Clash 全平台安裝設定大全

01通用準備工作

五個平台的操作細節不同,但開工前要備齊的東西完全一樣。這一章把所有平台共用的前置條件一次講完,後面每個平台章節預設你已經讀過這裡。

準備一條訂閱連結

Clash 用戶端本身只是一個「執行者」:它讀取設定檔,按設定裡的節點和規則轉發流量。節點資訊來自訂閱連結——一條 https:// 開頭的 URL,由你的服務提供方發出,用戶端定期抓取它來更新節點列表。開始安裝前先確認三件事:第一,連結能在瀏覽器裡直接開啟,回傳的是一段文字(通常是 YAML 或 Base64 編碼內容)而不是 404 或登入頁;第二,連結類型是 Clash 格式訂閱,如果提供方只給了 ss://、vmess:// 這類單條分享連結,需要先經過訂閱轉換才能被 Clash 用戶端識別;第三,連結沒過期。訂閱回傳內容異常的判斷方法在訂閱解析失敗排查一文裡有逐步說明。

選用戶端:各平台首推

Clash 生態的 GUI 用戶端有多個,核心一致、介面和附加功能不同。本站全平台首推 Clash Plus:五端可用、訂閱管理和 TUN 開關都做在圖形介面裡,iOS 端直接從 App Store 安裝。桌面端的備選是 Clash Verge Rev(Linux 上為首選)和 FlClash。完整對照如下:

已停止維護的 Clash for Windows 和 ClashX Meta 在下載頁保留封存入口,舊用戶轉移前可以繼續用,新裝不建議選。

四個必須先認識的名詞

• 混合連接埠(mixed-port):用戶端在本機監聽的代理連接埠,預設 7890,同時接受 HTTP 與 SOCKS5 協定。系統代理和手動設定代理的軟體都指向它。
• 系統代理:作業系統層級的代理設定項。開啟後,遵守該設定的應用程式(瀏覽器、多數桌面軟體)會把流量交給 127.0.0.1:7890;不讀系統代理的程式(部分命令列工具、遊戲)不受影響。
• TUN 模式:用戶端建立一塊虛擬網路卡,在網路層接管全部出站流量,覆蓋不走系統代理的程式。需要管理員/特權授權。兩種機制的原理差異見TUN 模式與系統代理對比。
• 策略群組與規則:設定檔裡決定「哪類流量走哪個節點」的部分,訂閱通常已內建一套,新手不需要改。

更多名詞解釋集中在術語手冊,正文裡遇到陌生詞可以隨時跳過去查。

02Windows 安裝設定

下載與安裝

到下載頁 Windows 區取得 Clash Plus 安裝包(.exe)。目前主流的 x64 機器直接下載預設包即可;ARM 裝置(如 Snapdragon 筆電)先確認包名裡的架構標示。執行安裝程式時,Windows SmartScreen 可能彈出「Windows 已保護你的電腦」——這是系統對新發布安裝包的通用提示,點「更多資訊 → 仍要執行」繼續。安裝向導按預設路徑走完即可,安裝結束後用戶端會出現在開始功能表,首次啟動後常駐在工作列右下角的系統匣區,而不是工作列本體,找不到視窗時先點系統匣小箭頭展開隱藏圖示。

匯入訂閱

開啟主視窗,進入「設定檔」(Profiles)頁,把訂閱連結貼進 URL 輸入框,點匯入。用戶端會下載訂閱內容並產生一份設定檔,列表裡出現一張新的設定卡片,點選它設為目前設定。切到「代理」頁,能看到策略群組和節點列表,說明訂閱解析成功;列表為空或報錯,按訂閱排查文逐項檢查。介面各區塊的功能劃分見用戶端介面速覽。

