先確認系統代理正常，再設定 TUN

在 Windows 上設定 Clash，建議依序操作：「安裝用戶端 → 匯入訂閱 → 選擇策略 → 開啟系統代理 → 檢查連線」。確認瀏覽器可正常連線後，再視需要啟用 TUN。每次只調整一項，才能判斷問題出在訂閱、節點連線，還是本機流量接管。

本文以 Windows 11 的系統選單為例。Clash Verge Rev、FlClash 等圖形化用戶端的頁面名稱可能不同；系統代理、服務模式與 TUN 的設定，請以目前用戶端顯示的選項為準。圖形化用戶端負責管理設定，mihomo 等核心則負責解析設定、比對規則及建立連線；兩者的版本需分別確認。

選擇安裝檔：架構、安裝版與免安裝版

確認 Windows 系統架構

開啟「設定」→「系統」→「系統資訊」，查看「系統類型」。一般 Intel、AMD 電腦請選擇 x64 安裝檔；ARM 裝置則優先選擇專案明確提供的 ARM64 安裝檔。Windows 是 64 位元，不代表 x64 與 ARM64 安裝檔可以互換。

套件類型適用情境注意事項
EXE / MSI 安裝檔日常桌面使用依照安裝精靈操作；是否安裝服務元件，視用戶端的實作而定。
ZIP 免安裝版手動解壓縮後執行請先完整解壓縮至固定資料夾，不要直接從壓縮檔內啟動。
核心執行檔命令列或服務部署這不等於圖形化用戶端，設定檔與執行參數須自行準備。

啟動前先處理舊用戶端

  1. 從舊用戶端的系統匣選單關閉系統代理，再結束舊用戶端。
  2. 暫停其他 VPN 或透明代理工具，避免它們同時修改路由與 DNS 設定。
  3. 安裝並啟動新用戶端，先確認核心已成功啟動，再匯入設定。
  4. 免安裝版若需安裝服務，請先放在固定資料夾；移動資料夾後可能需要重新安裝服務。

舊版 Clash for Windows 已停止維護，不建議做為新安裝的預設選擇。若要繼續使用舊設定，請先閱讀用戶端選擇指南，確認目標用戶端與核心的相容性，再移轉訂閱與覆寫設定。請勿將舊用戶端的整個程式資料夾直接覆蓋到新用戶端。

匯入訂閱：確認格式、啟用設定與更新結果

訂閱連結通常由服務提供者產生。用戶端下載頁面的網址不是訂閱連結；網站登入頁或付款頁也不能用來匯入設定。連結可能包含存取憑證，排除問題時請勿將完整網址、QR Code 或設定檔張貼到公開討論區。

  1. 前往用戶端的「訂閱」或「設定」頁面，選擇新增遠端設定。
  2. 貼上適用於 Clash 或 mihomo 的訂閱連結，下載後檢查是否有解析錯誤。
  3. 選取剛匯入的設定，將它設為目前使用的設定，而不只是留在清單中。
  4. 在「代理」頁面展開策略群組，選擇可用節點或自動選擇群組。
  5. 將出站模式設為「規則」，接著檢查記錄與連線頁面。

「下載成功」不代表「設定已生效」

設定下載成功只表示已取得回應內容；回應內容也可能是登入提示或錯誤頁面。若出現 YAML 解析失敗、不支援的代理類型，或策略群組參照不存在等錯誤，應先修正設定本身；反覆切換系統代理無法解決這些問題。

  • 驗證失敗：確認訂閱是否已過期、連結是否已重設，以及複製時是否不慎帶入空格。
  • 下載逾時：確認訂閱網域可正常解析；若目前使用的系統代理已失效，請先關閉後再試。
  • 不支援的協定：確認目前執行的核心，不要只看用戶端名稱；並確認服務提供者提供的設定格式相符。
  • 更新後設定消失：遠端設定可能在重新下載時覆蓋本機內容。請使用用戶端支援的覆寫或合併機制保存本機修改。

節點連線測試有結果，只能表示當下可連線至該測試目標。實際應用是否經過代理，仍須檢查規則比對結果與連線詳細資訊；測試延遲不等於下載速度。

系統代理：檢查位址、連接埠與應用程式支援

系統代理主要影響遵循 Windows 代理設定的應用程式。它不是接管整台電腦流量的開關，也不保證所有 UDP 流量都會經過代理。請先保持 TUN 關閉，在用戶端開啟「系統代理」，再用瀏覽器瀏覽目標網站，並到用戶端的連線頁面確認是否出現相應連線。

