Clash 全平台安裝設定大全

本章解決三件事:弄清用戶端與核心的分工、準備好可用的訂閱連結、理解系統代理與 TUN 兩種流量接管方式的差異。這些概念貫穿後面五個平台章,先花幾分鐘讀完,能省下大量重複排查。

用戶端與核心的分工

日常所說的 Clash 實際上由兩層組成:核心負責流量轉發、規則比對與 DNS 處理;圖形用戶端負責介面、訂閱管理和系統設定寫入。目前主流用戶端普遍搭載 Mihomo 核心,本文提到的 TUN、fake-ip、規則比對等能力全部由核心提供,用戶端只是把它們做成視覺化開關。理解這一點之後,很多現象就有了解釋:不同用戶端的核心行為高度一致,差異集中在介面與平台整合;用戶端版本與核心版本是兩條更新線,並不等同;某個功能「這個用戶端有、那個沒有」,多數只是介面沒有暴露,核心層其實都在。

用戶端選型不必糾結:各平台第一推薦均為 Clash Plus,Linux 桌面推薦 Clash Verge Rev,完整清單與安裝包見用戶端下載頁,介面、核心與維護狀態的橫向比較見《主流 Clash 用戶端怎麼選》。

訂閱連結:按憑證等級保管

訂閱連結是一個 HTTP(S) 位址,由服務商生成,用戶端存取它即可拉取包含節點與規則的完整設定。兩點常識:第一,訂閱連結等同於帳號憑證,外流即等於帳號共用,不要貼到公開場合;第二,不同服務商輸出的格式不盡相同,常見 Clash YAML 與 Base64 兩類,相容情況與轉換方法見《Clash 訂閱格式科普》。導入前先確認拿到的是訂閱連結本身,而不是單個節點的分享連結——後者只描述一個節點,無法生成完整的規則集。

系統代理與 TUN:兩種接管方式

全平台的流量接管只有兩條路徑。系統代理:用戶端在本機開一個監聽埠(常見 7890),並把「127.0.0.1:埠」寫進作業系統的代理設定,凡是遵守系統代理的應用程式(瀏覽器與多數連網軟體)流量都會經過它;實現方式輕量、開銷小,但命令列工具、部分遊戲與系統元件會繞過它。TUN 模式:核心建立一張虛擬網卡,在網路層接管全部出站流量,涵蓋不讀取代理設定的程式;代價是需要更高權限——Windows 裝系統服務、macOS 授權輔助工具、Linux 要 root 或能力授權、行動端走系統 VPN 授權。

一條鐵律貫穿全文:同一時刻只開一種接管方式。系統代理與 TUN 疊加會造成流量回環、DNS 異常等難以定位的問題,第八章裡多數「玄學故障」的根源都在這裡。術語不熟悉時,隨時查概念速查。

安裝前檢查清單

• 確認系統版本符合基線:Windows 10 64 位元及以上、macOS 11 及以上為常見要求,更舊的系統請在下載頁各平台說明中核對。
• 手邊有可用的訂閱連結,並確認在瀏覽器中能開啟——回傳一段 YAML 文字或一長串編碼字元都屬正常。
• 具備系統管理員 / root 權限,TUN 模式與系統服務安裝都需要它。
• 先退出或卸載其他代理、加速類軟體:它們與 Clash 搶佔埠與虛擬網卡,是安裝階段最常見的故障源。

五個平台的總覽如下,點擊錨點直達對應章節:

Windows 是設定項最多的平台:安裝攔截、系統代理寫入、TUN 服務安裝、UWP 回環限制各有一道關卡,本章按操作順序逐一說明。

下載與安裝

前往下載頁 Windows 分區取得安裝包,首推 Clash Plus,備選 Clash Verge Rev、FlClash 與 Clash Nyanpasu;Clash for Windows 已停止維護,僅供歸檔保留,不建議新裝。安裝包為 .exe,雙擊執行即可。若出現 SmartScreen 藍色攔截視窗,點「更多資訊」→「仍要執行」,這是系統對新分發安裝包的常規提示,不代表檔案有問題。安裝路徑建議保留預設,或至少避免使用中文與空格目錄——部分核心元件解析含中文路徑的設定目錄時會靜默失敗,事後排查的成本遠高於換個路徑。安裝完成後首次啟動,Windows 防火牆可能彈出詢問,勾選專用網路並允許存取。

