首次安装 Clash 客户端:跨平台通用初始设置与新手易踩的坑

一、安装包与系统架构

Clash 类客户端通常由图形界面与代理内核组成。界面负责导入配置、管理策略和修改系统设置；内核负责监听端口、匹配规则及建立连接。安装了界面，不等于已经有可用节点，也不等于所有应用都会自动经过代理。

安装失败先看系统提示

• 提示不兼容：对照系统版本与处理器架构，不要连续换几个文件名相近的包试装。
• 提示缺少运行环境：按该客户端的发行说明安装指定运行组件，不要从随机下载站补同名 DLL。
• 提示来源或签名异常：先核对下载来源、发布者和项目说明。安全提示不是统一的“继续”按钮，设备管理策略也不应靠关闭防护来绕过。

Windows 第一次只测试系统代理时，通常不必把整个图形界面长期以管理员身份运行。需要安装服务或创建虚拟网卡时，再处理对应的权限请求。受单位管理的电脑应先确认是否允许安装网络服务。

二、导入订阅与激活配置

常见客户端会提供「配置」「Profiles」或「订阅」入口。先复制服务提供方给出的 Clash 或 mihomo 兼容订阅地址，再使用该页面的「导入」「新建远程配置」或「Download」操作。以旧版 CFW 为例，入口是「Profiles」→ 顶部 URL 输入框 →「Download」；下载完成后，还要点击对应配置卡片，使其成为当前使用的配置。

1. 确认格式：一个普通网页地址、节点分享链接或其他客户端专用订阅，不一定能作为 Clash YAML 配置加载。
2. 确认下载结果：配置列表中应出现新的条目，并显示成功更新的状态。仅保存了 URL、但下载失败，不算导入完成。
3. 确认已启用：切到「代理」或「Proxies」页面，应能看到配置定义的策略组。仍显示空白时，先检查当前选中的配置。
4. 确认内核兼容：如果报错包含未知协议、未知字段或不支持的代理类型，应核对订阅要求的内核，而不是反复点击更新。

订阅下载失败与节点不可用是两件事

下载订阅是在访问配置服务器，测试节点是在通过所选代理访问目标地址。订阅返回 HTTP 401 或 403，优先检查链接有效性、授权或服务方限制；返回一段 HTML，则可能拿到了登录页或错误页。解析器报 YAML 错误时，先确认响应内容确实是配置，不要直接修改缩进碰运气。

部分客户端会保存远程配置的本地副本。手动修改这份副本，下次订阅更新可能覆盖改动。首次初始化先用原配置验证；确实需要自定义规则时，再了解客户端提供的覆写、合并或扩展机制。

三、规则模式与策略选择

配置加载后，先选 Rule（规则）模式，再进入策略组选择一个节点。Global（全局）模式通常把进入内核的连接交给全局策略；Direct（直连）模式则用于直接连接。这里的“全局”描述内核如何处理已收到的流量，不代表没有进入内核的程序也会被接管。

• 手动选择组：常见类型是 select，需要点选节点或下一级策略组。
• 自动测试组：常见类型是 url-test，由配置中的测试地址、间隔和容差等设置影响选择结果。
• 规则目标：规则可以指向某个策略组，也可以指向 DIRECT 或 REJECT。只改一个组，不一定改变所有网站的出口。

点击延迟测试后出现毫秒数，只能说明该次测试请求得到了结果，不能据此承诺视频码率或下载速度。首次验证应同时观察一个实际网页和客户端的「连接」或「Connections」页面，确认这次请求命中了哪个规则、使用了哪个策略。

四、系统代理与移动端 VPN 授权

Windows：先核对监听地址和端口

在旧版 CFW 的「General」页面，可以查看端口并开启「System Proxy」。其他客户端通常将入口放在首页或设置页。下面是一段用于说明字段关系的配置片段，不是包含节点、规则的完整订阅，也不是所有客户端的默认值：

mixed-port: 7890
allow-lan: false
mode: rule

mixed-port: 7890 表示同一监听端口可以接受 HTTP 和 SOCKS 代理连接。若客户端实际监听的是 7897，就应使用 7897，不能照抄本文的 7890。仅供本机使用时，应用连接地址一般填写 127.0.0.1；allow-lan: false 用于限制局域网接入，不必为了浏览器联网而开启局域网共享。

开启系统代理后，到 Windows 11「设置」→「网络和 Internet」→「代理」查看。常见实现会在手动代理中设置本机地址和端口，也有客户端使用代理脚本。判断标准是系统配置与客户端的接管方式一致，而不是所有项目都必须打开。

macOS、Linux 与手机的区别

• macOS：可在「系统设置」→「网络」→ 当前网络服务 →「详细信息」→「代理」核对；部分客户端会请求安装辅助程序来修改系统网络设置。
• Linux：桌面环境的网络代理设置不一定覆盖终端程序或所有应用。浏览器、软件包工具和命令行工具可能各自读取不同的代理配置。
• Android：常见做法是启动本地 VPN 服务并接受系统授权，而不是照搬 Windows 的「System Proxy」开关。分应用代理与“绕过”列表也会影响实际接管范围。
• iOS / iPadOS：通常通过客户端创建 VPN 配置，按系统提示授权。具体协议支持、后台行为和配置兼容性取决于所用应用。

