Clash 首次安装与初始设置清单:Windows、macOS、Android 通用要点与常见坑

1. 安装前确认：客户端、内核与系统架构

Clash 首次设置可以拆成四个环节：客户端能够启动，配置能够加载，本地代理端口能够监听，应用流量能够进入代理。安装包打开成功，只说明第一个环节通过。先按顺序验证，再开启 TUN、自启动等附加功能，排错范围会小得多。

图形客户端负责订阅管理、代理组选择与系统设置；内核负责解析配置、匹配规则和建立出站连接。Clash、Clash.Meta 与 mihomo 不是可以随意互换的版本标签。使用 mihomo 扩展字段或新协议的订阅，需要配套内核支持，不能仅凭客户端名称判断兼容性。

• Windows：进入「设置」→「系统」→「系统信息」，查看“系统类型”。x64 与 ARM64 安装包应按设备架构选择；不要只根据“Windows 11”判断。
• macOS：打开苹果菜单 →「关于本机」，显示 Apple 芯片的设备优先选 ARM64，显示 Intel 处理器的设备选 x64。
• Android：现代设备通常使用 ARM64，但旧设备或特定系统可能不同。先按客户端发布说明确认最低 Android 版本及架构，无法确认时再考虑其提供的通用包。

2. 订阅导入：下载成功不等于配置生效

订阅地址通常包含访问令牌，应按密码处理。只从可信提供方获取，不要把完整地址贴到公开截图、在线转换站或问题反馈中。订阅既可能返回完整 Clash YAML，也可能只返回节点列表；两者需要的导入入口并不一定相同。

首次导入的检查顺序

1. 在客户端的配置或订阅页面新增远程配置，粘贴完整地址。入口名称随客户端不同而变化，不要把网址填到代理服务器地址栏。
2. 触发一次更新，查看是否出现配置解析错误。返回登录页面、过期提示或普通 HTML 时，即使下载请求成功，也不能作为 YAML 使用。
3. 明确选中刚导入的配置并设为当前配置。列表里出现订阅卡片，不代表内核已经切换到该配置。
4. 打开代理组页面，确认存在可用节点，手动选择一个节点或预期策略。导入成功但仍选中 DIRECT 时，流量仍可能直连。
5. 将出站模式设为规则模式，再检查规则列表是否非空、末尾是否存在预期的兜底策略。

出现“不支持的代理类型”或“未知字段”时，先核对配置要求的内核。出现 HTTP 401、403 时，应检查令牌与访问权限；出现 404 时，检查地址是否完整或资源是否已迁移。不要用反复重装客户端代替错误分类。

订阅更新与本地修改分开管理

直接编辑远程订阅生成的文件，下一次更新可能覆盖修改。需要增加直连域名、调整 DNS 或修改端口时，优先使用客户端提供的覆写、合并或本地扩展功能，并确认该功能生成的最终配置。保存原始订阅与本地修改的边界，便于回退。

3. 本地端口：核对监听地址与端口占用

系统代理需要指向客户端实际监听的地址与端口。常见示例是 127.0.0.1:7890，但 7890 不是所有客户端的固定默认值，应以当前配置和运行日志为准。控制接口端口用于管理内核，不应填入浏览器的 HTTP 代理栏。

下面是 mihomo 的本地入口片段，只用于说明字段，不是包含节点和规则的完整配置。mixed-port 在同一个端口接收 HTTP 与 SOCKS 代理请求；限制在回环地址可避免首次设置时意外向局域网开放入口。

mixed-port: 7890
allow-lan: false
bind-address: 127.0.0.1
mode: rule
log-level: info

Windows：查询监听进程

netstat -ano | findstr :7890

重点看本地地址为该端口且状态为 LISTENING 的行，最后一列是 PID。可在任务管理器的「详细信息」中比对进程 ID。若占用者是另一个代理客户端，先正常退出旧客户端，再启动当前客户端，不要直接结束不认识的系统进程。

macOS：查询 TCP 监听

lsof -nP -iTCP:7890 -sTCP:LISTEN

没有结果时，检查内核是否启动失败，或实际端口是否不同。改成其他未占用端口后，必须同步更新系统代理或应用代理；只改配置、不改入口，会表现为浏览器连接被拒绝。

4. Windows 与 macOS：先验证系统代理

系统代理是让遵循系统代理设置的应用把请求交给本地客户端，不等于接管设备全部流量。浏览器通常适合做第一轮验证，游戏、命令行工具及部分应用可能使用独立网络设置。

优先通过客户端的系统代理开关写入设置，再到系统页面核对。若配置的是 HTTP 代理入口，macOS 的网页代理与加密网页代理应使用对应 HTTP 或混合端口；SOCKS 代理则使用 SOCKS 或混合端口。不要把不同协议的入口机械地填成同一个数值。

