Clash 全平台安装配置大全

通用准备：客户端、订阅与配置边界

先区分客户端、内核和连接服务

Clash 生态包含图形客户端、代理内核和配置格式。图形客户端负责导入订阅、选择出站以及申请系统权限；内核负责解析配置、匹配规则和建立连接。mihomo 是常见内核，但不能据此认定所有客户端都接受相同字段。订阅中的协议类型、客户端捆绑的内核能力、配置转换方式需要相互匹配，尤其要检查较新的传输参数和 DNS 字段。

安装客户端不等于已经取得可用连接。开始前应准备由可信服务提供方给出的订阅链接，或包含出站定义的本地 YAML 文件，并确认使用范围、到期状态和设备限制。优先从客户端下载页选择与系统对应的 Clash Plus；需要其他界面或部署方式时，再按平台比较 Clash Verge Rev、FlClash 等客户端，不要同时启动多个代理内核。

确认架构并保存现有网络状态

下载前记录操作系统、处理器架构和安装权限。桌面设备要区分 x64 与 ARM64，macOS 要区分 Intel 与 Apple Silicon，Android 则根据设备支持的指令集选择安装包。架构不符通常表现为无法启动或无法安装，不属于订阅故障。安装前还应记下已有 VPN、手动代理、公司网络软件和自定义 DNS，避免新设置覆盖旧设置后无法还原。

保留一份当前可用配置和客户端覆写规则。订阅地址可能包含账号标识，截图、工单和公开仓库中都应遮盖完整地址；本地导出的 YAML 也可能包含密码。用于跨设备同步时，应把服务方维护的订阅与个人维护的覆写分开。直接修改远程订阅生成文件，下一次更新可能覆盖修改，维护方式可参考多设备配置同步方案。

理解系统代理与 TUN 的接管范围

系统代理向遵循操作系统代理设置的应用提供本地 HTTP 或 SOCKS 入口。它不保证所有游戏、命令行工具和 UDP 流量都会使用该入口。TUN 则通过虚拟网络接口和路由接管流量，通常需要服务组件或系统授权。两者解决的问题不同：先用系统代理建立可验证的基线，再根据应用需求启用 TUN，比同时打开全部开关更容易定位错误。

下面的公共字段适用于常见 mihomo 配置。混合端口同时接受 HTTP 与 SOCKS 请求，监听回环地址时仅供本机使用。示例不含出站，因此只能作为参数对照，不能据此测试代理出口。客户端如果通过界面生成端口或监听地址，应在运行配置中核对最终值，而不是只看订阅文件。

mixed-port: 7890
allow-lan: false
bind-address: 127.0.0.1
mode: rule
log-level: info
ipv6: false

订阅导入后的检查顺序

导入链接后先更新订阅，再把新配置设为当前配置。确认页面出现预期代理组，打开选择组并指定一个实际出站；“自动选择”组也必须有可用成员。订阅下载成功只说明配置能够取得，不能证明出站可以连接。若下载失败，检查系统时间、地址是否完整、服务方是否要求特定订阅格式，并优先使用客户端提供的导入功能，避免随意经过第三方转换服务。

随后使用规则模式测试一个明确应走代理的请求，并查看连接记录中的命中规则和最终出站。另测一个应直连的请求，确认分流符合预期。每次只改变一个变量，记录修改前后的结果。浏览器能打开网页不代表所有程序都已接管，出口地址变化也不能单独证明 DNS 路径正确；验证应同时覆盖请求、规则与解析三个层面。

Windows：安装、系统代理与 TUN 服务

选择安装包并完成首次启动

在 Windows 设置的系统信息中查看系统类型，按下载页列出的架构和系统要求选择安装包。优先选择 Clash Plus，也可按使用习惯选择 Clash Verge Rev、FlClash 或 Clash Nyanpasu。Clash for Windows 已停止维护，适合识别旧配置和迁移场景，不宜把旧教程里的菜单位置视为当前客户端的固定入口。安装新客户端前，先退出旧客户端并关闭其系统代理。

