首次安裝 Clash 客戶端：跨平台初始設定與新手常見問題

一、安裝檔與系統架構

Clash 類型的客戶端通常由圖形介面和代理核心組成。介面用來匯入設定檔、管理策略及調整系統設定；核心則負責監聽連接埠、比對規則及建立連線。安裝介面不代表已有可用節點，也不表示所有應用程式都會自動透過代理連線。

安裝失敗時先查看系統提示

• 提示不相容：比對系統版本與處理器架構，別接連嘗試檔名相近的安裝套件。
• 提示缺少執行環境：依照客戶端的發行說明安裝指定執行元件，別從不明下載站取得同名 DLL。
• 提示來源或簽章異常：先確認下載來源、發行者與專案說明。安全提示不一定都有「繼續」選項，也不應透過關閉防護來繞過裝置管理政策。

在 Windows 上初次測試系統代理時，通常不必長期以系統管理員身分執行整個圖形介面。需要安裝服務或建立虛擬網卡時，再處理相應的權限要求。受公司或學校管理的電腦，應先確認是否允許安裝網路服務。

二、匯入訂閱並啟用設定檔

常見客戶端會提供「設定檔」、「Profiles」或「訂閱」入口。先複製服務提供者提供的 Clash 或 mihomo 相容訂閱網址，再使用該頁面的「匯入」、「新增遠端設定檔」或「Download」功能。以舊版 CFW 為例，操作路徑是「Profiles」→ 頂端 URL 輸入欄 →「Download」；下載完成後，還要點選對應的設定檔卡片，將它設為目前使用的設定檔。

1. 確認格式：一般網頁網址、節點分享連結或其他客戶端專用的訂閱，不一定能載入為 Clash YAML 設定檔。
2. 確認下載結果：設定檔清單中應出現新項目，並顯示更新成功。只儲存網址但下載失敗，不算完成匯入。
3. 確認已啟用：切換到「代理」或「Proxies」頁面，應能看到設定檔定義的策略組。如果頁面仍是空白，先檢查目前選取的設定檔。
4. 確認核心相容性：如果錯誤訊息提到未知協定、未知欄位或不支援的代理類型，請確認訂閱所需的核心，不要反覆按更新。

訂閱下載失敗與節點無法使用是兩回事

下載訂閱時連線的是設定檔伺服器；測試節點則是透過選取的代理存取目標網址。訂閱回傳 HTTP 401 或 403 時，優先檢查連結是否有效、授權狀態或服務提供者的限制；如果回傳的是 HTML，可能拿到的是登入頁或錯誤頁。解析器顯示 YAML 錯誤時，先確認回應內容確實是設定檔，別靠碰運氣修改縮排。

部分客戶端會在本機儲存遠端設定檔的副本。手動修改副本後，下次更新訂閱時可能會被覆寫。初次設定請先用原始設定檔測試；確實需要自訂規則時，再了解客戶端提供的覆寫、合併或擴充機制。

三、規則模式與策略選擇

載入設定檔後，先選擇 Rule（規則）模式，再進入策略組選取節點。Global（全域）模式通常會將進入核心的連線交由全域策略處理；Direct（直連）模式則用於直接連線。這裡的「全域」是指核心如何處理已收到的流量，不代表沒有進入核心的程式也會受到接管。

• 手動選擇策略組：常見類型為 select，需手動點選節點或下一層策略組。
• 自動測試策略組：常見類型為 url-test，選擇結果會受到設定檔中的測試網址、間隔與容差等設定影響。
• 規則目標：規則可以指定某個策略組，也可以指定 DIRECT 或 REJECT。只調整一個策略組，不一定會改變所有網站的連線出口。

延遲測試顯示毫秒數，只能表示該次測試請求有收到結果，不能據此保證影片畫質或下載速度。初次測試時，應同時開啟實際網頁和客戶端的「連線」或「Connections」頁面，確認該次請求符合哪條規則、使用哪個策略。

四、系統代理與行動裝置 VPN 授權

Windows：先確認監聽位址與連接埠

在舊版 CFW 的「General」頁面，可以查看連接埠並開啟「System Proxy」。其他客戶端通常會將入口放在首頁或設定頁。以下設定片段僅用來說明欄位之間的關係，不是包含節點與規則的完整訂閱，也不是所有客戶端的預設值：

mixed-port: 7890
allow-lan: false
mode: rule

mixed-port: 7890 表示同一個監聽連接埠可接受 HTTP 和 SOCKS 代理連線。如果客戶端實際監聽的是 7897，就應使用 7897，不能直接照抄本文的 7890。僅供本機使用時，應用程式的連線位址通常填入 127.0.0.1；allow-lan: false 用來限制區域網路存取，不必為了讓瀏覽器上網而開啟區域網路分享。

開啟系統代理後，前往 Windows 11「設定」→「網路和網際網路」→「Proxy」查看。常見做法是在手動 Proxy 設定中填入本機位址與連接埠，也有客戶端使用 Proxy 指令碼。判斷重點是系統設定與客戶端的接管方式一致，而不是每個選項都必須開啟。

macOS、Linux 與手機的差異

• macOS：可前往「系統設定」→「網路」→目前使用的網路服務→「詳細資訊」→「代理伺服器」確認；部分客戶端會要求安裝輔助程式，以修改系統網路設定。
• Linux：桌面環境的網路代理設定不一定適用於終端機程式或所有應用程式。瀏覽器、套件管理工具與命令列工具可能各自讀取不同的代理設定。
• Android：常見做法是啟動本機 VPN 服務並授予系統權限，而不是照搬 Windows 的「System Proxy」開關。應用程式分流與「略過」清單也會影響實際接管範圍。
• iOS / iPadOS：通常透過客戶端建立 VPN 設定，並依照系統提示授權。支援的協定、背景執行行為與設定相容性，會因使用的應用程式而異。

