Clash 全平台安裝設定大全

通用準備工作

無論使用哪個平台,首次設定前需要確認三件事:選定用戶端、拿到訂閱連結、理解設定檔的基本結構。這三件事在所有平台上完全一致,先在本章一次講清,後面各平台章節不再重複。

選定用戶端

Clash 是一套開源生態,同一份設定可以在不同用戶端之間通用。各平台的推薦組合如下,安裝檔統一從下載頁取得,各用戶端的詳細差異見部落格文章主流 Clash 用戶端橫向對比。

訂閱連結

訂閱連結是一個 HTTP(S) 位址,由服務商提供,內容是一份可被 Clash 解析的節點與規則清單。用戶端按固定間隔拉取該位址,自動取得節點更新。準備階段確認兩點:第一,連結完整,以 https:// 開頭,中間沒有被聊天軟體截斷或加入換行;第二,連結屬於敏感憑證,任何拿到它的人都能使用你的流量額度,不要發到公開群組或截圖外洩。連結失效或格式不符時的表現與處理,見設定常見問題一章。

設定檔的基本結構

Clash 的設定檔是一份 YAML 檔案,通常由訂閱產生,理解它的骨架有助於後續排錯。核心欄位五組:入站連接埠、執行模式、節點清單、策略群組、規則。一個最小可讀的範例如下:

mixed-port: 7890          # HTTP 與 SOCKS 共用入站連接埠
allow-lan: false          # 是否允許區域網路裝置存取
mode: rule                # rule / global / direct
log-level: info
external-controller: 127.0.0.1:9090

proxies: []               # 節點清單,由訂閱填入

proxy-groups:
  - name: 節點選擇
    type: select
    proxies:
      - DIRECT

rules:
  - DOMAIN-SUFFIX,github.com,節點選擇
  - GEOIP,CN,DIRECT
  - MATCH,節點選擇

規則自上而下比對,命中即停止;MATCH 是兜底規則,必須放在最後。策略群組的 select、url-test、fallback 等類型的詳細行為,見部落格文章策略群組類型詳解;各欄位的名詞解釋可查概念速查。

系統代理與 TUN 模式

用戶端啟動後只是在本機開了一個代理連接埠,流量並不會自動進入。讓流量進入有兩條路:系統代理與 TUN 模式。系統代理是把作業系統的 HTTP/SOCKS 代理設定指向本機連接埠,實現簡單,但只對遵守系統代理設定的應用程式生效;TUN 模式建立一塊虛擬網路卡,在網路層接管全部流量,涵蓋不走系統代理的命令列工具與遊戲用戶端,代價是需要更高的系統權限。

三種執行模式

設定裡的 mode 欄位決定規則引擎的行為。rule 為規則模式,按規則清單逐條分流,是日常預設;global 為全域模式,所有流量走同一個策略群組,用於臨時測試節點;direct 為直連模式,全部流量不經代理,用於排查「問題是否由代理引起」。排錯時在三種模式之間切換對照,是定位問題最快的手段之一。

Windows 安裝設定

下載與安裝

在下載頁 Windows 區取得 Clash Plus 安裝檔,系統需求 Windows 10 64 位元及以上。執行安裝程式時,SmartScreen 可能彈出「Windows 已保護您的電腦」提示——這是未購買商業程式碼簽署憑證的開源軟體的常見情況,點「其他資訊」再點「仍要執行」即可繼續。安裝路徑建議保持預設;若使用解壓縮版,注意不要放在需要系統管理員權限的目錄(如 C:\Program Files 下手動解壓縮),否則設定寫入會失敗。

匯入訂閱與首次連線

首次啟動後進入訂閱(或「設定」)頁面,貼上訂閱連結,點選匯入。用戶端會下載設定並顯示節點清單。切換到代理頁面,在「節點選擇」策略群組裡挑一個節點,然後回到主畫面開啟「系統代理」開關。此時開啟瀏覽器造訪一個規則內的網站,能正常載入即代表連線可用。若節點全部顯示逾時,按部落格文章節點逾時排查順序五層逐一檢查。

