先确认问题确实由 TUN 触发

同一台电脑、同一个 Wi-Fi、同一台 NAS，关闭 TUN 时能访问，打开后立即失败，这才是有价值的对照。如果在关闭 TUN 后仍无法访问，应先查设备是否在线、IP 是否变化、访客网络隔离和共享服务，而不是修改代理规则。

请在自己的网络或管理员允许的范围内操作。公司内网常有专门的 VPN、DNS 与路由配置；贸然把大段地址排除在企业隧道之外，可能使办公资源失联。先备份配置，记下系统原有的 VPN 连接。

第一步：找到实际 IP，区分“打不开”和“找不到”

Windows PowerShell：只读查看网络与路由
ipconfig
route print -4
macOS：查看默认网关和 IPv4 路由
route -n get default
netstat -rn -f inet

在路由器的设备列表或 NAS 自身面板查看它的真实 IPv4，例如 192.168.50.20；这个地址只是示例。先访问该设备原本使用的地址和端口，再用原来的主机名访问。HTTPS 的证书可能只签给域名，因此改用 IP 后出现名称不匹配，不等于路由不通，也不应为此关闭证书验证。

测试结果更可能的方向
设备 IP 可达，名字不可达本地域名解析、mDNS 或 DNS 接管
IP 和名字都不可达，仅 TUN 开启时失败路由、严格路由或过滤器
网页面板可开，但自动发现列表没有设备广播/组播发现与不同子网
TUN 关闭后也失败网络隔离、设备地址、服务或防火墙

第二步：检查连接最终走的是哪条规则

打开客户端连接列表，再访问一次 NAS。若私有网段的流量进入海外代理策略组，应让该设备或实际网段直连。规则一般自上而下匹配，例外规则需要位于会提前命中的广泛规则之前；全局模式下规则可能不会按你的设想生效。

Mihomo 规则片段示例；合并到现有 rules 中，不是完整配置
rules:
  - IP-CIDR,192.168.50.0/24,DIRECT,no-resolve
  # 下面保留你原有的其他规则

这里假设家中确实使用 192.168.50.0/24。不能因为示例能复制就照搬网段。如果只需修复一个设备，可先以它的 /32 地址做最小范围测试。订阅更新可能覆盖直接编辑的文件，应使用客户端提供的覆写、合并或持久规则入口，并在更新后复查。

第三步：需要绕过 TUN 时，再考虑路由排除

DIRECT 表示流量进入代理内核后从直连出口发送，不等于绕过 TUN 网卡。某些发现协议或本地服务仍受 TUN 路由影响时，可以按内核文档配置排除实际网段。先尝试客户端现有的“绕过局域网”选项；没有该项再考虑配置。

Mihomo TUN 片段示例；合并到现有 tun 对象
tun:
  enable: true
  auto-route: true
  route-exclude-address:
    - 192.168.50.0/24

不同内核字段并不通用：Mihomo 使用 route-exclude-address，sing-box 使用 route_exclude_address。不要把两种示例拼在一起。排除网段会使该网段不经过相应 TUN 接管，因此应准确限定范围；别为了一个打印机把所有 10.0.0.0/8 和 172.16.0.0/12 都盲目排除。

不要混淆两个名称相近的开关

“允许局域网连接 / allow-lan”通常指允许其他设备连接本机的 HTTP/SOCKS 代理监听端口，不是允许本机访问局域网。为修打印机把它打开，可能只是额外暴露一个代理入口，且对问题没有帮助。

严格路由用于加强接管和减少绕行，但也可能影响虚拟机等场景。只在确认冲突后做一次关闭对照，测试后恢复原值。不要同时关闭所有防火墙。打印机能按 IP 添加但不能自动发现时，还要看组播、网络隔离及设备是否在同一子网；普通代理规则不负责把广播转发到另一个网络。

验证、持久化和恢复

  1. 在 TUN 开启的情况下，分别验证路由器后台、NAS 文件访问、打印测试页和外网访问。
  2. 更新一次订阅或重启客户端，确认局域网例外规则仍存在。
  3. 若调整无效，恢复备份的规则与 TUN 选项，记录哪项对照改变了结果，再继续检查 DNS 或系统过滤器。