Clash 配置教程

开始前：准备客户端与配置来源

先安装适合当前系统和处理器架构的客户端。尚未安装时，前往Clash 下载页选择对应平台；如果已经装好多个客户端，首次配置时只运行其中一个，避免它们同时修改系统代理、争用本地端口或创建虚拟网络接口。旧客户端可以先退出，不必急着删除配置，等新客户端验证成功后再整理。

客户端负责读取配置、执行分流规则并接入流量，安装完成并不代表已经具备可用节点。继续之前，需要准备由可信配置提供方给出的有效订阅链接，或一份包含节点与规则的配置文件。订阅地址可能带有账户标识，应只粘贴到本机客户端；求助时不要把完整链接、订阅二维码或包含凭据的日志公开发出。

本教程以订阅链接导入为主线，保留客户端默认端口和 DNS 设置即可。先让一条基本连接工作，再逐项调整进阶选项，会更容易判断问题来自哪里。若不清楚「订阅」「节点」「策略组」的区别，可先查看术语手册中的订阅与配置分类，随后回到第一步。

第一步：导入订阅并启用配置

打开客户端的「配置」或「订阅」页面，找到「新建」「添加」或「从 URL 导入」入口。选择远程链接类型后，将完整订阅地址粘贴到 URL 输入框，名称填写便于辨认的本地名称，然后点击保存或导入。注意不要把网页中的登录地址、订单页面或帮助页面当成订阅地址；正确入口通常由配置提供方明确标注为订阅或客户端导入链接。

保存后先等待下载与解析结束。成功时，配置列表通常会出现刚才填写的名称，并提供更新时间、更新操作或选中状态。点击这份配置，将其设为当前使用的配置；部分客户端导入后会自动启用，另一些则需要额外点击「使用」或选中配置卡片。仅在列表中看到文件名，还不能确认内核正在使用它。

接着切换到「代理」页面。若能看到策略组，展开后也有可选节点，说明配置已经提供了可用的代理条目；如果仍为空，先回到配置页检查当前选中项和错误提示。出现下载失败时，核对链接是否复制完整、账户订阅是否有效，以及当前网络能否访问订阅服务器。不要反复点击更新，以免把临时请求限制误认为客户端故障。

如果提示 YAML 解析失败或不支持某个字段，先确认提供方给出的是 Clash 或 mihomo 兼容配置，而不是另一种客户端的专用格式。只有一条分享链接时，也不能假定所有客户端都能将其当作完整订阅导入。格式差异可查阅协议与内核技术参考，这里先使用明确兼容的配置完成连接。

手里是本地配置文件时，使用「从文件导入」，选中对应的 YAML 文件，再执行同样的启用操作。本地文件通常不会像远程订阅一样自动获取变更。首次导入成功后，可按提供方说明设置合理的更新间隔；不要把订阅 URL 当成需要频繁更换的节点地址。确认策略组已出现，再进入下一步选择模式。

第二步：选择规则模式与代理节点

找到客户端的「出站模式」或「代理模式」，初次使用选择「规则」。规则模式会按当前配置判断每条连接应当直连、经过代理还是被拒绝，并不是让所有访问都经过同一个节点。常见配置会把本地网络和部分网站交给直连策略，把需要代理的访问交给指定策略组；最终行为以实际规则内容为准。

然后打开「代理」页面，找到规则所引用的主策略组。组名由配置决定，可能包含 PROXY、代理选择等文字，也可能采用提供方自定义名称。展开策略组，点击一个可用节点，使选中标记移动到该节点旁。若组内选择的是自动选择或故障转移子组，实际节点会由该子组按自身设置决定；为了便于首次排查，可以先使用允许手动选择的组固定一个节点。

客户端提供连通性测试时，可以先运行一次，确认所选节点能够响应。测试成功只是参考，不代表所有目标网站或所有协议都能正常工作；测试超时也可能与测试地址或当前网络有关。先选一个状态正常的节点继续操作，稍后用真实访问结果验证，不必只围绕测试数值反复切换。

「全局」模式通常把进入内核的连接交给全局策略，适合短暂对照规则是否影响结果；「直连」模式则不使用代理节点。全局模式不会替代系统代理或 VPN 接入，也不会让尚未进入内核的应用自动被接管。如果临时切到全局做测试，要同时确认全局策略组选择正确，测试结束后恢复规则模式。规则匹配和策略组的详细含义可在术语手册继续查阅。

第三步：开启系统代理或 VPN 连接

到这一步，配置和节点已经准备好，但应用流量还需要进入客户端。Windows、macOS 和桌面 Linux 上，先在客户端概览页、设置页或托盘菜单开启「系统代理」。客户端会将系统代理地址指向本机监听端口，遵循系统代理设置的浏览器与应用随后才会把请求交给内核。开启后保持客户端运行，不要关闭进程后直接开始测试。

初次配置先保留默认端口，不需要手动把端口填到路由器中，也不需要开启「允许局域网连接」。后者用于让其他设备访问本机代理，不是本机正常连接的必要条件。若客户端提示监听失败或端口被占用，先退出其他代理客户端，再重新启动当前客户端；确实需要修改端口时，应让应用使用的代理地址与新的监听端口一致。

Android 与 iOS 通常通过系统 VPN 接口接入流量。回到客户端首页点击启动或连接，首次运行时按系统提示确认 VPN 权限。随后查看客户端是否显示已连接，并检查系统的 VPN 状态。其他 VPN 应用可能与当前连接互相替换，测试期间先关闭它们。这里的 VPN 标识说明系统接口已经建立，是否能访问目标网站仍取决于配置、节点和规则。

