Windows 安装 Clash Verge Rev 全流程:系统代理、TUN 服务与常见报错

安装前：确认 Windows 架构与客户端职责

Clash Verge Rev 是图形客户端，负责订阅管理、配置切换、系统代理和服务控制；实际解析规则、建立出站连接的是 mihomo 内核。安装客户端不等于已经获得可用节点。首次使用仍需准备有效的订阅链接，或包含节点、策略组与规则的本地 YAML 配置。

打开 Windows「设置」→「系统」→「关于」，查看「系统类型」。x64 电脑选择 x64 安装包，ARM64 设备优先选择对应的 ARM64 安装包。
到客户端下载页查看 Clash Verge Rev 的 Windows 入口与系统要求。旧版 Windows 是否受支持，应以所选发布版本说明为准。
记录已有代理工具的运行状态。首次测试先退出其他 VPN、代理客户端和网络加速工具，避免多个程序同时修改系统代理或默认路由。
备份已有订阅和覆写配置。订阅 URL 通常含访问凭据，不要发送到公开群聊，也不要放进公开截图。

安装时按向导选择目录。客户端界面通常可在普通用户权限下运行；安装系统服务、创建虚拟网卡或修改路由时才需要管理员授权。若设备由单位管理，应先确认允许安装网络服务，不要通过关闭安全策略绕过限制。

导入订阅：确认配置已启用，而非只有一张卡片

远程订阅与本地文件的操作顺序

打开「订阅」页面，在订阅链接输入框粘贴完整 URL，执行导入。若当前版本将导入入口放在「新建」中，选择远程配置后再填写 URL。
等待下载和解析完成，确认没有 YAML 语法错误、认证失败或请求超时提示。
选中刚导入的配置，使其成为当前启用项。仅显示在列表中，不代表内核已切换到该配置。
打开「代理」页面，确认能看到配置提供的策略组与节点，并在实际承接流量的选择组内选定可用节点。
如使用本地文件，通过配置导入入口选择 YAML。只有节点列表、没有策略组和规则的文件，不一定能直接作为完整运行配置。

订阅导入后先使用规则模式，对应配置字段为 mode: rule。规则模式按 rules 的顺序匹配连接，再交给指定策略组或出站。全局模式改由 GLOBAL 所选出站处理，不能替代对规则和策略组的检查。

订阅导入失败时看什么

HTTP 401 或 403：先检查订阅是否过期、访问令牌是否被重置，以及服务端是否限制客户端类型。不要反复切换 DNS 来处理认证错误。
返回 HTML 或 YAML 解析失败：链接可能指向登录页、错误页，或只提供其他客户端使用的格式。应获取兼容 Clash/mihomo 的配置。
请求超时：先确认当前网络能访问订阅服务。如果旧代理仍占用系统设置，退出旧客户端后再测试。
节点可见但网站不通：检查实际命中的策略组。测速成功只说明测试目标可达，不代表所有网站、协议和出口都可用。

系统代理：先验证浏览器的 HTTP 出站

在客户端启用「系统代理」，并保持 TUN 关闭，先缩小排查范围。系统代理会修改 Windows 的代理设置，通常对遵循该设置的浏览器和应用生效。它不是全设备流量接管；部分游戏、命令行工具和自带网络栈的程序可能忽略此设置。

打开 Windows「设置」→「网络和 Internet」→「代理」，核对手动代理地址与端口。地址通常是 127.0.0.1，端口必须以客户端当前生效配置为准。下面用 7890 举例，不代表每个安装实例都使用这个端口。

检查项	示例或预期	注意事项
混合监听端口	`mixed-port: 7890`	同一端口可接受 HTTP 与 SOCKS 代理连接。
Windows 代理服务器	`127.0.0.1:7890`	与实际监听端口保持一致。
当前运行模式	`mode: rule`	结合连接记录查看命中规则。
局域网访问	`allow-lan: false`	只供本机使用时，不必开启局域网共享。

用显式代理请求区分应用问题与内核问题

在 PowerShell 中执行以下命令。它显式指定 HTTP 代理，不依赖应用是否读取 Windows 代理设置。把端口改成客户端显示的实际值；测试域名只是用于产生一次 HTTPS 请求，不代表特定网站在所有网络下都可达。

Test-NetConnection 127.0.0.1 -Port 7890
curl.exe --proxy http://127.0.0.1:7890 --connect-timeout 10 --max-time 20 -I https://example.com/

TcpTestSucceeded: True 只能证明本机端口能建立 TCP 连接。HTTPS 请求返回响应头，才说明这次请求完成了代理协商及后续连接。若显式代理成功而某个应用失败，应优先检查该应用的代理设置，而不是立即重装客户端。

同时打开客户端的连接记录，观察请求域名、命中规则、策略组与最终节点。若请求命中 DIRECT，先核对规则是否符合预期；若策略组选择了不可用节点，修改系统代理地址也不会解决问题。

TUN 与服务模式：在基础链路可用后再启用

TUN 模式通过虚拟网络接口和路由接管更多应用流量，适合不遵循系统代理的程序。服务模式负责让需要特权的内核操作通过后台服务执行；服务已安装不等于 TUN 已开启，TUN 开关开启也不等于路由和 DNS 已正确接管。

先用系统代理完成上一节测试，确认订阅、节点和内核均可工作。
进入「设置」，找到「服务模式」项，按界面提供的安装或管理入口安装服务；出现 Windows 用户账户控制提示时核对程序来源再授权。
确认服务状态正常，再启用「TUN 模式」。若界面要求重启内核，等待重启完成后再测试。
为了单独验证 TUN，可暂时关闭系统代理。使用之前不读取系统代理的应用发起请求，并查看客户端连接记录。
检查普通网页、域名解析和内网访问。TUN 能访问公网，不代表单位内网、打印机或其他 VPN 的路由也没有冲突。