权限提示按功能处理

• Windows 服务模式：部分客户端借助后台服务执行 TUN 等需要权限的操作。仅在确实需要该功能时安装服务，并确认系统授权提示中的程序来源。
• macOS 辅助组件：写入系统代理或建立虚拟网络接口时，客户端可能请求授权。授权失败应查看组件状态，不要反复用管理员身份启动整个应用来掩盖问题。
• 系统阻止启动：先核对下载来源与系统提示的具体原因。不要为运行一个安装包而全局关闭系统安全机制。

5. Android：VPN 授权与后台运行

Android 客户端通常通过系统 VPN 接口接管流量，而不是照搬桌面端的系统代理开关。首次点击连接时会出现系统 VPN 授权提示，允许后才可建立接口。状态栏出现 VPN 标识，只能说明接口已建立，不能证明节点、DNS 和规则都正常。

1. 先确认其他 VPN 已断开。同一用户或工作资料环境中的其他 VPN、防火墙、过滤应用可能与客户端争用 VPN 接口。
2. 检查应用范围。启用了分应用代理时，确认浏览器在接管范围内，并核对当前使用的是“仅所选应用”还是“绕过所选应用”。
3. 检查后台限制。可从「设置」→「应用」→对应客户端→电池相关设置入手，允许所需后台活动。具体入口因设备厂商而异，通知权限也应按客户端要求处理。
4. 验证锁屏恢复。连接后锁屏数分钟，再解锁访问页面，观察客户端通知、连接状态与日志是否仍连续。仅在前台可用时，优先排查省电策略。

首次配置不要同时开启“始终开启 VPN”和“阻止未使用 VPN 的连接”。后者会在 VPN 未连上时阻断其他网络路径，使订阅更新和排错更复杂。常见入口位于「设置」→「网络和互联网」→「VPN」→对应连接的设置；部分厂商会使用不同菜单名称。

若普通联网正常、连接后却提示域名解析失败，再检查 Android 私人 DNS 与客户端 DNS 配置。采用自动、指定服务商或关闭等不同状态进行单变量对照，并记录结果；不要把关闭私人 DNS 当作所有设备的固定要求。

6. 流量验证：从端口到规则逐层确认

节点延迟测试有结果，不代表全部应用已经接入代理。延迟测试使用的目标、协议和实际访问站点可能不同。更可靠的方法是同时观察本地入口、客户端连接记录和目标网页。

桌面端显式代理测试

在 Windows 使用下面的命令，可以绕开 PowerShell 中可能存在的同名别名。macOS 可将 curl.exe 换成 curl。端口应改为当前客户端实际监听的 HTTP 或混合端口。

curl.exe --proxy http://127.0.0.1:7890 --connect-timeout 10 --max-time 20 -I https://example.com

这里的 10 秒连接超时与 20 秒总超时是排错参数，不是速度测试结果。收到 HTTP 响应，说明本次显式代理请求完成；它可能仍被规则分配到直连。要判断是否经过所选节点，还需查看连接详情中的规则命中与最终出站。

• 连接被拒绝：先查本地端口、监听进程和内核启动日志。
• 连接记录为空：检查应用是否使用系统代理、独立代理设置或是否被分应用规则排除。
• 命中 DIRECT：检查当前模式、域名规则和规则顺序，不要直接认定节点失效。
• 代理握手或认证失败：核对订阅状态、节点凭据、协议支持及设备时间。
• 域名解析失败：检查 DNS 日志、上游可达性与当前网络；与 TCP 端口不通分开处理。

TUN 放在基础验证之后

当浏览器已能通过系统代理工作，而特定应用不遵循代理设置时，再考虑 TUN。它通过虚拟网卡与路由接管符合条件的流量，通常还涉及 DNS 接管及权限。TUN 的覆盖范围仍受路由、排除项和平台限制，不能简单理解为“开启后所有流量必经节点”。

启用后若出现局域网设备不可访问、其他 VPN 断开或网络循环，应先关闭 TUN 恢复基线，再检查路由与排除配置。不要在同一轮同时更换节点、修改 DNS、切换内核和调整 TUN 网络栈，否则无法确定哪项改动生效。

7. 开机自启与重启验收清单

基础连接稳定后，再设置开机自启。客户端窗口自动打开、后台内核运行、系统代理恢复、VPN 自动连接是不同状态；勾选一个自启动选项，不一定同时完成四件事。Android 的应用自启动与 VPN 自动连接也可能由不同机制控制。

Windows 可在「设置」→「应用」→「启动」核对启动项；macOS 可在「系统设置」→「通用」→「登录项」检查允许的登录及后台项目。若客户端已有自启动管理功能，避免再手动添加重复启动项，以免出现两个实例争用同一端口。

1. 保存当前配置：记下使用的配置名称、节点策略、代理端口和是否启用 TUN。
2. 重启设备：确认客户端与内核实际运行，检查是否出现端口占用、授权或配置解析报错。
3. 检查接管状态：桌面核对系统代理，Android 核对 VPN 连接与分应用范围。
4. 访问并观察：打开预期直连与预期代理的目标，分别查看规则命中和最终出站，不只检查单个网页。
5. 验证退出恢复：正常关闭代理功能后，确认基础网络可用；保留系统代理和 VPN 设置入口，便于异常退出后恢复。