如果桌面浏览器正常，但某个应用不遵循系统代理，再考虑「TUN」或客户端所称的增强模式。它通过虚拟网络接口接入流量，往往需要安装服务、授权网络扩展或提升权限，具体按当前客户端提示操作。开启时不要顺手更改 stack、路由和 DNS 等多组选项；先使用默认设置，记录是否改善了目标应用的访问。

系统代理与 TUN 解决的是不同层面的流量接入问题，并非每次都要同时开启。若开启 TUN 后出现局域网访问异常，先关闭 TUN 回到已经验证的系统代理路径，再检查配置。有关协议适配、DNS 和内核差异的深入说明放在协议详解，首次连接无需逐项调整。

第四步：核对访问结果与规则命中

保持客户端运行，重新打开浏览器并访问一个你预计应由代理规则处理的网站。已有页面可能保留连接或缓存，因此不要只刷新一个早已打开的标签页就下结论。确认页面内容能够加载后，立即查看客户端的「连接」或「日志」页面，按目标域名查找对应记录。

找到记录后，核对三个信息：目标域名是否正确、匹配到了哪条规则、最终选择了哪个出站策略或节点。例如配置包含 DOMAIN-SUFFIX,github.com,PROXY 时，对应域名的连接应交给 PROXY 所代表的策略；但前面的规则可能先命中，所以仍应以实际记录为准。日志展示方式因客户端而异，没有单独的规则列时，可以展开连接详情查看。

接着访问一个预期直连的网站或局域网服务，再观察其命中策略。代理访问成功、直连访问也正常，才更接近规则模式的预期结果。单看公网地址变化无法验证所有规则，因为部分访问本来就应该直连；同样，系统显示代理已开启，也只说明设置已写入，不代表节点一定可用。

若目标网页打不开，先看连接记录是否出现。完全没有对应记录时，优先检查系统代理、VPN 状态，以及浏览器是否设置了自己的代理规则或使用了代理扩展。记录出现但连接失败时，保持其他设置不变，换一个节点重试；换节点有效，再回头检查原节点。记录显示 DIRECT 而预期是代理时，检查当前模式、启用的配置和规则顺序，不要先修改 DNS。

仍无法定位时，记录客户端名称、系统类型、出现问题的时间和相关报错，到常见问题按现象继续排查。分享日志前去除订阅地址、密码与个人账户信息。完成一次正常访问后，就可以保持当前设置使用；接下来的开机自启和 UWP 设置只在有对应需求时处理。

Clash 开机自启：分别检查启动与连接

确认手动连接正常后，再到客户端设置中开启「开机启动」或「登录时启动」。操作系统弹出启动项授权时，按需要允许；macOS 也可以在系统设置的登录项中核对，Windows 可以在启动应用列表中检查是否被禁用。Linux 桌面是否支持自动启动，取决于客户端、安装方式和桌面环境。

开机启动只代表客户端进程会运行，不一定同时恢复系统代理、TUN 或移动端 VPN。若客户端另有「启动时连接」「启动时设置系统代理」等选项，应在明确需要后启用。使用 TUN 的桌面客户端还可能依赖后台服务，不能只根据窗口已经出现就判断所有网络功能已恢复。

设置完成后进行一次重新登录或重启验证：先看客户端是否运行，再检查当前配置和模式，最后按第四步实际访问。只有这条链路都正常，自动启动才算设置完成。若重启后偶发连接失败，可以先手动连接，判断是否与网络尚未就绪有关；不要通过同时开启多个代理客户端来补救。

Clash UWP 回环：仅处理对应应用

Windows 上可能出现浏览器正常，但某些商店应用无法使用本机代理的情况。部分采用应用容器机制的程序会限制访问本机回环地址，而系统代理恰好指向本机监听端口。这与订阅是否成功导入是两类问题，也不是所有商店应用都会遇到。

如果客户端提供「UWP 回环」「回环豁免」或同类工具，打开后按提示授予权限，在列表中找到受影响的应用，只为需要访问本机代理的项目启用豁免并保存。随后彻底退出该应用再重新打开，观察连接列表中是否出现请求。不要为了省事给全部应用统一放行，也不要把没有回环工具当作节点失效。

客户端没有对应入口时，可以先查看该客户端的 Windows 使用说明，或在理解权限影响后尝试 TUN 接入，再按第四步验证。若系统中存在组织管理策略，设置可能受管理员限制。进一步排查前，先确认应用自身联网正常，避免将登录、应用服务异常或防火墙问题都归因于 UWP 回环。

退出与恢复：先关闭接入再退出

桌面端结束使用时，先关闭系统代理与已开启的 TUN，再从客户端菜单选择退出。许多客户端会在正常退出时恢复系统代理，但进程被强制结束、系统异常关机或多个客户端相互覆盖设置时，可能留下指向本机端口的代理配置。此时客户端已经停止监听，浏览器仍会尝试连接该端口，表现为网页无法打开。

遇到这种情况，先重新启动原客户端，关闭系统代理后正常退出；也可以到操作系统的网络代理设置中，检查手动代理是否仍指向本机地址，并关闭确认由该客户端设置的项目。组织统一配置的代理不要随意删除。Android 与 iOS 则在客户端停止连接，并到系统 VPN 设置确认连接已经断开。

以后更换客户端时，沿用同样顺序：停止旧客户端的流量接入，退出旧进程，在新客户端导入并启用配置，再重新连接和验证。需要重新选型时查看客户端选型指南；只需解决某项异常时转到常见问题。保留一套已验证可用的基础设置，比同时修改多项网络参数更便于维护。