系統代理與連接埠

「系統代理」開關背後做的事,是把 Windows 設定 → 網路和網際網路 → 代理伺服器裡的位址改為 127.0.0.1:7890(連接埠以用戶端設定為準)。若開關開啟後代理設定沒有生效,先檢查連接埠是否被其他程式佔用:

netstat -ano | findstr "7890"

輸出裡若已有其他處理程序監聽該連接埠,在用戶端設定裡把 mixed-port 改為 7891 等空閒值,重新啟動用戶端後再開系統代理。多個代理軟體同時執行會互相改寫系統代理設定,務必只保留一個在執行。

TUN 模式與服務模式

Windows 上建立虛擬網路卡需要系統管理員權限。Clash Verge Rev 等用戶端提供「服務模式」:安裝一個隨系統執行的背景服務,之後開關 TUN 不再需要每次跳出 UAC 授權提示。路徑通常在 設定 → 服務模式 → 安裝。安裝服務後開啟 TUN 開關,在 設定 → 網路連線 裡能看到新增的虛擬網路卡即為生效。TUN 開啟後建議把系統代理開關關掉,避免流量重複經過兩層。

開機自動啟動

用戶端設定裡通常有「開機自動啟動」與「靜默啟動」兩個開關:前者註冊啟動項目,後者啟動後不彈出主視窗、直接留在系統匣。兩個都開啟,配合預設選中的訂閱,可以做到開機即恢復上次的代理狀態,無需手動介入。若自動啟動失敗,檢查 工作管理員 → 啟動應用程式 裡該項目是否被停用。

平台特有問題

• UWP 應用程式(Microsoft Store 安裝的應用程式)預設不允許回送到本機代理,部分用戶端提供「UWP 回送豁免」工具,勾選對應應用程式後生效。
• 首次啟動彈出的 Windows 防火牆詢問,勾選「私人網路」並允許,否則 allow-lan 情境下區域網路裝置無法接入。
• 解除安裝舊的代理軟體後,系統代理設定可能殘留為已失效的連接埠,表現為「斷網」。在系統代理設定裡手動關閉即可恢復。

macOS 安裝設定

確認晶片架構

點按左上角 Apple 選單 → 關於這台 Mac:晶片一欄顯示 Apple M 系列的,下載 Apple Silicon(arm64)版本;顯示 Intel 的,下載 Intel(x64)版本。裝錯架構的版本在 Apple Silicon 上會經 Rosetta 轉譯執行,能用但效能與耗電都差一級,建議裝對。安裝檔在下載頁 macOS 區依架構分列。

安裝與首次啟動

開啟 dmg 映像檔,把應用程式圖示拖入 Applications 資料夾,從啟動台或應用程式資料夾啟動。首次開啟若提示「無法驗證開發者」,前往 系統設定 → 隱私權與安全性,在頁面下方找到該應用程式的提示,點「仍要打開」;或在 Finder 裡右鍵點按應用程式圖示選「打開」,確認一次後後續可正常按兩下啟動。

權限授權:網路延伸功能與鑰匙串

macOS 用戶端首次執行會連續出現兩到三個授權彈出視窗,每個都需要正確處理,否則功能殘缺:

1. 網路延伸功能/代理設定彈出視窗:點「允許」。這是設定系統代理與 TUN 的前提,拒絕後用戶端只能提供本機連接埠。
2. 鑰匙串存取彈出視窗:輸入登入密碼後點「永遠允許」而不是「允許」。點「允許」的話每次啟動都會重複彈出視窗。
3. 部分用戶端還會請求安裝特權輔助程式(Helper),同樣輸入密碼確認一次。

誤點了拒絕也可以補救:前往 系統設定 → 網路 → VPN 與過濾條件,以及 隱私權與安全性 → 完整磁碟取用權限,手動為用戶端重新授權。完整的彈出視窗截圖與逐項說明見部落格文章macOS 安裝 Clash 用戶端權限全解。