導入訂閱

開啟用戶端,進入「訂閱」或「設定」頁,貼上訂閱連結後點導入 / 更新。成功的標誌是設定列表出現新項目,且「代理」頁能看到節點分組。若導入報錯,先在瀏覽器中直接開啟該連結確認可連通,再對照第八章的訂閱故障小節處理。導入成功後建議順手開啟訂閱自動更新,間隔設 12~24 小時即可。

開啟系統代理

在用戶端主畫面開啟「系統代理」開關,其本質是把 127.0.0.1 加混合埠(預設多為 7890)寫入 Windows 代理設定。驗證方式:開啟「設定 → 網路和網際網路 → Proxy」,「使用 Proxy 伺服器」應為開啟且位址一致;瀏覽器存取一個境外網站確認連通,再用 IP 查詢網站確認出口位址已變化。特別提醒:關閉用戶端前先關掉系統代理開關。直接結束程序可能把代理設定殘留在系統裡,表現為退出用戶端後整機斷網——遇到這種情況,到系統代理設定裡手動關閉即可恢復。

開啟 TUN 模式

需要讓命令列工具、遊戲或系統元件也走代理時,改用 TUN 模式。首次開啟時用戶端會請求安裝系統服務(需要系統管理員確認),該服務負責以高權限拉起核心並建立虛擬網卡。開啟成功後,「網路連線」裡會多出一張 Mihomo / WinTun 虛擬網卡。開啟 TUN 的同時請關閉系統代理開關,兩者疊加會造成流量回環或 DNS 異常。若服務安裝失敗,以系統管理員身分重新執行用戶端再試;反覆失敗時先在用戶端設定裡卸載殘留服務,再重新安裝。

平台特有雷區

• 埠被佔用:安全軟體、開發偵錯工具常佔用 7890,表現為系統代理開了但全網不通。定位與改埠方法見第八章埠衝突小節。
• UWP 應用回環:市集應用預設禁止存取本機回環位址,導致它們不走代理。部分用戶端提供「UWP 回環豁免」工具,勾選目標應用後生效。
• 防毒誤判:核心建立虛擬網卡與系統服務的行為可能被安全軟體攔截。安裝前把安裝目錄加入信任區,比事後逐條放行省事。
• 殘留網卡:多次安裝卸載不同用戶端後,可能出現無人使用的 TAP / WinTun 幽靈網卡,可在裝置管理員的「網路介面卡」中卸載。
• 開機自動啟動:在用戶端設定中開啟,而不是手動把捷徑丟進啟動目錄——前者會連同系統服務一起按正確順序拉起。

macOS 章的重點在兩處:裝對晶片架構的安裝包,以及走通系統的安全授權鏈。授權只在首次與版本更新後出現,一次設定好長期有效。

晶片與安裝包選擇

macOS 安裝包按晶片分為 Apple Silicon(arm64)與 Intel(x64)兩個版本。點按左上角蘋果選單 →「關於本機」,「晶片」一欄顯示 Apple M 系列即選 arm64,顯示 Intel 即選 x64。裝錯架構的直接表現是首次啟動就閃退,或轉譯執行導致效能明顯下降。用戶端選擇與 Windows 類似:首推 Clash Plus,備選 Clash Verge Rev、FlClash;ClashX Meta 已停止維護,僅供歸檔。前往下載頁 macOS 分區取得 dmg,開啟後把應用程式圖示拖入 Applications 檔案夾即完成安裝。

首次啟動與安全授權

首次開啟可能提示「無法驗證開發者」或「來自不明開發者」。處理路徑:開啟「系統設定 → 隱私權與安全性」,在頁面下方找到被封鎖應用程式的提示,點「仍要打開」。之後用戶端寫入系統代理、安裝輔助服務時還會各彈一次授權,輸入登入密碼或用 Touch ID 確認即可。這些授權只在首次啟動和大版本更新後出現,不會每次都詢問。