安装程序需要提权时，先核对文件来源和请求的操作。普通图形界面与需要管理员权限的后台服务是不同组件，不必把每次启动界面都改成管理员运行。首次打开后检查内核是否正常启动；若窗口能够显示但配置、日志等页面持续提示连接失败，应先检查本地内核进程和控制连接，不要立即重装整个系统或反复更换订阅。

导入配置并建立系统代理基线

进入订阅或配置页面，粘贴完整链接并执行下载。为配置使用可辨认的名称，更新后选中该配置，使其成为当前配置。随后在出站页面打开选择组，指定实际节点，再回到设置启用系统代理。浏览器若自行设置了固定代理或安装了代理切换扩展，应暂时改为使用系统设置，否则客户端的系统代理开关未必能够影响该浏览器。

测试时先保持规则模式。打开连接记录，观察目标域名、命中规则和出站链路，而不是只看托盘图标。需要验证本地 HTTP 入口时，可在 PowerShell 中显式调用下面的命令；这里使用 curl.exe，避免不同 PowerShell 环境对短命令的解释差异。请求成功只证明指定入口可用，不代表其他应用自动遵循系统代理。

curl.exe --proxy http://127.0.0.1:7890 --head https://example.com
Get-NetTCPConnection -LocalPort 7890 -State Listen

按需安装 TUN 服务

当目标应用忽略系统代理，或需要接管更多网络流量时，再进入 TUN 设置。部分客户端需要先安装服务组件，再打开 TUN；服务安装、服务运行和 TUN 开启是三个独立状态。完成授权后检查虚拟网卡、路由与日志中的初始化信息。如果启用失败，应先恢复系统代理基线，查看具体错误，再处理权限、驱动或服务状态，不要连续重复点击安装按钮。

TUN 与其他 VPN、虚拟机网络、容器网络和企业安全软件可能争用路由。排查时暂时只保留一个流量接管工具，并记录被停用的软件。远程桌面或公司受管设备不宜直接修改默认路由，避免断开管理连接。公司策略限制服务安装时，应遵循设备管理要求，不能把安全软件的全部保护功能关闭当作通用解决方法。

定位端口、代理残留和权限问题

若日志提示端口占用，先用上面的监听查询查看进程标识，再确认它属于哪个程序。不要直接结束未知系统进程。可以关闭重复运行的客户端，或在客户端设置中换用空闲端口；端口改变后，浏览器、终端和编辑器里的手动代理也必须同步修改。配置文件中的值与界面覆写不一致时，以内核最终监听结果为准。

客户端退出后浏览器无法联网，常见原因是系统仍保留指向本地端口的手动代理，而内核已经停止。打开 Windows 网络设置中的代理页面，检查手动代理是否仍启用，再按原来的网络环境恢复。若只有一个应用异常，先检查它自身的代理设置、后台进程和缓存连接，不要因为单个应用失败就判断整个 TUN 或订阅不可用。

升级前备份订阅列表、覆写文件和必要设置，升级后重新核对服务状态以及开机启动行为。设备从睡眠唤醒或切换无线网络后，如果连接中断，先重连客户端并查看路由变化，再判断是否需要重启服务。更完整的安装路径与常见报错可查阅Windows 安装 Clash Verge Rev 全流程，不要把其中的界面名称机械套用到其他客户端。

macOS：芯片架构、网络授权与代理恢复

按芯片选择客户端并安装

打开“关于本机”查看芯片或处理器信息，再到macOS 下载区选择对应安装包。优先使用 Clash Plus，也可选择 Clash Verge Rev 或 FlClash。ClashX Meta 已停止维护，迁移旧配置时需要另外核对内核字段。不要仅根据安装包图标或文件大小判断架构；能够通过转译启动，也不代表这是该设备最合适的安装形式。

按照安装包说明将应用放到应用程序目录，再从固定位置启动，避免长期从磁盘映像或临时下载目录运行。系统提示来源或权限问题时，应核对下载来源和应用信息，按系统提供的正常授权流程处理。不要把移除整个系统安全机制当作安装步骤。初次启动后先确认菜单栏入口、配置页面和日志页面均能正常打开，再进行订阅导入。

