Clash Windows 安装配置全流程:系统代理、TUN 模式与防火墙放行的常见坑

先用系统代理跑通，再配置 TUN

Windows 上配置 Clash，建议按“安装客户端 → 导入订阅 → 选择策略 → 开启系统代理 → 检查连接”的顺序操作。浏览器正常后，再按需启用 TUN。一次只改一项，才能分清是订阅错误、节点不可达，还是本机接管流量出了问题。

本文以 Windows 11 的系统菜单为例。Clash Verge Rev、FlClash 等图形客户端的页面名称可能不同；系统代理、服务模式和 TUN 应以当前客户端实际显示的开关为准。图形客户端负责管理配置，mihomo 等内核负责解析配置、匹配规则和建立连接，两者的版本需要分别查看。

安装包选择：架构、安装版与便携版

确认 Windows 系统架构

打开「设置」→「系统」→「系统信息」，查看“系统类型”。常见 Intel、AMD 电脑选择 x64 包；ARM 设备优先选择项目明确提供的 ARM64 包。不能仅凭 Windows 是 64 位，就把 x64 与 ARM64 当作同一种安装包。

启动前处理旧客户端

1. 从旧客户端托盘菜单关闭系统代理，再退出旧客户端。
2. 暂停其他 VPN 或透明代理工具，避免同时改写路由与 DNS。
3. 安装并启动新客户端，先确认内核启动成功，再导入配置。
4. 便携版如需安装服务，先放到固定目录；移动目录后可能需要重新安装服务。

旧版 Clash for Windows 已停止维护，不宜把它当作新安装的默认选择。需要继续使用旧配置时，先阅读选型指南确认目标客户端及内核兼容情况，再迁移订阅与覆写设置。不要把旧客户端的整个程序目录直接覆盖到新客户端上。

订阅导入：确认格式、激活配置与更新结果

订阅链接通常由服务提供方生成。客户端下载地址不是订阅地址；网站登录页、付款页面也不能当成配置导入。链接可能包含访问凭据，排错时不要把完整 URL、二维码或配置文件发到公开讨论区。

1. 进入客户端的「订阅」或「配置」页面，选择新增远程配置。
2. 粘贴适用于 Clash 或 mihomo 的订阅链接，下载后检查是否有解析错误。
3. 选中刚导入的配置，使其成为当前使用的配置，而不只是列表中的一个条目。
4. 在「代理」页面展开策略组，选择可用节点或自动选择组。
5. 将出站模式设为「规则」，随后检查日志与连接页面。

“下载成功”不等于“配置已生效”

配置下载成功只说明拿到了响应内容。响应也可能是登录提示或错误页面。出现 YAML 解析失败、未知代理类型、策略组引用不存在等错误时，应先解决配置本身的问题，重复开关系统代理不会修复这些错误。

• 认证失败：检查订阅是否过期、链接是否被重置，复制时是否带入空格。
• 下载超时：确认订阅域名可解析；如果正在使用失效的系统代理，先关闭它再试。
• 协议不支持：核对当前运行的内核，而不只看客户端名称；确认服务方提供了匹配的配置格式。
• 更新后设置消失：远程配置可能被重新下载覆盖。本地修改应通过客户端支持的覆写或合并机制保存。

节点连通性测试有结果，只能说明该测试目标在当时可访问。实际应用是否走代理，仍要看规则命中和连接详情；不要把测试延迟当成下载速度。

系统代理：检查地址、端口与应用支持

系统代理主要影响遵循 Windows 代理设置的应用。它不是整机流量接管开关，也不保证所有 UDP 流量经过代理。先保持 TUN 关闭，在客户端打开「系统代理」，然后用浏览器访问目标网站，并到客户端连接页检查是否出现对应连接。

在 Windows 中核对代理地址

Windows 11 打开「设置」→「网络和 Internet」→「代理」→「手动设置代理」→「编辑」。如果客户端使用本地 HTTP 或混合代理端口，地址一般为 127.0.0.1，端口填写客户端实际显示的数值。不要把外部控制器端口填到这里：例如 9090 常被用于控制接口，它不是代理端口。

下面是用于说明字段含义的 mihomo 配置片段，不是完整订阅，不能直接替换现有配置。图形客户端可能会覆盖端口，应以运行时配置和实际监听结果为准。

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info

mixed-port 在同一端口接受 HTTP 与 SOCKS 代理请求；allow-lan: false 用于限制局域网访问。只在本机使用时，不需要为了让浏览器联网而开启局域网共享。

命令行单独验证代理入口

curl.exe --proxy http://127.0.0.1:7890 --head --connect-timeout 10 https://www.microsoft.com/

这条命令明确指定本地代理，适合区分“代理入口不可用”与“应用没有读取系统代理”。如果收到 HTTP 响应，说明本次请求完成了到目标服务器的基本通信，但不代表其他节点或网站也可用。若返回连接被拒绝，优先检查内核是否运行、端口是否正确。

TUN 模式：服务权限、DNS 与虚拟网络接口

TUN 通过虚拟网络接口及路由设置接入流量，适合不读取系统代理的应用。它与系统代理处于不同层次：启用 TUN 不会修复失效节点，规则模式也仍然按规则决定直连、代理或拒绝。实际支持能力由内核、客户端与配置共同决定。