系统代理主要服务于遵循系统设置的应用。某个游戏或命令行工具没有出现在连接列表，不一定是节点故障；它可能根本没有读取系统代理。先确认应用自己的代理设置，再考虑 TUN。

五、端口冲突与连接验证

首次连接建议只保留一个代理客户端运行。旧客户端、开发工具和后台服务都可能占用端口。看到日志中的 address already in use 或 bind 失败，应先查监听端口，而不是重新下载订阅。

Windows 检查 7890 是否被占用

netstat -ano | findstr :7890

查看结果是否存在本地端口为 7890、状态为 LISTENING 的行，最后一列是 PID。到「任务管理器」→「详细信息」核对 PID 对应的程序。确认属于不用的旧代理后正常退出它；不要对陌生系统进程直接结束任务。也可以换一个未占用端口，但要同步更新系统代理和手动配置的应用。

用明确指定代理的请求缩小范围

若实际监听的是本机 HTTP 或混合端口 7890，可在 Windows 终端运行下面的诊断命令。macOS、Linux 可以将 curl.exe 换成 curl：

curl.exe --proxy http://127.0.0.1:7890 --connect-timeout 10 --max-time 20 -I https://example.com/

这条命令会明确连接代理端口，不依赖浏览器是否读取系统设置。它仍会遵循内核中的规则，因此响应成功不等于一定经过远程节点：如果规则命中直连，仍可能直接访问目标。请配合连接面板查看路径。示例中的 10 秒是连接阶段超时，20 秒是整个请求的时间上限，并非实测结果。

六、证书提示与 TUN 权限

浏览器证书错误不要直接跳过

普通的 HTTP CONNECT 隧道或 SOCKS 转发，并不要求为了浏览 HTTPS 网站安装陌生根证书。浏览器提示证书过期、域名不匹配或颁发机构不受信任时，先检查系统日期、时区和时间同步，再检查是否存在单位网络检查、杀毒软件 HTTPS 扫描或登录认证页。

客户端安装时的应用签名提示、订阅下载时的 TLS 错误、浏览器访问网站时的证书错误，属于不同环节。记录准确报错与发生位置，比把所有证书开关都关掉更有用。也不要用 skip-cert-verify 当作通用修复；它会改变相应连接的证书验证行为，掩盖的未必是节点问题。

TUN 放在基础连通之后

TUN 通过虚拟网络接口与路由设置接管符合条件的 IP 流量，适合处理不读取系统代理的程序，但并非打开后就能保证所有流量都经过代理。路由排除、分应用设置、IPv6、DNS 处理和系统权限都会影响范围。

1. 先确认系统代理下浏览器能够正常访问，且连接面板显示的策略符合预期。
2. 按所用客户端说明安装或启用服务，再开启 TUN。Windows 常涉及服务或提升权限，macOS、Linux 则可能涉及辅助程序或网络管理权限。
3. 检查日志是否出现虚拟接口创建失败、路由写入失败或 DNS 监听冲突。不要同时启用另一款 VPN 的接管功能。
4. 用原本不遵循系统代理的目标程序验证；若开启后整机断网，先关闭 TUN 恢复网络，再查看日志。

DNS 劫持规则用于把特定 DNS 流量交给内核处理，不代表浏览器内置的加密 DNS、所有接口或所有应用必然服从同一路径。首次设置不必同时更换 DNS 模式、IPv6 策略和路由选项，每次只改一项，才有办法判断变化来自哪里。

七、退出恢复与最终清单

初始化完成后，再决定是否开启自启动、启动时连接和订阅定时更新。先测试一次正常退出：关闭接管开关，再从托盘或菜单退出客户端，确认普通网络可以恢复。直接结束进程有时会留下系统代理指向本机，但本机端口已经没有程序监听。

Windows 若在退出后无法联网，到「设置」→「网络和 Internet」→「代理」检查残留的手动代理或脚本设置。只撤销自己刚添加的配置；单位电脑原有的代理策略不要随意删除。移动端则查看系统 VPN 状态与始终开启 VPN、阻止未使用 VPN 的连接等选项。

• 安装：架构、最低系统要求与客户端维护状态已经确认。
• 配置：订阅下载成功，当前配置已激活，策略组能够正常显示。
• 模式：使用规则模式，知道测试请求实际命中的规则与策略。
• 端口：系统代理或应用设置与真实监听端口一致，没有重复客户端争用端口。
• 权限：仅在需要服务、VPN 或 TUN 时授予相应权限，没有通过关闭安全验证代替排错。
• 恢复：已经验证关闭接管与正常退出后的联网状态，知道在哪里撤销残留设置。

这六项都确认后，再增加自定义规则、应用分流和 TUN 接管。后续排错也沿同一顺序返回检查：配置是否有效、内核是否监听、流量是否进入、规则如何匹配、出口是否可达。比反复卸载重装更容易定位问题。