系統代理與 TUN

回到主介面開啟「系統代理」開關,用戶端會把 127.0.0.1:7890 寫入 Windows 的 Internet 選項,瀏覽器流量立即生效。需要接管命令列工具、UWP 應用程式之外的全域流量時,改用 TUN 模式:首次開啟會請求管理員權限安裝虛擬網路卡服務(部分用戶端叫「服務模式」,需先在設定裡安裝系統服務再開 TUN)。開啟後在「設定 → 網路和網際網路 → 進階網路設定」裡能看到一塊新的網路介面卡,即 TUN 虛擬網路卡。系統代理與 TUN 二選一即可,同時開不會更快。

平台特有雷區

• 連接埠被占用:啟動報 bind: address already in use,說明 7890 被其他程式(常見是另一個代理用戶端的殘留程序)占著。定位方法:

netstat -ano | findstr :7890
tasklist /FI "PID eq <上一步查到的PID>"

結束占用程序,或在用戶端設定裡把混合連接埠改成 7891 等空閒連接埠。完整步驟見連接埠衝突排查文。

• UWP 應用程式不走代理:商店應用程式預設被系統隔離在回送位址之外,即使開了系統代理也連不上 127.0.0.1。用 TUN 模式繞開,或用系統內建的 CheckNetIsolation 工具給單個應用程式放行回送。
• 安全軟體攔截虛擬網路卡:部分安全軟體會阻止 TUN 驅動安裝或刪除服務檔案。安裝服務失敗時,先在安全軟體裡把用戶端安裝目錄加入信任區,再重試。
• 開機自啟沒生效:在用戶端設定裡開啟自啟後,還要確認 Windows「工作管理員 → 啟動應用程式」裡對應項是「已啟用」狀態,部分最佳化軟體會把它停用。

03macOS 安裝設定

下載:先分清晶片架構

macOS 安裝包分 Apple Silicon(M 系列晶片)與 Intel 兩個版本,裝錯架構要麼打不開要麼走轉譯層效能打折。確認方法:點左上角蘋果選單「關於本機」,晶片一欄寫「Apple M…」就下 arm64 包,寫「Intel」就下 x64 包;終端機裡跑 uname -m,輸出 arm64 或 x86_64 也能判斷。到下載頁 macOS 區按架構取 Clash Plus 的 .dmg。

安裝與首次啟動放行

雙擊掛載 dmg,把應用程式圖示拖進 Applications 資料夾。首次開啟時 Gatekeeper 可能提示「無法打開,因為它來自身分不明的開發者」或「已損毀」:前者到「系統設定 → 隱私權與安全性」頁面底部點「仍要打開」;後者是隔離屬性所致,終端機執行一次即可:

xattr -dr com.apple.quarantine "/Applications/<用戶端名>.app"

啟動成功後,用戶端圖示出現在螢幕頂部選單列而不是 Dock——這是 macOS 端 Clash 用戶端的通用形態,主視窗從選單列圖示點開。

匯入訂閱與系統代理

訂閱匯入流程與 Windows 一致:設定頁貼上 URL、下載、選中。開啟「系統代理」時,用戶端會把代理寫入目前網路服務(Wi-Fi 或以太網路)的代理設定,首次操作會彈系統授權框,要求輸入登入密碼或 Touch ID——這是修改網路設定的正常授權,必須允許,否則開關會自動彈回。驗證方法:「系統設定 → 網路 → Wi-Fi → 詳細資訊 → 代理」裡,網頁代理(HTTP)和安全網頁代理(HTTPS)應指向 127.0.0.1:7890。

TUN 模式

macOS 上開啟 TUN 同樣需要授權:用戶端會請求安裝特權助手或系統擴充功能,按提示在「隱私權與安全性」裡允許。開啟後 ifconfig 能看到一塊 utun 開頭的介面。終端工具、不讀系統代理的 App 此後都會被接管。