導入訂閱與系統代理

導入流程與其他平台一致:訂閱頁貼上連結 → 更新 → 代理頁確認節點分組出現。開啟「系統代理」後,驗證入口在「系統設定 → 網路 →(目前介面)→ 詳細資訊 → Proxy」:網頁代理伺服器(HTTP)與安全網頁代理伺服器(HTTPS)應指向 127.0.0.1 與用戶端埠。注意 macOS 的代理設定按網路服務(Wi-Fi、有線、雷雳橋接)分別儲存,從 Wi-Fi 切到有線後如果代理失效,重新開啟一次系統代理開關,讓用戶端寫入目前作用中的介面即可。

開啟 TUN 模式

macOS 上開啟 TUN 需要用戶端以更高權限執行核心:首次開啟會請求安裝特權輔助工具或授權網路擴充功能,按提示確認。成功後在終端機執行 ifconfig 可見新增的 utun 介面。與 Windows 相同,TUN 與系統代理二選一。若開啟 TUN 後無法上網,優先檢查 DNS 設定是否被舊設定覆蓋,以及是否有企業安全軟體佔用了網路擴充通道。

平台特有雷區

• 退出殘留:強制結束用戶端(而非正常退出)會把系統代理留在開啟狀態,表現為斷網。到網路設定裡手動關閉代理,或重新開啟用戶端再正常退出。
• 系統升級:大版本升級後安全授權可能被重置,首次啟動重新走一遍「隱私權與安全性」放行即可,設定不會遺失。
• MDM 裝置:公司統一管理的 Mac 可能透過設定描述檔鎖定代理與 VPN 設定,這類限制用戶端無法繞過,需聯絡裝置管理員。
• 多用戶端並存:同時安裝多個 Clash 系用戶端沒有問題,但同一時刻只執行一個,否則它們會互相搶寫系統代理設定。

Android 沒有獨立的系統代理開關,用戶端一律透過系統 VPN 介面接管流量,效果等同於 TUN。本章的重點是裝對架構、給足授權、做好保活。

下載與 ABI 選擇

Android 安裝包按處理器架構(ABI)區分:近幾年的主流機型一律選 arm64-v8a;較舊或入門裝置可能是 armeabi-v7a;不確定架構就選 universal 通用包,體積較大但全相容。用戶端順序與下載頁一致:首推 Clash Plus,備選 Clash Meta for Android、FlClash、Surfboard,安裝包在下載頁 Android 分區取得。

安裝與 VPN 授權

安裝 APK 時系統會攔一次「不允許安裝不明應用程式」:進入設定,為目前安裝來源(瀏覽器或檔案管理器)開啟允許後返回繼續。首次點擊用戶端的連線按鈕,系統彈出「連線要求」對話框——這是 Android 的 VpnService 授權,必須允許;授權通過後狀態列出現鑰匙圖示,表示通道已建立。此授權按應用程式記憶,卸載重裝後需要重新授權一次。

導入訂閱

在設定 / 訂閱頁貼上連結導入,部分用戶端支援掃描 QR Code 與從剪貼簿一鍵識別。行動網路環境下建議開啟訂閱自動更新,把間隔設為 24 小時左右,節點變更不至於滯後太久;更新失敗的典型原因與處理見《Clash 訂閱更新失敗怎麼辦》。

背景保活

部分安卓客製化系統對背景程序的清理非常激進,「連著連著就斷開」「鎖螢幕一段時間後斷流」多半是用戶端被系統強制關閉了。處理三步驟:一,在系統電池設定中把用戶端設為「無限制 / 不最佳化」;二,在自動啟動管理(各廠牌叫法不同)中允許其自動啟動與背景執行;三,在多工畫面中把用戶端視窗上鎖。三項都做,長時間保活才有保障,只做其中一項在部分機型上仍會被強制關閉。

平台特有雷區

• 私人 DNS 衝突:系統「私人 DNS」(DoT)設為指定主機名稱時,DNS 查詢可能繞過用戶端,造成分流異常,建議改回「自動」。
• VPN 互斥:Android 同一時刻只允許一個應用程式持有 VpnService,開啟 Clash 會頂掉其他 VPN 類應用程式,反之亦然,屬系統行為。
• 分應用程式代理:用戶端普遍支援按應用程式的允許 / 排除清單;對網路環境敏感的銀行類應用程式,可加入排除清單走直連。
• 省電模式:激進省電模式會限制背景網路,長時間掛機情境建議關閉,或至少為用戶端單獨豁免。
• 重新開機行為:部分系統重新開機後 VPN 授權仍在但不會自動連線,需要用戶端的「開機自動連線」選項配合自動啟動權限一起開啟。