导入订阅与确认活动网络服务

在客户端的配置管理入口添加远程订阅，更新后设为当前配置，并在代理组中选择出站。若同一客户端同时保留多个配置，名称应能区分服务来源和用途。导入完成后先不开 TUN，启用系统代理，再使用浏览器验证。配置下载报错时，检查链接、系统时间和当前网络连通性；不要因为订阅地址能够在浏览器显示文本，就忽略客户端格式兼容问题。

macOS 的代理设置与网络服务有关。无线网络、有线网络或其他网络接口可能分别保存设置，切换接口后应重新核对。客户端显示系统代理已开启，但请求没有进入连接记录时，先确认正在使用的网络服务，以及应用是否采用系统代理。浏览器扩展、开发工具和命令行环境可能各自持有代理设置，不能仅依据菜单栏状态判断所有请求的路径。

scutil --proxy
curl --proxy http://127.0.0.1:7890 --head https://example.com
lsof -nP -iTCP:7890 -sTCP:LISTEN

上述命令分别用于查看当前代理信息、显式测试本地 HTTP 入口以及查询监听进程。终端通常不会自动继承图形界面的系统代理，因此浏览器成功而终端失败并不矛盾。需要为某条命令设置代理时，优先使用程序自己的代理参数；如采用环境变量，应明确它只影响当前终端及其子进程，不能当作全系统开关。

TUN 授权与后台组件

需要接管不遵循系统代理的应用时，再使用客户端提供的 TUN 功能。不同客户端可能通过特权辅助组件、后台服务或系统网络能力实现，权限提示并不完全相同。逐项阅读系统提示并确认申请者，授权后查看客户端是否明确报告初始化成功。若后台组件未获准运行，反复切换出站通常不能解决问题，应先处理服务或网络授权状态。

已有 VPN、内容过滤器、虚拟化网络或企业管理配置时，TUN 可能与其路由规则发生冲突。先记录现状，再逐项停用非必需接管组件进行对比。连接远程办公网络时尤其要确认内部域名和私有网段的访问需求；简单把全部流量改为代理，可能导致内部资源不可达。需要保留的路由和 DNS 策略应通过明确规则维护，而不是依赖偶然的启动顺序。

睡眠恢复、钥匙串与卸载边界

合盖唤醒、无线网络切换和连接扩展坞都会改变网络接口状态。出现恢复后断流时，先查看当前配置是否仍启用、代理监听是否存在，再重新连接。只有域名失败而直接连接地址正常时，应重点检查解析路径；不要立即改动多个 DNS 选项。客户端保存订阅凭据或系统授权的位置可能不同，迁移设备前应使用客户端支持的导出方式并妥善保管文件。

卸载前先关闭系统代理和 TUN，再退出客户端；如果客户端提供后台服务卸载入口，应按其说明处理。直接把应用拖入废纸篓，不一定会撤销已经写入的网络代理或后台组件。删除后若网络异常，返回当前网络服务的代理设置核对本地地址，并恢复安装前记录的配置。保留诊断日志时要去掉订阅链接和出站凭据，不能把整个配置目录直接公开。

Android：安装来源、VPN 接管与后台运行

选择架构并完成安装授权

到Android 下载区选择客户端，优先使用 Clash Plus；其他选择包括 Clash Meta for Android、FlClash 和 Surfboard。它们的配置支持范围并非完全一致，尤其不能把面向某一内核的完整 YAML 默认视为通用格式。先确认服务方支持的客户端和订阅类型，再决定安装哪一个，避免安装后才发现协议或规则格式无法解析。

安装包要与设备架构相符。较新的手机通常使用 ARM64，但应以设备实际支持情况为准；旧设备可能需要其他构建。若系统要求允许当前文件管理器或浏览器安装应用，只对实际使用的来源授予所需权限，安装完成后可以收回。遇到“应用未安装”时，检查系统要求、剩余空间、架构以及现有应用签名，不能把所有安装错误都归因于网络。

导入订阅并选择正确的配置

打开订阅或配置页面，新增远程配置并粘贴链接。下载完成后，确认配置已被选中，而不只是存在于列表中。进入代理组选择具体出站，再返回首页启动连接。部分客户端把更新订阅与切换当前配置分为两个操作，更新了另一份配置并不会自动改变正在运行的配置，因此排错时应同时检查配置名称和最近一次更新结果。