系統代理與驗證

匯入訂閱、選好節點後,開啟用戶端的「設為系統代理」開關。驗證是否真的寫入了系統設定,可在終端機執行:

networksetup -getwebproxy Wi-Fi

輸出 Enabled: Yes 且連接埠與用戶端一致即為生效。注意 macOS 的代理設定是按網路服務分別儲存的:Wi-Fi 與有線乙太網路是兩套設定,切換網路介面後若代理失效,多半是用戶端只寫入了其中一個服務,重新開啟一次系統代理開關即可。

TUN 模式

macOS 上開啟 TUN 需要核准系統延伸功能或以特權輔助程式方式建立虛擬網路卡,首次開啟 TUN 開關會再彈出一次授權。開啟後在終端機執行 ifconfig | grep utun 能看到新增的 utun 介面。與 Windows 同理,TUN 開啟期間關閉系統代理開關,避免雙重代理。

平台特有問題

• 系統大版本升級後,網路延伸功能授權可能被重置,表現為用戶端正常執行但流量不走代理。重新走一遍授權流程即可。
• 用戶端異常結束後系統代理未復原,會出現「關閉軟體反而斷網」。系統設定 → 網路 → 對應服務 → 詳細資訊 → 代理伺服器,手動取消勾選即可。
• 同時安裝多個 Clash 用戶端時,不要同時執行,系統代理會被反覆改寫,行為不可預期。

Android 安裝設定

選擇安裝檔架構

近幾年的主流機型一律選 arm64-v8a 版本;僅有部分老舊或入門裝置是 armeabi-v7a。不確定時可先裝 arm64 版本,提示「剖析套件時發生問題」或「未安裝應用程式」再換 v7a 版本。Clash Meta for Android 另提供 universal 通用版本,體積更大但免去選擇。安裝檔在下載頁 Android 區依架構分列。

安裝與匯入訂閱

瀏覽器下載 APK 後安裝,系統會要求「允許安裝不明來源應用程式」,在彈出的設定頁裡為瀏覽器(或檔案管理員)開啟該權限,返回後繼續安裝。首次啟動用戶端,進入設定/訂閱頁面,新增設定並貼上訂閱連結,儲存後用戶端自動下載並解析。清單裡出現節點即匯入成功。

VPN 授權與連線

Android 用戶端透過系統 VpnService 接管流量,第一次點連線會彈出「連線要求」對話方塊,提示將建立 VPN 連線,點「確定」。此授權只需一次;狀態列出現鑰匙圖示即代表接管生效。之後的連線/中斷連線都在用戶端主畫面一鍵完成。Android 沒有獨立的「系統代理」開關,VpnService 本身就相當於桌面端的 TUN 模式。

背景保持存活與電池最佳化

部分手機廠商(尤其中國大陸品牌)的客製化系統對背景處理程序管理較為積極,是 Android 上「用著用著斷線」的頭號原因。逐項處理:

• 系統設定 → 電池 → 找到用戶端,電池最佳化策略改為「無限制」或「不最佳化」。
• 有「自動啟動管理」的系統(如 MIUI、EMUI 等),為用戶端開啟自動啟動許可權。
• 最近工作畫面裡替用戶端加鎖(下拉或長按卡片,視廠商而定),防止一鍵清理時被關閉。

分應用程式代理

用戶端網路設定裡的「存取控制」支援按應用程式分流:白名單模式只有勾選的應用程式走代理,黑名單模式勾選的應用程式不走代理。銀行類應用程式對代理環境敏感,加入黑名單可以避免風控誤判;遊戲加入黑名單可以降低不必要的延遲。修改分應用清單後需要中斷重新連線一次才生效。

平台特有問題

• 系統「私人 DNS」(設定 → 網路 → 私人 DNS)設定為固定服務商時,DNS 查詢會繞開用戶端的 fake-ip 體系,導致部分規則不生效。建議改為「自動」或關閉。
• 同一時刻系統只允許一個 VPN 連線,其他 VPN 類應用程式會互相頂掉,屬系統行為而非故障。
• 省流量模式與 VPN 疊加時部分機型會限制背景流量,異常時優先排查系統省電與省流設定。

iOS 安裝設定

App Store 安裝

iOS 平台使用 Clash Plus,透過 App Store 直接安裝:商店內搜尋 Clash Plus,或從下載頁 iOS 區進入商店詳情頁。應用程式官網為 clashplus.io,功能說明與更新記錄以官網為準。iPhone 與 iPad 通用一個版本。