iOS 用戶端經 App Store 發行,設定流程是五個平台中最短的;注意事項集中在 VPN 設定的管理與網路切換後的通道行為。

取得用戶端

iOS 平台首推 Clash Plus,在 App Store 搜尋安裝即可,商店直達入口見下載頁 iOS 分區;用戶端官方網站為 clashplus.io,平台支援情況與功能說明可在官網查閱。App Store 版本會隨商店自動更新,不需要手動下載安裝包,這也是 iOS 章沒有「架構選擇」環節的原因。

導入訂閱與首次連線

開啟用戶端進入訂閱頁,貼上訂閱連結導入;iOS 上更快的方式是先在 Safari 裡複製連結,用戶端啟動時會識別剪貼簿並詢問是否導入,確認即可。首次點擊連線,系統彈出「"Clash Plus" 想新增 VPN 設定」對話框,點「允許」並用 Face ID / Touch ID 或密碼確認——這是 iOS 網路擴充功能的標準授權,設定會出現在「設定 → 一般 → VPN 與裝置管理 → VPN」清單中。連線成功後狀態列出現 VPN 字樣,表示通道已建立。

模式選擇與節點切換

iOS 用戶端同樣提供規則 / 全域 / 直連三種模式,日常保持規則模式即可,三種模式的行為差異見《規則模式、全域模式、直連模式差異詳解》。節點切換在代理頁完成:先對分組做一次延遲測試,選擇數值低且穩定的節點;切換節點不需要中斷重連,通道保持不動,核心在內部完成出站變更。

系統 VPN 設定的邊界

「設定」裡的 VPN 開關與用戶端內的連線按鈕控制的是同一條通道:從系統設定關閉 VPN,用戶端會同步顯示中斷。刪除 VPN 設定(設定 → 一般 → VPN 與裝置管理)相當於收回授權,下次連線時用戶端會重新請求新增。多個代理類應用程式各自維護自己的 VPN 設定,同一時刻只能啟用一個,互相取代屬系統行為,不是故障。

平台特有雷區

• 網路切換重連:Wi-Fi 與行動網路之間切換時通道會短暫重建,出現幾秒斷流屬正常;若長時間未恢復,手動中斷重連一次。
• 低數據模式:行動網路或 Wi-Fi 開啟「低數據模式」會限制背景流量,影響訂閱自動更新與通道穩定性,建議對常用網路關閉。
• 隨需連接:部分用戶端提供「隨需連接」規則,系統會在有網路活動時自動拉起 VPN;如果發現 VPN「關不掉、自動又開」,先在用戶端裡關閉隨需連接再中斷。
• 地區帳號:App Store 應用程式的可見性隨商店地區而異,搜尋不到時以下載頁給出的商店連結直達為準。
• 省電影響:iOS 低耗電模式會收緊背景活動,長時間鎖螢幕後首次存取偶見延遲升高,亮螢幕後會自行恢復。

Linux 章分兩條線:桌面使用者裝 GUI 用戶端,流程與其他平台接近;伺服器與路由器使用者直接跑 Mihomo 核心,靠設定檔與 systemd 管理。兩條線在本章都給出完整步驟。

桌面用戶端安裝

Linux 桌面推薦 Clash Verge Rev,備選 FlClash,安裝包在下載頁 Linux 分區取得。Debian / Ubuntu 系用 deb 套件安裝:

sudo apt install ./clash-verge-rev_amd64.deb

用 apt install ./套件名 而不是 dpkg -i,前者會自動補齊相依套件。Fedora 系用對應的 rpm 套件配 dnf install。裝完後從應用程式選單啟動,導入訂閱的操作與其他平台一致:訂閱頁貼上連結 → 更新 → 代理頁確認節點分組。

代理生效的三種方式

Linux 上「系統代理」不是單一開關,常用三種方式依覆蓋範圍遞增排列。其一,桌面環境代理:GNOME / KDE 的網路設定裡有代理設定項,GUI 用戶端的「系統代理」開關寫的就是這裡,對遵守該設定的桌面應用程式生效。其二,環境變數:終端機與多數命令列工具讀取以下變數:

export http_proxy=http://127.0.0.1:7890
export https_proxy=http://127.0.0.1:7890
export no_proxy=localhost,127.0.0.1