平台特有雷區

• 代理只寫進了一個網路服務:系統代理是按網路服務(Wi-Fi、以太網路、USB 網路卡)分別儲存的。切換了網路介面後發現代理「失效」,通常是目前介面沒有被寫入,重開一次系統代理開關即可。
• 連接埠占用:macOS 下定位指令是 lsof -nP -iTCP:7890 -sTCP:LISTEN,輸出裡能看到占用程序名與 PID。
• 退出後代理殘留:用戶端異常退出可能來不及還原系統代理,表現為斷網。到網路設定的代理頁手動取消勾選,或重開用戶端再正常關閉一次。
• 舊用戶從 ClashX Meta 轉移:ClashX Meta 已停止維護,下載頁保留封存;轉移到 Clash Plus 時訂閱連結直接重新匯入即可,不需要搬設定檔。

04Android 安裝設定

下載:選對 ABI

Android 安裝包(.apk)按 CPU 架構分包,常見兩種:arm64-v8a 對應近幾年絕大多數手機,armeabi-v7a 對應老舊 32 位裝置。拿不準就先裝 arm64 包,提示「未安裝應用程式」或閃退再換 v7a。到下載頁 Android 區取 Clash Plus;偏好精簡介面可選 Surfboard,想要與桌面端一致體驗可選 FlClash。

安裝與授權

瀏覽器直接下載 apk 後點擊安裝,系統會提示「出於安全考量,已禁止安裝未知來源應用程式」,按提示進入設定,給目前瀏覽器(或檔案管理器)授予「安裝未知應用程式」權限,返回後繼續安裝。部分廠商系統(MIUI、ColorOS 等)會追加一次風險確認,選擇繼續即可。

匯入訂閱

開啟用戶端,進入設定檔/Profiles 頁,新建設定並選擇「從 URL 匯入」,貼上訂閱連結儲存。用戶端抓取成功後列表出現設定項,勾選啟用。部分用戶端支援從剪貼簿自動識別訂閱連結,複製連結後開啟 App 會直接彈匯入確認。

VPN 通道:Android 的「TUN」

Android 上沒有桌面式的系統代理開關,用戶端透過系統 VpnService 介面建立本地 VPN 通道接管流量,效果等同於桌面端的 TUN,不需要 root。首次點擊連線按鈕時,系統彈出「連線要求」對話框,必須點允許;狀態列隨後出現鑰匙形 VPN 圖示,表示接管生效。注意這個「VPN」只是本機流量通道,資料仍由 Clash 核心按規則處理。

平台特有雷區

• 背景被殺:國產 ROM 的省電策略是頭號問題——鎖螢幕一段時間後代理斷開、通知列圖示消失,就是用戶端程序被系統回收了。處理:在系統設定裡把用戶端的電池策略改為「無限制/不最佳化」,並在最近工作卡片上鎖定它;MIUI 還需在「自啟動管理」裡放行。
• 分應用程式代理:用戶端設定裡的 Access Control/分應用程式代理可以指定只有白名單應用程式走 VPN,銀行類 App 偵測到 VPN 拒絕執行時,把它排除在外即可。
• 與其他 VPN 衝突:Android 同一時間只允許一個 VpnService 生效,開啟 Clash 連線會自動斷開其他 VPN 類應用程式,屬正常行為。
• 訂閱在行動網路下更新失敗:部分訂閱網域在行動網路下解析異常,切到 Wi-Fi 或先連線代理再更新訂閱。

05iOS 安裝設定

從 App Store 安裝

iOS 端首推 Clash Plus,直接在 App Store 搜尋安裝,或從下載頁 iOS 區點擊商店連結跳轉。官方網站為 clashplus.io,應用程式功能說明和更新記錄以商店詳情頁為準。iOS 的應用程式分發走系統商店,安裝流程沒有額外授權步驟,和裝普通 App 一樣。

匯入訂閱

開啟 App,進入設定頁,選擇「透過 URL 新增」,貼上訂閱連結確認。如果服務提供方的頁面提供「一鍵匯入 Clash」按鈕,在 iOS 的 Safari 裡點擊它會直接喚起 App 完成匯入,比手動貼上更省事。匯入後在節點列表裡確認策略群組已載入。