匯入訂閱

開啟應用程式,進入訂閱/設定頁面,點新增,貼上訂閱連結並儲存。部分版本支援讀取剪貼簿快速匯入:先複製連結再開啟應用程式,按提示確認即可。匯入完成後節點清單出現在代理頁面,選擇一個節點作為目前出口。

VPN 設定與授權

首次點連線,系統彈出「"Clash Plus" 想新增 VPN 設定」,點「允許」並驗證螢幕鎖定密碼或 Face ID。授權後系統會在 設定 → 一般 → VPN 與裝置管理 → VPN 裡產生對應項目,狀態列出現 VPN 標誌即為連線成功。之後的連線與中斷連線既可以在應用程式內操作,也可以直接在系統設定的 VPN 開關上操作,兩處狀態是同步的。

使用要點

• 更換訂閱或大幅修改設定後,先中斷連線再重新連線一次,讓新設定完整生效。
• 應用程式被系統回收後 VPN 通道通常仍由系統網路延伸功能維持,若發現斷線,回到應用程式內重新連線即可。
• 規則模式、策略群組等概念與桌面端完全一致,通用設定知識可直接套用本頁準備工作一章與概念速查。

Linux 安裝設定

用戶端安裝

桌面情境推薦 Clash Verge Rev,提供 deb 與 rpm 包;FlClash 提供 deb 包。安裝檔在下載頁 Linux 區取得,用系統套件管理器安裝可自動解決依賴關係:

# Debian / Ubuntu 系列
sudo apt install ./clash-verge-rev_amd64.deb

# Fedora / RHEL 系列
sudo dnf install ./clash-verge-rev_x86_64.rpm

若安裝時報缺少 libwebkit2gtk 等依賴,先 sudo apt update 後重試;apt install ./套件名 寫法(帶 ./)會連同依賴一起處理,比 dpkg -i 省事。

桌面環境系統代理

Linux 的「系統代理」由桌面環境各自實現。GNOME 在 設定 → 網路 → 網路代理 裡選「手動」,HTTP/HTTPS 填 127.0.0.1:7890,Socks 主機同理;KDE 在 系統設定 → 網路設定 → 代理 裡設定。用戶端的系統代理開關通常只對 GNOME/KDE 生效,其他桌面環境或純終端情境用環境變數:

export http_proxy=http://127.0.0.1:7890
export https_proxy=http://127.0.0.1:7890
export all_proxy=socks5://127.0.0.1:7890

寫入 ~/.bashrc 或 ~/.zshrc 可長期生效。注意環境變數只影響讀取它的程式,瀏覽器多數讀取桌面環境設定而非變數。

TUN 模式與權限

建立 TUN 裝置需要 root 權限或對應 capability。Clash Verge Rev 提供服務模式,安裝系統服務後由服務處理程序以特權建立網路卡,應用程式本身保持一般權限執行,在用戶端設定裡安裝服務並開啟 TUN 開關即可。手動執行核心的情境,可以給執行檔授予能力位元後以一般使用者執行:

sudo setcap cap_net_admin,cap_net_bind_service=+ep /usr/local/bin/mihomo

伺服器情境:直接執行 Mihomo 核心

無桌面的伺服器或軟體路由不需要 GUI,直接執行 Mihomo 核心。把核心執行檔放到 /usr/local/bin/mihomo,設定放 /etc/mihomo/config.yaml,用 systemd 託管:

[Unit]
Description=Mihomo core
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/mihomo -d /etc/mihomo
Restart=on-failure

[Install]
WantedBy=multi-user.target

儲存為 /etc/systemd/system/mihomo.service,執行 sudo systemctl enable --now mihomo 啟動並設定自動啟動。日誌用 journalctl -u mihomo -f 即時查看;設定裡開啟 external-controller 後,可用任意 Clash 面板遠端管理。核心各架構包同樣在下載頁核心區。