理解 TUN 配置字段

以下只是 mihomo 配置片段，用于核对生效配置，不是完整订阅。客户端可能自动生成或覆盖这些字段。先查看最终配置，再通过客户端支持的覆写或合并入口修改；直接改远程订阅正文，后续更新时可能被替换。

tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16

auto-route 用于自动设置相关路由；若路由未成功写入，应用流量仍可能绕过 TUN。
auto-detect-interface 用于自动识别出站接口。多网卡、虚拟机和其他 VPN 并存时，需要结合日志确认实际出口。
dns-hijack 的 any:53 用于接管匹配的传统 DNS 请求，并不等于接管所有加密 DNS。浏览器自行发送的 DoH 是另一条 HTTPS 连接。
fake-ip 会向匹配请求返回映射地址，再由内核关联域名。上游解析服务器仍需在完整 DNS 配置中正确设置，不能只复制这几行就认定 DNS 配置完成。

常见报错：按监听、权限、路由分层处理

端口占用：address already in use

日志出现 bind、address already in use 或类似监听失败提示时，先查询端口所有者。以下命令用于 PowerShell；如果端口不是 7890，应同步替换。

Get-NetTCPConnection -State Listen -LocalPort 7890 -ErrorAction SilentlyContinue |
  Select-Object LocalAddress, LocalPort, OwningProcess

Get-Process -Id 4321

第二条命令中的 4321 是演示 PID，要换成第一条命令返回的 OwningProcess。如果进程属于旧代理客户端，先正常退出该客户端。无法释放时，可把当前客户端的混合端口改为另一个空闲端口，例如 7897，随后重启内核并同步检查 Windows 代理端口。不要在不确认归属的情况下强制结束系统进程。

服务安装失败：拒绝访问或服务未启动

先区分“安装服务失败”和“服务已安装但启动失败”。前者常与权限或设备策略有关；后者还可能涉及安装路径失效、组件被隔离或旧服务残留。记录完整错误文本，再按下面的顺序操作。

通过客户端的服务安装入口重新触发管理员授权，确认没有取消用户账户控制提示。
按 Win + R，输入 services.msc，根据客户端提供的服务名称核对状态与可执行文件路径，不要猜测服务名后直接删除。
查看 Windows 安全中心的保护历史记录，以及「事件查看器」→「Windows 日志」→「系统」中的对应时间记录。
若升级后路径失效，优先使用客户端提供的卸载服务、重新安装服务入口，再重启客户端。

不建议把长期关闭防火墙或安全防护作为修复方法。若受组织策略限制，服务安装可能需要管理员统一处理；此时可先保留已经验证可用的系统代理方案。

TUN 开启后断网或内网失联

先关闭 TUN，检查普通网络是否恢复。恢复后重新测试系统代理：若系统代理正常，说明节点和基础出站并非首要问题，应把注意力放在虚拟接口、路由和 DNS。退出其他 VPN 后再试，避免两个程序同时接管默认路由。

Get-NetAdapter | Select-Object Name, InterfaceDescription, Status
Get-NetRoute -AddressFamily IPv4 |
  Sort-Object RouteMetric |
  Select-Object -First 20 DestinationPrefix, InterfaceAlias, NextHop, RouteMetric

这些命令用于观察，不会修改网络。记录启用前后的接口与路由差异。若只有内网资源失联，应检查内网网段、访问规则和路由排除设置；仅在规则中添加 DIRECT，不一定能解决目标地址已经被错误路由的问题。需要回退时先关闭 TUN，不要批量删除系统路由。

退出客户端后仍无法上网

先检查 Windows「设置」→「网络和 Internet」→「代理」。如果手动代理仍指向已经停止监听的 127.0.0.1 端口，关闭该手动代理项后再测试。正常退出前，先关闭客户端系统代理，再退出客户端，有助于避免代理设置残留。

若仍异常，再确认后台服务是否仍在运行、TUN 路由是否已撤销。界面关闭到托盘与真正退出不是同一动作；不要仅凭窗口消失判断内核已经停止。

安装完成检查：保留一条可复现的验证路径

完成设置后，不必把所有开关都打开。浏览器使用为主，可以先保留系统代理；确实需要接管其他应用，再使用已验证的 TUN 配置。规则模式、系统代理和 TUN 分别控制不同层面，不能用其中一个开关的状态推断另外两个已经正确。

配置：当前订阅处于启用状态，代理页存在可用策略组，更新后仍能正常加载。
端口：客户端实际监听端口与 Windows 代理设置一致，显式代理请求能够返回响应。
规则：至少检查一次直连请求与代理请求的连接记录，确认出站选择符合配置。
TUN：关闭系统代理后，目标应用仍能通过 TUN 产生连接记录，内网资源也能正常访问。
重启：重启 Windows 后重新确认服务、配置和代理状态，不把“开机启动”当作“网络已经接管”。
回退：能够关闭系统代理与 TUN，并恢复普通网络；保留修改前的覆写配置供恢复。

提交故障信息时，提供 Windows 系统类型、客户端版本、内核版本、运行模式、监听端口，以及同一时间段的报错日志。删除订阅令牌、节点凭据和个人访问记录。先说明显式代理测试是否成功，再说明 TUN 是否失败，比只描述“Clash 连不上”更容易定位问题。需要继续核对字段含义，可查看完整文档。