若导入得到空列表或字段错误，应核对服务方提供的格式、订阅是否到期，以及客户端实际支持的协议。不要随意删除无法识别字段来追求“能够保存”，被删字段可能决定传输行为或验证方式。Surfboard 等客户端应使用其支持的配置格式；服务方提供多个订阅入口时，选择对应格式比把错误配置反复导入更有效。

理解 Android 的 VPN 连接方式

Android 客户端通常通过系统 VPN 能力接管应用流量，首次连接会出现系统确认。该确认表示允许建立本地 VPN 接口，不表示所有流量已经命中代理出站，最终路径仍由规则决定。系统中的 VPN 标志只能说明接口状态，实际是否经过选定出站，应结合客户端连接记录、目标域名和出口验证结果判断。

系统一般不能同时让多个普通 VPN 应用接管同一用户空间。广告过滤、安全工具、公司 VPN 或其他代理客户端可能占用该能力；启动失败时先检查系统 VPN 页面，关闭非必需的竞争连接。不要把桌面端“打开系统代理”的教程直接套到手机上，Android 中的每应用分流、VPN 接管和无线网络手动代理是不同层次的设置。

每应用分流、私人 DNS 与电量管理

如果启用了每应用允许列表，未被选中的应用可能完全不进入客户端；如果使用绕过列表，被选中的应用则可能直接连接。测试时先确认列表工作模式，再检查目标应用是否在正确一侧。浏览器成功而另一个应用失败，既可能是规则问题，也可能是该应用根本未被接管。修改分流列表后应按客户端要求重新建立连接，避免仍使用旧接口状态。

Android 的私人 DNS、浏览器安全 DNS 和客户端 DNS 可能形成多条解析路径。遇到特定域名无法访问时，应记录当前设置，再逐一比较，不能一边修改私人 DNS、一边更换节点而不保留结果。某些客户端可以通过 VPN 配置统一处理解析，但具体支持取决于实现。关于 fake-ip 与 DNS 去向的检查，可继续阅读DNS 泄漏检测与防护。

连接在锁屏后中断时，检查系统是否限制客户端后台运行、电池使用或自启动。不同设备的菜单名称不同，应以该应用的电量管理页面为准，只调整必要权限。开启“始终开启的 VPN”或“阻止未使用 VPN 的连接”前，要理解其行为：客户端未成功启动时，后一项可能使设备暂时失去网络，排错时应先确认接口能稳定建立。

升级前保留订阅地址和本地覆写，确认是否需要导出应用专属设置。跨客户端迁移通常不能完整搬运每应用列表和电池权限，必须重新确认。卸载前停止连接并检查系统 VPN 设置；分享故障截图时遮盖订阅、出站地址和账号信息，连接日志只截取定位所需的时间段。

iOS：Clash Plus、订阅导入与网络扩展

从商店安装并确认配置来源

iOS 优先选择 Clash Plus，通过App Store 的 Clash Plus 页面安装，产品信息可查阅官网 clashplus.io。安装前查看商店显示的设备兼容要求和应用说明，再与现有设备对应。不要把桌面平台的可执行文件或 Android 安装包当作 iOS 安装资源，客户端安装完成后仍需自行准备有效订阅。

订阅由连接服务提供方管理，商店安装与订阅授权是两件事。先确认链接尚未失效、账号允许当前设备使用，以及服务方说明的配置格式。订阅链接通常承载访问凭据，不应发布在共享备忘录、公开截图或讨论区。需要向服务方反馈导入错误时，可以提供脱敏错误文本和客户端名称，不应把整条链接直接贴进公开问题。

导入、更新并设为当前配置

进入客户端配置或订阅管理入口，添加远程链接并等待下载完成。如果提供方给出的是二维码，应先确认二维码确实包含客户端支持的订阅地址，而不是账户登录页或普通网页。导入后检查配置内容和代理组是否出现，将其设为当前使用项，再选择实际出站。仅看到订阅名称，并不能证明已完成启用，也不能证明代理组成员可用。

订阅更新失败时先检查设备时间、当前网络和链接是否完整。复制链接时可能遗漏查询参数，也可能夹带空格或换行，应重新从可信来源复制。若旧配置仍然可用，排错时先保留旧配置，不要在没有备份的情况下全部删除。使用客户端的本地规则或覆写能力时，要确认它们是否跟随订阅更新保留，避免更新后分流行为与之前不同。