平台特有問題

• 發行版內建的 systemd-resolved 監聽 53 連接埠,與設定裡 dns.listen 指定 53 的寫法衝突,把 Clash 的 DNS 監聽改到 1053 等連接埠或調整 resolved 設定。
• 防火牆(ufw/firewalld)開啟時,allow-lan 需要放行對應連接埠,區域網路裝置才能接入。
• Wayland 工作階段下個別用戶端系統匣圖示不顯示,不影響功能,可從應用程式選單重新喚起主視窗。

設定常見問題

訂閱匯入失敗

逐項檢查:連結是否完整、有沒有被換行或空格截斷;在瀏覽器裡直接開啟該連結,能下載到文字內容說明連結本身可達;下載到的內容若不是 YAML 而是另一種格式,說明訂閱不是 Clash 格式,需要在服務商處切換目標格式或經訂閱轉換服務轉一次。個別訂閱伺服器會驗證請求的 User-Agent,換一個用戶端匯入或在用戶端設定裡調整 UA 即可繞開。

節點全部逾時

節點全紅不等於節點失效,大機率是本地連線問題。檢查順序固定五層:訂閱是否過期 → 本地連接埠是否被佔用 → 系統代理開關是否真的生效 → 節點協定與核心是否匹配 → DNS 是否被污染。每層的判斷方法與對應解法,展開見部落格文章節點逾時排查順序。

規則不生效

三個最常見的原因,按機率排列:第一,mode 不是 rule——全域或直連模式下規則清單完全不參與決策;第二,規則順序問題——比對自上而下、命中即停,自訂規則寫在了更寬泛的規則後面就永遠輪不到;第三,目標流量走的是 DNS 已解析的 IP,DOMAIN 類規則比對不到,需要補 IP-CIDR 規則或啟用 fake-ip。修改規則後記得重新載入設定。

DNS 與 fake-ip

DNS 污染會讓網域名稱解析到錯誤 IP,表現為「節點可用但個別網站打不開」。建議啟用 fake-ip 增強模式:用戶端先回傳一個保留段假 IP,真正的解析放到代理鏈路上完成,從根本上避開本地污染。參考設定:

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - 223.5.5.5
    - 119.29.29.29
  fallback:
    - https://1.1.1.1/dns-query

fake-ip 模式下,個別依賴真實 IP 的應用程式(區域網路探索、部分遊戲)可用 fake-ip-filter 列出網域走真實解析。相關名詞解釋見概念速查的「網路與 DNS」分類。

連接埠衝突

預設入站連接埠 7890 被其他程式佔用時,用戶端可能啟動失敗或系統代理指向空連接埠。處理辦法統一:改 mixed-port 為空閒連接埠,重新啟動用戶端,並確認系統代理設定裡的連接埠隨之更新。Windows 用 netstat -ano、macOS/Linux 用 lsof -i :7890 可查到佔用的處理程序。

YAML 語法錯誤

手動修改設定後報「設定載入失敗」,九成是 YAML 語法問題。三條鐵律:缩排只用空格,統一兩個空格一層,絕不混用 Tab;冒號後面必須有一個空格;值裡包含冒號、井號或以特殊字元開頭時,整個值用引號包起來。改完先用用戶端的「檢查設定」功能或讓核心 mihomo -t -f config.yaml 做一次語法測試,再正式載入。

訂閱更新策略

訂閱內容由服務商維護,節點變更靠更新取得。建議開啟用戶端的自動更新,間隔 24 小時;出現大面積逾時、公告說明已更換節點時,手動更新一次訂閱再測。注意「更新訂閱」會用遠端內容覆蓋本地對該設定的修改,自訂規則應寫在用戶端提供的覆寫/合併設定裡,而不是直接改訂閱產生的檔案。