按顺序启用，保留回退路径

1. 先确认同一配置在系统代理下能够访问目标网站。
2. 在客户端设置中找到「服务模式」或服务安装入口；如果该客户端通过后台服务提供权限，先完成安装并确认服务运行。
3. 为便于单独验证，暂时关闭系统代理，再启用「TUN 模式」。某些客户端会自动协调两个开关，以实际状态为准。
4. 查看日志，确认虚拟接口创建成功，没有权限不足、路由添加失败或 DNS 端口冲突。
5. 启动目标应用，在连接页检查进程、目标地址、命中规则和最终出站。

安装虚拟接口或调整路由通常需要提升权限。部分客户端通过服务完成这些操作，部分需要管理员启动；不要把“每次都以管理员运行”当成所有客户端通用的要求。如果使用服务后仍失败，应查看服务状态与内核日志，而不是连续反复安装驱动。

网页打不开时先分离 DNS 问题

如果日志提示域名解析失败，先检查当前配置是否启用 DNS、上游解析器能否访问，以及是否与其他 VPN 的 DNS 接管冲突。mihomo 的 Fake-IP 与 redir-host 是不同的解析处理方式；切换模式会改变行为，不应在没有日志依据时来回切换。

可以用 ipconfig /all 查看适配器和 DNS 信息，用 route print 查看路由。它们用于观察系统状态，不会直接证明所有请求都进入 TUN。浏览器的安全 DNS 可能走独立的加密解析路径，因此还要结合客户端连接记录判断。

开启 TUN 后整机断网时，先关闭 TUN，再测试原有网络能否恢复。若基础网络恢复，再逐项检查服务权限、DNS 和其他虚拟网卡。企业设备存在受管网络策略时，应由管理员确认允许的接入方式。

Windows 防火墙：区分出站连接与局域网入站

本机浏览器连接本地代理，通常不需要开放一个面向整个局域网的入站端口。Windows 防火墙常见默认策略允许出站，但企业策略或安全软件可能另有限制。应先确认被拦截的是内核出站、服务程序，还是局域网设备访问本机代理。

按实际程序与网络范围放行

• 本机出站被拦截：检查安全软件记录，确认实际发起连接的内核可执行文件路径。只允许图形界面程序，未必覆盖独立运行的内核。
• 客户端升级后失效：若程序目录或可执行文件路径变化，原有按路径配置的规则可能需要更新。
• 需要局域网共享：同时检查客户端的允许局域网设置、监听地址和入站规则，不能只打开防火墙端口。
• 使用公共 Wi-Fi：不要把代理监听开放给不可信网络，尤其不要随意放行“公用”网络配置文件。

需要查看细化规则时，按 Win + R，运行 wf.msc，进入“高级安全 Windows Defender 防火墙”。局域网共享的入站规则应限定程序或实际端口、专用网络配置文件，以及可信来源地址；不需要共享时保持 allow-lan: false。

UWP 应用与端口占用：两类独立问题

应用容器的本地回环限制

部分 UWP 或其他受应用容器约束的应用，在使用本地回环代理时会受到限制，表现为浏览器正常、特定应用无法联网。但不是所有 Microsoft Store 安装的程序都属于这类应用，也不是所有商店联网故障都由回环限制造成。

可在管理员终端中运行以下命令查看现有回环豁免。它只列出状态，不会修改任何应用设置：

CheckNetIsolation.exe LoopbackExempt -s

确需添加豁免时，应先确认目标应用的包系列名称，并按应用单独处理；不要批量豁免所有包。若客户端提供 UWP 回环管理入口，也应只选择需要使用本地代理的应用。采用 TUN 接入时，流量路径不同，不能直接套用系统代理下的诊断结论。

7890 被占用，先找监听进程

日志出现 address already in use 或绑定失败时，在终端运行下面两条命令。第二条命令以 PID 4321 演示查询方式，实际操作时替换成第一条输出的 PID。

netstat -ano -p tcp | findstr ":7890"
tasklist /FI "PID eq 4321"

重点看本地地址端口为 7890、状态为 LISTENING 的记录。输出中也可能包含远端端口或相似数字，不能看到一行就判断占用。常见原因是旧客户端托盘未退出、后台服务仍运行，或新客户端重复启动。

优先通过对应程序的退出或服务停止功能释放端口，不要结束名称不明的系统进程。也可以将代理端口改为未被占用的值，例如 7891，但必须同步更新系统代理与手动配置了代理的应用。只改 YAML、不改应用端口，会造成连接被拒绝。

安装完成后的验收与开机启动

能打开一个网页还不足以确认设置完整。按下面的顺序检查，可以覆盖日常重启和异常退出时最常见的问题。

1. 规则验收：保持规则模式，分别访问应直连和应代理的目标，在连接页核对命中规则及最终策略。
2. 应用验收：单独启动实际需要联网的应用，不只测试浏览器；按需要验证其 UDP 或其他连接。
3. 退出验收：关闭系统代理、关闭 TUN，再退出客户端，确认基础网络仍正常。
4. 重启验收：设置开机启动后重启电脑，检查客户端、配置及后台服务是否按预期运行。
5. 更新验收：订阅更新或内核更新后，再检查配置解析、端口、TUN 状态和关键规则。

客户端开机启动、后台服务自动启动和自动开启系统代理是三个不同状态。Windows 11 的「设置」→「应用」→「启动」只能反映部分启动项；后台服务还可通过 services.msc 检查。不要同时创建多个启动任务，否则可能出现重复进程和端口冲突。

排错时保留时间点、客户端与内核版本、错误日志、系统代理和 TUN 状态即可。公开日志前删除订阅令牌、认证信息和节点凭据。更多基础操作见使用文档，常见连接问题可继续查看常见问题。