系統代理主要適用於遵循系統設定的應用程式。某款遊戲或命令列工具沒有出現在連線清單中，不一定是節點故障；它可能根本沒有讀取系統代理。請先確認應用程式本身的代理設定，再考慮使用 TUN。

五、連接埠衝突與連線測試

初次連線時，建議只執行一個代理客戶端。舊客戶端、開發工具和背景服務都可能占用連接埠。記錄中出現 address already in use 或 bind 失敗時，應先檢查監聽連接埠，而不是重新下載訂閱。

檢查 Windows 的 7890 連接埠是否被占用

netstat -ano | findstr :7890

查看結果中是否有本機連接埠為 7890、狀態為 LISTENING 的項目，最右欄會顯示 PID。前往「工作管理員」→「詳細資料」確認 PID 對應的程式。確認是用不到的舊代理後，再正常關閉程式；不要直接結束不熟悉的系統程序。也可以改用未占用的連接埠，但要同步更新系統代理和手動設定的應用程式。

透過明確指定代理的請求縮小排查範圍

如果實際監聽的是本機 HTTP 或混合連接埠 7890，可在 Windows 終端機執行以下診斷命令。macOS、Linux 可將 curl.exe 改為 curl：

curl.exe --proxy http://127.0.0.1:7890 --connect-timeout 10 --max-time 20 -I https://example.com/

這個命令會明確連線到代理連接埠，不受瀏覽器是否讀取系統設定影響。不過它仍會遵循核心中的規則，因此請求成功不代表一定經過遠端節點：如果規則判定直連，仍可能直接存取目標。請搭配連線面板查看實際路徑。範例中的 10 秒是連線階段的逾時時間，20 秒是整個請求的時間上限，並非實測結果。

六、憑證警告與 TUN 權限

遇到瀏覽器憑證錯誤，別直接略過

一般 HTTP CONNECT 通道或 SOCKS 轉送，不需要為了瀏覽 HTTPS 網站而安裝不明根憑證。瀏覽器顯示憑證過期、網域不符或簽發機構不受信任時，先檢查系統日期、時區與時間同步，再確認是否有公司或學校網路檢查、防毒軟體的 HTTPS 掃描，或登入驗證頁面。

安裝客戶端時的應用程式簽章提示、下載訂閱時的 TLS 錯誤，以及瀏覽網站時的憑證錯誤，分屬不同環節。記下確切的錯誤訊息與發生位置，比關閉所有憑證選項更有幫助。也別把 skip-cert-verify 當成通用解法；它會改變相關連線的憑證驗證方式，未必能解決節點問題。

先確認基本連線，再設定 TUN

TUN 透過虛擬網路介面和路由設定，接管符合條件的 IP 流量，適合處理不讀取系統代理的程式，但開啟後不代表所有流量都一定會經過代理。路由排除、應用程式分流、IPv6、DNS 處理方式與系統權限，都會影響接管範圍。

1. 先確認系統代理已能讓瀏覽器正常上網，且連線面板顯示的策略符合預期。
2. 依照所用客戶端的說明安裝或啟用服務，再開啟 TUN。Windows 通常涉及服務或提高權限；macOS、Linux 則可能需要輔助程式或網路管理權限。
3. 檢查記錄中是否出現建立虛擬介面失敗、寫入路由失敗或 DNS 監聽衝突。不要同時啟用另一款 VPN 的流量接管功能。
4. 使用原本不遵循系統代理的目標程式進行測試；如果開啟後整台裝置都無法上網，先關閉 TUN 恢復網路，再查看記錄。

DNS 劫持規則會將特定 DNS 流量交由核心處理，但不代表瀏覽器內建的加密 DNS、所有網路介面或所有應用程式都一定會走相同路徑。初次設定不必同時更改 DNS 模式、IPv6 策略與路由選項；每次只調整一項，才能判斷變化的原因。

七、退出還原與最後檢查清單

完成初始設定後，再決定是否開啟開機自動啟動、啟動時連線與定期更新訂閱。先測試正常退出：關閉流量接管，再從系統匣或選單結束客戶端，確認一般網路已恢復。直接結束程序有時會留下指向本機的系統代理設定，但本機連接埠已沒有程式監聽。

如果 Windows 在退出後無法上網，前往「設定」→「網路和網際網路」→「Proxy」，檢查是否殘留手動 Proxy 或指令碼設定。只移除自己剛新增的設定；公司或學校電腦原有的代理政策不要任意刪除。行動裝置則檢查系統 VPN 狀態，以及「永遠開啟 VPN」、「封鎖未使用 VPN 的連線」等選項。

• 安裝：已確認系統架構、最低系統需求與客戶端維護狀態。
• 設定檔：訂閱已成功下載，目前的設定檔已啟用，策略組也能正常顯示。
• 模式：使用規則模式，並知道測試請求實際符合哪條規則及使用哪個策略。
• 連接埠：系統代理或應用程式設定與實際監聽連接埠一致，沒有多個客戶端搶用同一連接埠。
• 權限：只有在需要服務、VPN 或 TUN 時才授予相應權限，沒有以關閉安全驗證取代問題排查。
• 還原：已確認關閉流量接管並正常退出後網路仍可使用，也知道如何移除殘留設定。

確認這六項後，再新增自訂規則、應用程式分流與 TUN 流量接管。之後排查問題時，也依相同順序檢查：設定檔是否有效、核心是否正在監聽、流量是否進入核心、規則如何比對，以及連線出口是否可用。這比反覆解除安裝再重裝更容易找出問題。