首次啟用 VPN 設定

iOS 與 Android 類似,透過系統 Network Extension 建立 VPN 通道接管流量。首次點擊連線時,系統彈出「『Clash Plus』想新增 VPN 設定」的對話框,點允許並透過 Face ID/Touch ID 或鎖定畫面密碼驗證。此後「設定 → 一般 → VPN 與裝置管理 → VPN」裡會出現對應條目,連線狀態與 App 內開關連動,狀態列出現 VPN 角標即為生效。

平台特有雷區

• 切換節點後個別 App 不生效:部分應用程式會重複使用舊連線,切換節點或規則後表現為「還走老路線」。徹底關閉該 App 再開啟,或斷開重新連線一次 VPN 即可。
• VPN 開關自動彈回:通常是訂閱裡沒有可用節點或設定解析失敗,先到 App 內日誌頁看錯誤訊息,再按常見問題裡訂閱相關條目處理。
• 低電量模式下斷線:系統在低電量模式可能回收背景網路擴充功能,重新開啟 App 點一次連線即可恢復。
• 多裝置同步:同一 Apple 帳戶的 iPhone/iPad 各自獨立安裝設定,訂閱連結需要分別匯入,VPN 設定不隨 iCloud 同步。

06Linux 安裝設定

GUI 用戶端安裝

Linux 桌面首選 Clash Verge Rev,提供 .deb 與 .rpm 包;備選 FlClash。到下載頁 Linux 區按發行版取包後本地安裝:

# Debian / Ubuntu 系
sudo apt install ./clash-verge-rev_amd64.deb

# Fedora / openSUSE 系
sudo rpm -i clash-verge-rev.x86_64.rpm

用 apt install ./包名 而不是 dpkg -i 的好處是依賴會被一併解決。安裝後從應用程式選單啟動,訂閱匯入流程與其他桌面端一致:設定頁貼上 URL、下載、選中啟用。

系統代理:桌面環境差異

GNOME/KDE 桌面下,用戶端的「系統代理」開關會寫入桌面環境的代理設定,Firefox、Chromium 等遵守該設定的應用程式即刻生效。GNOME 下可以用 gsettings 驗證:

gsettings get org.gnome.system.proxy mode
# 輸出 'manual' 即已接管

大量 Linux 程式(尤其命令列工具)不讀桌面代理,只認環境變數,臨時給目前 shell 掛代理:

export http_proxy=http://127.0.0.1:7890
export https_proxy=http://127.0.0.1:7890
export all_proxy=socks5://127.0.0.1:7890

寫進 ~/.bashrc 可持久化,但注意它會影響所有終端工作階段,不用時記得 unset。

TUN 模式與權限

建立 TUN 虛擬網路卡需要 CAP_NET_ADMIN 能力。Clash Verge Rev 透過內建服務方式申請特權,在設定裡安裝服務後即可開啟 TUN;手動執行核心的場景則給二進位檔授權:

sudo setcap 'cap_net_admin,cap_net_bind_service=+ep' /usr/local/bin/mihomo

開啟後 ip addr 能看到新的 utun/Meta 介面,路由表由核心的 auto-route 自動維護。

無桌面環境:Mihomo 核心 + systemd

伺服器和軟路由不需要 GUI,直接跑 Mihomo 核心。從下載頁核心區取對應架構的壓縮包,解壓後把二進位檔放到 /usr/local/bin/mihomo,設定檔放 /etc/mihomo/config.yaml(把訂閱回傳的 YAML 儲存為該檔案),然後寫一個 systemd 單元:

[Unit]
Description=mihomo daemon
After=network-online.target

[Service]
Type=simple
ExecStart=/usr/local/bin/mihomo -d /etc/mihomo
Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target