區域網路共用與裝置聯動

把一台已經設定好的電腦當作區域網路出口,手機、電視盒子、遊戲主機不必各自安裝用戶端,是家庭場景裡最省事的做法。做法分三步:第一步在用戶端裡開啟「允許區域網路連線」(對應設定欄位是 allow-lan: true),這一步決定核心是否監聽 0.0.0.0 而不是只監聽 127.0.0.1;第二步查出這台機器在區域網路裡的位址,Windows 用 ipconfig 看以太網或 WLAN 介面的 IPv4 位址,macOS 與 Linux 用 ifconfig 或 ip addr,通常是 192.168.x.x 這樣的私有網段;第三步在其他裝置的 Wi-Fi 進階設定裡把 HTTP 代理改成手動,伺服器填這個位址,連接埠填 mixed-port 的值。

這裡有三個容易踩的坑必須提前說清楚。其一是防火牆:Windows Defender 預設會攔截外部機器對本機連接埠的存取,需要在「允許應用程式通過防火牆」裡把用戶端勾選專用網路;其二是 IP 漂移,家用路由器發的是動態位址,機器重新啟動後位址可能變化,導致其他裝置突然連不上,穩妥辦法是在路由器的 DHCP 設定裡給這台機器做靜態綁定;其三是安全邊界,allow-lan 開啟後同一網段內任何裝置都能借道連外,在公司、宿舍、咖啡廳這類不可信網路裡不要長期開啟,必要時用 lan-allowed-ips 之類的欄位把來源限制在自己裝置的位址上。共用連線的實際頻寬由這台出口機器的上行決定,多裝置同時看影片時先懷疑出口本身被佔滿,而不是節點品質。

看日誌定位問題的方法

前面每一節給的都是「症狀 → 解法」的對應關係,但真實故障往往是幾個原因疊在一起,這時候唯一可靠的手段是讀日誌。把用戶端的日誌等級調到 info 或 debug,清空歷史記錄,然後只做一個動作:在瀏覽器裡開啟那個打不開的網站。日誌裡新增的幾行就是這次請求的完整軌跡,重點看三樣東西。第一是這條連線比對到哪條規則、最終走的是哪個策略群組與哪個節點,如果顯示的是 DIRECT,說明問題在規則而不在節點;第二是交握結果,出現 connection refused 通常是節點連接埠不通或伺服器已下線,出現 i/o timeout 多為連線阻塞或本地網路封包遺失,出現憑證類錯誤要檢查系統時間是否準確;第三是 DNS 解析記錄,若某個網域被解析到明顯異常的位址,基本可以確認本地解析被污染,回到上面 fake-ip 那一節處理。

還有一類問題在日誌裡表現為「什麼都沒有」:你開啟網站,日誌一行不動。這說明流量根本沒有交給用戶端,方向應該轉去查系統代理開關、瀏覽器自己的代理擴充功能、以及是否有另一個代理程式搶佔了系統設定。把這套方法固定成習慣——先重現、再讀日誌、按規則/交握/解析三段定位——絕大多數問題不需要憑感覺逐項試錯就能收斂到一個具體環節。

升級與還原的穩妥做法

用戶端與核心都在持續迭代,升級能取得新協定支援與效能改進,但也有一定機率帶來設定不相容。建議按下面的順序操作:升級前先把目前的設定檔、覆寫規則、以及用戶端目錄下的核心設定整體複製一份到別處,檔名帶上日期;升級後不要立刻切回複雜設定,先用一個只含單節點的最小設定確認基本連線可用;確認無誤再逐步加回策略群組、規則集與 DNS 自訂段,每加一段就重新載入一次,出問題時立刻知道是哪一段引起的。

如果新版本確實不可用,還原同樣有講究:卸載新版後要檢查設定目錄是否被新版本改寫過欄位格式,必要時用備份檔案整體取代,而不是在被改寫的檔案上繼續手動修改。已經停止維護的舊用戶端不建議長期停留,它們的核心不再跟進協定變化,過一段時間會出現「節點在別的用戶端能用、在這裡連不上」的情況;真正需要遷移時,匯出訂閱連結與自訂規則,再按下載頁標註為「持續更新」的專案重新設定一遍即可。