在 Windows 中確認代理位址

在 Windows 11 開啟「設定」→「網路和網際網路」→「Proxy」→「手動 Proxy 設定」→「編輯」。如果用戶端使用本機 HTTP 或混合代理連接埠，位址通常是 127.0.0.1；連接埠則填入用戶端實際顯示的數值。請勿在此填入外部控制器連接埠，例如 9090 常用於控制介面，並非代理連接埠。

以下是用來說明欄位用途的 mihomo 設定片段，並非完整訂閱，不能直接取代現有設定。圖形化用戶端可能會覆寫連接埠，請以執行時設定與實際監聽結果為準。

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info

mixed-port 會在同一個連接埠接收 HTTP 與 SOCKS 代理要求；allow-lan: false 用於限制區域網路存取。只在本機使用時，不必為了讓瀏覽器連線而開啟區域網路分享。

使用命令列單獨測試代理連線

curl.exe --proxy http://127.0.0.1:7890 --head --connect-timeout 10 https://www.microsoft.com/

這個命令會明確指定本機代理，適合用來區分「代理入口無法使用」與「應用程式未讀取系統代理」。若收到 HTTP 回應，表示這次要求已與目標伺服器完成基本通訊，但不代表其他節點或網站也能正常使用。若連線遭拒，請優先確認核心是否正在執行，以及連接埠是否正確。

TUN 模式：服務權限、DNS 與虛擬網路介面卡

TUN 透過虛擬網路介面卡與路由設定接收流量，適合不讀取系統代理設定的應用程式。它與系統代理作用於不同層級：啟用 TUN 無法修復失效的節點，而規則模式仍會依規則決定直連、代理或拒絕。實際支援能力取決於核心、用戶端與設定。

依序啟用，並保留復原方式

  1. 先確認相同設定在系統代理模式下能正常瀏覽目標網站。
  2. 在用戶端設定中找到「服務模式」或安裝服務的選項；若用戶端透過背景服務取得所需權限，請先完成安裝並確認服務正在執行。
  3. 為了分開測試，請暫時關閉系統代理，再啟用「TUN 模式」。部分用戶端會自動協調這兩個開關，請以實際狀態為準。
  4. 檢查記錄，確認虛擬介面已建立，且沒有權限不足、無法新增路由或 DNS 連接埠衝突等問題。
  5. 啟動目標應用程式，在連線頁面檢查處理程序、目標位址、比對到的規則與最終出站方式。

安裝虛擬介面或調整路由通常需要提高權限。部分用戶端會透過服務執行這些操作，部分則需要以系統管理員身分啟動；「每次都以系統管理員身分執行」並非所有用戶端的通用要求。若使用服務後仍然失敗，請檢查服務狀態與核心記錄，不要反覆安裝驅動程式。

網頁無法開啟時，先釐清是否為 DNS 問題

若記錄顯示網域解析失敗，請先確認目前設定是否啟用 DNS、上游解析器是否可連線，以及是否與其他 VPN 的 DNS 接管功能衝突。mihomo 的 Fake-IP 與 redir-host 是不同的解析方式；切換模式會改變運作行為，沒有記錄作為依據時不應反覆切換。

可使用 ipconfig /all 查看網路介面卡與 DNS 資訊，並以 route print 查看路由。這些命令只能用來檢視系統狀態，無法直接證明所有要求都經過 TUN。瀏覽器的安全 DNS 可能使用獨立的加密解析路徑，因此也要搭配用戶端的連線記錄判斷。

啟用 TUN 後若整台電腦都無法上網，請先關閉 TUN，再測試原本的網路是否恢復。若基本網路恢復，請逐一檢查服務權限、DNS 與其他虛擬網路介面卡。若是受企業網路原則管理的裝置，請洽管理員確認允許的連線方式。

Windows 防火牆：區分對外連線與區域網路連入

本機瀏覽器連線至本機代理，通常不需要開放供整個區域網路使用的連入連接埠。Windows 防火牆常見的預設原則會允許對外連線，但企業原則或安全軟體可能另有限制。請先確認遭封鎖的是核心的對外連線、服務程式，還是區域網路裝置連入本機代理。