臨時使用直接在目前終端機執行,長期使用寫入 ~/.bashrc 或 ~/.zshrc。注意環境變數只影響之後新開啟的程序,已經在跑的程式不會感知。其三,TUN 模式:覆蓋全部流量,包括不讀環境變數的程式。GUI 用戶端裡開啟 TUN 需要授權,Clash Verge Rev 會引導安裝特權服務;手動跑核心則需要 root,或對執行檔授予網路能力:

sudo setcap 'cap_net_admin,cap_net_bind_service=+ep' ./mihomo

伺服器:核心 + systemd

沒有桌面環境時直接使用 Mihomo 核心。從下載頁核心分區取得對應架構的壓縮檔(x86 伺服器選 amd64,ARM 裝置按位數選 arm64 或 armv7),解壓後放入 /usr/local/bin,設定檔放 /etc/mihomo/config.yaml。用 systemd 託管:

[Unit]
Description=Mihomo Daemon
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/mihomo -d /etc/mihomo
Restart=on-failure

[Install]
WantedBy=multi-user.target

儲存為 /etc/systemd/system/mihomo.service,然後:

sudo systemctl daemon-reload
sudo systemctl enable --now mihomo
journalctl -u mihomo -f

最後一條命令即時查看核心日誌,首次啟動務必看一眼:設定語法錯誤、埠佔用都會在這裡直接報出來。修改設定後用 systemctl restart mihomo 重新啟動生效。

平台特有雷區

• 發行版差異:Arch 系可從 AUR 取得打包版本,但版本與官方安裝包可能不同步,出問題先對照下載頁的官方套件排除打包因素。
• Wayland 系統匣:部分 Wayland 桌面對系統匣圖示支援不完整,用戶端視窗關閉後找不到入口,可從應用程式選單再次啟動叫出主視窗。
• DNS 接管:開啟 TUN 後若解析異常,檢查 systemd-resolved 是否與核心 DNS 劫持衝突,必要時在設定的 dns 段調整監聽。
• 防火牆:啟用了 firewalld / ufw 的機器,若區域網路內其他裝置要借用代理,需放行混合埠並在設定中開啟 allow-lan: true。
• 路由器裝置:MIPS 等嵌入式架構選 mips-softfloat 核心套件,資源有限的裝置建議精簡規則數量,降低記憶體佔用。

五個平台的用戶端最終都在驅動同一份 YAML 設定。看懂它的結構,就能脫離「介面點哪裡」的層面,直接理解用戶端每個開關背後改的是什麼。本章不要求手寫設定——訂閱已經生成了完整內容——但要求能讀懂。

頂層結構總覽

一份典型設定的骨架如下:

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info

dns:
  enable: true
  enhanced-mode: fake-ip

proxies:
  - name: "節點A"
    type: vless
    server: example-server.com
    port: 443

proxy-groups:
  - name: "PROXY"
    type: select
    proxies: ["節點A", "自動選擇"]
  - name: "自動選擇"
    type: url-test
    proxies: ["節點A"]
    url: https://www.gstatic.com/generate_204
    interval: 300

rules:
  - DOMAIN-SUFFIX,github.com,PROXY
  - GEOIP,CN,DIRECT
  - MATCH,PROXY

六個部分各司其職:通用欄位定義埠與執行模式;dns 段決定網域名稱解析策略;proxies 是節點清單;proxy-groups 把節點組織成可選擇的策略組;rules 決定每條連線進哪個組。用戶端介面上的「代理頁」渲染的就是 proxy-groups,「模式切換」改的就是 mode 欄位。

常用欄位速查

規則如何比對

rules 清單自上而下逐條比對,命中即停止,末尾的 MATCH 是兜底規則。常見規則類型:DOMAIN-SUFFIX 按網域後綴、DOMAIN-KEYWORD 按網域關鍵字、GEOIP 按目標 IP 歸屬地、IP-CIDR 按 IP 段。理解「順序敏感、命中即停」這一點,就能解釋很多分流疑問:某網站沒按預期走代理,通常是它在更前面的位置命中了另一條規則。三種 mode 的取捨見《規則模式、全域模式、直連模式差異詳解》。