允许 VPN 配置并验证实际出站

首次启动连接时，系统可能请求添加 VPN 配置。确认发起者是正在使用的客户端，按系统流程授权后再返回应用查看连接状态。iOS 通过网络扩展处理流量，不需要寻找 Windows 式的本地系统代理开关。状态栏或控制中心显示 VPN，只能说明系统连接处于相应状态，仍需检查客户端的配置、代理组和连接记录，才能判断请求具体去了哪里。

先使用规则模式测试一个预期代理请求，再测试一个预期直连请求。某个应用内容能够刷新，可能只是使用了缓存或仍保留旧连接，测试时应重新发起请求。修改代理组选择后，已有连接也不一定立刻切换出口；必要时使用客户端提供的连接管理能力，或重新启动目标应用，不要仅依据旧页面的显示结果判断设置无效。

无线网络、蜂窝网络与其他网络功能

分别在无线网络和蜂窝网络下验证连接，可以区分本地网络限制与配置错误。若只在某个无线网络失败，先处理该网络的认证页面，并确认设备在关闭代理连接时能够正常联网。公共网络可能要求先登录再访问外部服务，未完成认证时，订阅更新和出站连接都可能失败，此时更换多组规则通常没有意义。

已有公司 VPN、按需连接配置或其他网络扩展时，先了解其管理关系，避免多个工具反复接管连接。设备受到组织管理时，部分网络设置可能由策略控制，应遵循管理要求。系统隐私网络功能、浏览器设置与客户端接管也可能影响验证结果；排查时记录每项状态，一次只调整一个因素，测试完成后恢复需要保留的隐私和办公设置。

后台限制、更新与恢复路径

不要把 iOS 的后台行为等同于桌面进程。界面进入后台后，图形页面是否继续运行与网络扩展是否保持连接不是同一个问题。连接反复停止时，应查看系统 VPN 状态、客户端错误记录、设备存储与配置规模，避免导入大量重复规则后仅凭界面卡顿判断出站故障。移动网络切换后的短暂重连，也应与持续无法建立隧道区分开。

升级应用或系统前，保存订阅来源和重要的本地规则，确认客户端支持的备份方式。恢复网络时先在客户端停止连接，再到系统设置中核对 VPN 状态；不必一开始就重置设备全部网络设置，因为该操作还会影响无线网络等现有信息。只有确认客户端相关状态已经退出，仍然无法联网时，才继续检查网络认证、设备策略和运营网络本身。

Linux：发行版、桌面代理与服务部署

区分桌面客户端与内核部署

Linux 桌面优先按下载页选择 Clash Verge Rev，也可选择 FlClash；服务器或路由器用户可单独运行 mihomo 内核。图形客户端与内核服务是两种部署路径，不要在同一端口同时启动。先明确是否需要托盘界面、桌面系统代理和交互式订阅管理，再决定使用图形客户端还是自行维护配置目录、服务权限和日志。

安装前用系统信息确认发行版、处理器架构和软件包类型。Debian 系发行版通常使用对应的 DEB 包，采用 RPM 包管理的发行版应选择匹配包，但依赖和桌面环境支持仍以客户端说明为准。仅仅扩展名相同不代表所有发行版都兼容。安装过程中出现依赖错误，应通过发行版包管理器定位，不要随意把其他系统的库文件复制到系统目录。

uname -m
cat /etc/os-release
ss -lntp 'sport = :7890'

桌面客户端的订阅与系统代理

完成安装后，从桌面正常启动客户端，导入订阅并设为当前配置，再选定代理组出站。打开系统代理后，检查桌面环境自己的网络代理设置。不同桌面、沙盒应用和浏览器对系统代理的读取方式不同；终端程序也通常不会自动使用桌面的代理值。因此应先用显式代理请求验证内核，再分别检查目标程序的接入方式，不要把单个程序的失败等同于内核未运行。

下面的命令通过环境变量为当前命令指定 HTTP 代理，仅影响这一条命令及其相关执行环境。若需要长期使用，应按程序文档配置，并评估绕过地址列表。不要随意把代理写进所有用户的全局环境文件，否则内核停用后，包管理器或后台任务可能仍尝试访问已经不存在的本地入口。