依實際程式與網路範圍設定允許規則

  • 本機對外連線遭封鎖：檢查安全軟體記錄，確認實際發起連線的核心執行檔路徑。只允許圖形介面程式，不一定會涵蓋獨立執行的核心。
  • 用戶端升級後失效：若程式資料夾或執行檔路徑已變更，原本依路徑設定的規則可能需要更新。
  • 需要區域網路分享：同時檢查用戶端的允許區域網路設定、監聽位址與連入規則，不能只開放防火牆連接埠。
  • 使用公共 Wi-Fi：不要讓不受信任的網路連入代理監聽埠，尤其不要隨意允許「公用」網路設定檔。

若要查看詳細規則，按 Win + R，輸入 wf.msc，開啟「具有進階安全性的 Windows Defender 防火牆」。區域網路分享的連入規則應限定程式或實際連接埠、私人網路設定檔及可信任的來源位址；不需要分享時，請維持 allow-lan: false。

UWP 應用程式與連接埠占用：兩種不同問題

應用程式容器的本機迴圈限制

部分 UWP 或其他受應用程式容器限制的程式，使用本機迴圈代理時可能受限，出現瀏覽器正常、特定應用程式無法連線的情況。但並非所有從 Microsoft Store 安裝的程式都屬於這類，也不是所有商店應用程式的連線問題都源自迴圈限制。

可在系統管理員終端機執行下列命令，查看現有的迴圈豁免項目。此命令只會列出狀態，不會變更任何應用程式設定：

CheckNetIsolation.exe LoopbackExempt -s

若確實需要新增豁免，請先確認目標應用程式的套件系列名稱，並逐一處理；不要一次豁免所有套件。若用戶端提供 UWP 迴圈管理功能，也只選取需要使用本機代理的應用程式。使用 TUN 接收流量時，流量路徑不同，不能直接套用系統代理模式下的診斷結論。

連接埠 7890 已被占用：先找出監聽程序

若記錄出現 address already in use 或繫結失敗，請在終端機執行以下兩個命令。第二個命令以 PID 4321 示範查詢方式，實際操作時請換成第一個命令輸出的 PID。

netstat -ano -p tcp | findstr ":7890"
tasklist /FI "PID eq 4321"

請特別留意本機位址的連接埠為 7890、狀態為 LISTENING 的記錄。輸出也可能包含遠端連接埠或相似數字，不能只看到一列就判定連接埠遭占用。常見原因包括舊用戶端仍在系統匣執行、背景服務尚未停止，或新用戶端重複啟動。

請優先使用相關程式的結束功能或停止服務來釋放連接埠，不要結束名稱不明的系統程序。也可以將代理連接埠改成未占用的值，例如 7891，但必須同步更新系統代理與手動設定代理的應用程式。只修改 YAML 而不更新應用程式的連接埠，會導致連線遭拒。

安裝後檢查與開機啟動

能開啟一個網頁，還不足以確認設定完整。依照以下順序檢查，可涵蓋日常重新啟動及異常結束時最常見的問題。

  1. 規則檢查：維持規則模式，分別造訪應直連與應走代理的目標，並在連線頁面確認比對到的規則及最終策略。
  2. 應用程式檢查：單獨啟動實際需要連線的應用程式，不要只測試瀏覽器；並視需要測試其 UDP 或其他連線。
  3. 結束檢查：關閉系統代理與 TUN，再結束用戶端，確認基本網路仍正常。
  4. 重新啟動檢查：設定開機啟動後重新啟動電腦，確認用戶端、設定與背景服務是否依預期執行。
  5. 更新檢查：更新訂閱或核心後，重新確認設定解析、連接埠、TUN 狀態與重要規則。

用戶端開機啟動、背景服務自動啟動，以及自動開啟系統代理是三種不同的狀態。Windows 11 的「設定」→「應用程式」→「啟動」只會顯示部分啟動項目；背景服務也可透過 services.msc 檢查。請勿建立多個啟動工作，以免產生重複程序及連接埠衝突。

排查問題時，保留發生時間、用戶端與核心版本、錯誤記錄，以及系統代理和 TUN 的狀態即可。公開記錄前，請刪除訂閱權杖、驗證資訊與節點憑證。其他基本操作請參閱使用說明；常見連線問題可繼續查看常見問題。