訂閱更新的行為細節

更新訂閱時,用戶端會重新拉取遠端 YAML 並整體取代本機設定——這代表直接修改設定檔的手動變更會在下次更新時被覆蓋。需要長期客製化(追加自訂規則、改埠)時,使用用戶端提供的覆寫 / 合併機制(如 Clash Verge Rev 的 Merge / Script),把改動宣告在訂閱之外,每次更新後自動重新套用。自動更新建議全平台開啟,間隔 12~24 小時;更新失敗的分類排查見《Clash 訂閱更新失敗怎麼辦》,格式不相容時的轉換方案見《Clash 訂閱格式科普》。

本章收錄五個平台共通的高頻故障,按症狀編排,每條給出定位路徑與處理動作。單點問答的更多條目見說明中心。

訂閱導入或更新失敗

分三步定位。第一步,瀏覽器直接開啟訂閱連結:打不開表示連結失效或本機網路不通,前者請服務商重新取得,後者先暫時用可用節點以全域模式拉一次訂閱再恢復。第二步,瀏覽器能開啟但用戶端報錯:多為服務商按 User-Agent 限制了用戶端存取,或回傳格式與用戶端不相容——前者在用戶端訂閱設定裡調整 UA,後者需要格式轉換。第三步,導入成功但節點清單為空:拿到的可能是單節點分享連結而非訂閱連結,或訂閱內容為 Base64 而用戶端只認得 YAML。完整排查線見對應技術筆記。

開了代理但無法上網

由近到遠逐層檢查。本機層:確認系統代理與 TUN 沒有同時開啟,確認沒有其他代理軟體在背景搶佔;查看用戶端日誌(或 Linux 上 journalctl -u mihomo)有無埠佔用報錯。節點層:在代理頁做延遲測試,全部逾時表示訂閱整體故障或本機到伺服器的連線不通,換一個分組或聯絡服務商;個別逾時則只是該節點故障,切換即可。規則層:能開境外網站但個別網站異常,多為規則比對不符合預期,把模式暫時切到全域驗證——全域正常而規則模式異常,即可確認是規則問題。

埠衝突

症狀:用戶端日誌出現 bind / listen 失敗,或系統代理開啟後全網不通。Windows 用 netstat -ano | findstr 7890、macOS / Linux 用 lsof -i :7890 找出佔用的程序;要麼結束該程序,要麼在用戶端設定裡把混合埠改成 7891 等閒置埠。注意改埠後系統代理指向會由用戶端自動同步,但寫死在環境變數或第三方軟體裡的舊埠需要手動更新。

DNS 污染與解析異常

症狀:延遲測試正常但網頁打不開,或網域解析到明顯錯誤的位址。處理順序:確認設定 dns 段 enable: true 且 enhanced-mode: fake-ip;檢查系統層是否有其他 DNS 元件截胡(Android 私人 DNS、Linux systemd-resolved、路由器 DNS 快取);切換 TUN 與系統代理兩種接管方式對比驗證,可以區分問題出在解析層還是轉發層。fake-ip 模式下個別老舊應用程式不適應虛擬 IP,可在 dns 段的 fake-ip-filter 中把相關網域排除。

速度慢

先分層再動手:節點本身(同一節點在其他裝置上是否同樣慢)、傳輸線路(高峰時段是否規律性變慢、換協定是否改善)、本機設定(規則數量是否過多、DNS 是否繞遠路)。三層各自的測試方法與處理動作展開在《Clash 網速慢的分層排查方法》,這裡不再重複。經驗上,把「慢」先量化成延遲數值與頻寬數值,再決定換節點還是調整設定,比憑感覺換來換去有效得多。

用戶端更新與設定轉移

升級用戶端不影響訂閱與設定,它們儲存在使用者資料目錄,直接覆蓋安裝即可。換用戶端或換裝置時,不必匯出舊設定,把訂閱連結在新環境重新導入一遍最乾淨——設定由訂閱生成,連結本身就是完整的轉移憑證。唯一需要手動搬移的是覆寫 / 合併腳本這類訂閱之外的本機客製化。跨用戶端轉移(例如從已停止維護的 Clash for Windows 遷出)同理,選型參考用戶端橫向比較,安裝包一律從下載頁取得。