HTTPS_PROXY=http://127.0.0.1:7890 curl --head https://example.com

TUN、路由与最小权限

Linux TUN 接管通常涉及虚拟网络接口和路由权限。图形客户端如果提供服务安装入口，应优先按其流程配置，避免自行对整个应用目录授予过大的权限。先确认服务启动，再启用 TUN，并在日志中检查接口创建和路由设置结果。普通桌面用户不应长期以 root 身份运行整个图形界面，只为解决某个辅助组件的权限问题。

远程服务器尤其要谨慎处理自动路由。启用前保留独立管理通道，确认 SSH、私有网段和本地网关的访问路径；否则默认路由改变后，当前管理连接可能中断。TUN 的自动路由、自动接口识别和 DNS 劫持应结合实际网络拓扑配置，容器、网桥和多网卡环境不能直接照抄单网卡笔记本的设置。路由器部署可另读旁路由运行 mihomo 内核概览。

内核配置检查与服务目录

选择内核直跑时，先准备包含出站、代理组和规则的完整配置，再进行语法检查。以下命令假定 mihomo 已安装到系统命令路径，配置文件位于当前用户的配置目录；实际路径不同，应按部署目录调整。检查通过表示配置能够被解析，不表示所有出站都能连接，也不表示规则提供器已经成功更新。

mihomo -t -f "$HOME/.config/mihomo/config.yaml"
mihomo -d "$HOME/.config/mihomo"

配置目录不仅保存主配置，还可能包含规则提供器文件、缓存和数据库。交互式运行与服务运行使用不同用户时，读取和写入权限可能不同，表现为手动启动成功但服务失败。应明确服务的运行用户、工作目录和配置路径，并检查目录权限。日志应通过部署方式对应的日志入口读取，不要让服务不断重启却始终丢弃错误输出。

防火墙、局域网与升级维护

本机代理可用而局域网设备无法连接时，需要分别检查监听地址、allow-lan 和防火墙，不能只把端口号发给其他设备。允许局域网访问会扩大入口暴露范围，应限制可信网段，必要时设置入口认证。控制接口与代理入口用途不同，控制接口不应直接暴露给不可信网络，更不能为了方便远程管理而关闭全部防火墙规则。

更新客户端或内核前保存配置和服务定义，确认停止旧进程后再启动新进程。桌面会话退出是否终止客户端，与系统服务是否持续运行也不同，应按部署目标设置。卸载时先恢复桌面代理、停止服务并撤销额外路由，再删除程序。若留下环境变量或自启动任务，即使文件已删除，也可能在下次登录时继续造成请求失败。

配置常见问题：端口、DNS 与规则排查

先固定测试条件，再修改配置

排错应沿“应用是否接入、规则交给谁、出站是否连通、解析是否正确”的顺序推进。先固定一个目标应用、一个目标域名和一个出站，记录系统代理或 TUN 的状态，再观察连接日志。不要同时换节点、换 DNS、改端口和重装客户端；即使网络恢复，也无法知道真正原因，下一次故障仍缺少可复用的处理路径。

下面列出常用字段的作用边界。客户端可能通过界面覆写订阅里的值，因此定位问题时要查最终运行配置。DNS 监听端口与混合代理端口用途不同，不能因为数字接近就互换使用。若需要暴露本地入口，应先明确访问者和网络范围，而不是直接把所有监听地址改成任意地址。

按现象选择检查分支

proxy-groups:
  - name: PROXY
    type: select
    proxies:
      - 订阅出站
      - DIRECT

rules:
  - DOMAIN-SUFFIX,example.com,PROXY
  - GEOIP,CN,DIRECT
  - MATCH,PROXY

用可回退的方式维护配置

确认问题后，将必要修改放入客户端支持的覆写或合并配置，而不是长期手改订阅下载产物。保留一份最小可用配置作为基线，新增规则后先运行语法检查，再验证代理与直连两种路径。请求协助时只提供与故障相关的脱敏片段、错误行号和复现步骤；完整配置、账号地址与本地管理密钥都不应作为公开附件。