으로 전체 경로를 검증한 뒤 필요한 경우 시스템 프록시를 추가하는 순서가 안정적입니다. 일반적인 Windows 환경에서는 다음 구성이 관리하기 쉽습니다.

프로필을 업데이트하고 사용할 프록시 그룹과 노드를 선택합니다.
Rule 모드에서 국내·로컬 트래픽은 DIRECT, 나머지는 원하는 프록시 그룹으로 가는지 확인합니다.
TUN, auto-route, 필요 시 auto-detect-interface를 켭니다.
DNS 모듈과 dns-hijack 설정을 확인하고, 브라우저의 자체 보안 DNS가 별도 경로를 만들지 점검합니다.
외부 IP, Clash 로그, DNS 요청, 로컬 장치 접근을 차례로 테스트합니다.
검증이 끝난 뒤에만 Windows 시작 시 자동 실행이나 TUN 자동 활성화를 설정합니다.

이 순서를 따르면 “프록시는 연결됐는데 특정 앱만 우회하는 문제”, “TUN을 켠 순간 DNS가 실패하는 문제”, “로컬 장치가 사라지는 문제”를 각각 분리해서 확인할 수 있습니다. Clash Verge Rev의 화면에 표시되는 상태와 실제 트래픽 결과가 다를 때는 항상 로그와 Windows 라우팅 테이블을 우선 기준으로 삼으세요.

Clash Verge Rev 설치와 다음 단계

Windows에서 TUN 모드를 사용하려면 먼저 mihomo 커널을 지원하는 Clash 클라이언트를 설치하고, 정상적으로 가져온 프로필을 적용해야 합니다. 설치 파일 선택부터 구독 가져오기, 규칙 모드 확인까지 이어서 진행하려면 다운로드 센터와 초보자용 튜토리얼을 함께 참고하세요.

다운로드 센터 사용 튜토리얼 보기