儲存為 /etc/systemd/system/mihomo.service,依序執行 sudo systemctl daemon-reload、sudo systemctl enable --now mihomo。驗證代理是否可用:

curl -x http://127.0.0.1:7890 -I https://www.gstatic.com/generate_204
# 回傳 HTTP/2 204 即連線正常

平台特有雷區

• AppImage/Flatpak 沙盒:沙盒分發形態下用戶端可能無法安裝特權服務,TUN 不可用,優先用 deb/rpm 原生包。
• Wayland 系統匣圖示缺失:部分 Wayland 桌面預設不顯示系統匣,裝上桌面環境對應的系統匣擴充功能(如 GNOME 的 AppIndicator 擴充功能)即可。
• systemd 服務讀不到訂閱更新:核心本身不管理訂閱,設定檔要靠排程任務自己抓取更新(curl -o /etc/mihomo/config.yaml "訂閱連結" 配 cron),更新後 systemctl restart mihomo 生效。

07設定常見問題

核心欄位速查

不管在哪個平台,設定檔頂部這幾個欄位決定用戶端的基礎行為,排查前先確認它們:

一份能跑起來的最小設定骨架長這樣(節點與規則由訂閱提供,此處省略):

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info
external-controller: 127.0.0.1:9090
dns:
  enable: true
  enhanced-mode: fake-ip
  nameserver:
    - https://223.5.5.5/dns-query

訂閱更新失敗

更新按鈕轉圈後報錯,按順序排查:①瀏覽器直接開啟訂閱連結,看回傳的是設定文字還是錯誤頁——錯誤頁說明連結過期或被提供方限制;②用戶端裡檢查更新訂閱時是否勾選了「透過代理更新」,目前代理不可用時改為直連更新(或反過來);③訂閱是通用分享連結而非 Clash 格式時,需要經訂閱轉換服務產生 Clash 訂閱再匯入。逐項細節見訂閱排查清單。

代理已開但網頁打不開

開關是綠的、瀏覽器一直轉圈,可能壞在任意一環:節點本身失效、選中的策略群組指向了不可用節點、DNS 解析被汙染、系統代理沒寫入成功。先在代理頁對全部節點做延遲測試,全部超時說明訂閱節點問題;個別可用則切換到可用節點;節點正常但特定網站打不開,多半是規則把它分到了直連,臨時切 global 模式驗證。完整的九步排查見連上但無法上網排查清單。

規則不生效或分流不對

Clash 規則自上而下匹配,命中即停。自訂規則要放在訂閱規則之前才有機會命中;寫在 MATCH 保底規則之後的任何規則永遠不會被執行。驗證某個網域命中了哪條規則,最直接的辦法是開啟日誌頁(級別調到 info 以上),存取目標網站,看日誌裡該連線的匹配記錄。網域規則(DOMAIN-SUFFIX)只對能拿到網域的連線生效,直連 IP 的流量要用 IP-CIDR 規則覆蓋。

fake-ip 與 DNS 的常見困惑

enhanced-mode: fake-ip 模式下,核心給每個網域回傳一個 198.18.0.0/16 段的假 IP,真實解析在出口側完成——所以 ping 某網域看到 198.18 開頭的位址是正常現象,不是故障。個別依賴真實 IP 的程式(區域網路發現、部分遊戲啟動器)異常時,把對應網域加進 fake-ip-filter 列表,或整體換回 redir-host 模式。改完 DNS 相關設定後建議重啟用戶端,讓系統的 DNS 快取失效。

連接埠衝突與多用戶端共存

兩個代理用戶端同時開,後啟動的會報連接埠占用。要麼退乾淨舊用戶端(注意系統匣殘留程序),要麼給其中一個改 mixed-port。改連接埠後,所有手動指向 7890 的地方(環境變數、軟體內代理設定)都要同步改,漏一處就表現為「改完連接埠反而斷網」。三平台定位占用程序的指令彙總在連接埠衝突排查文。

還沒解決?

短問答形式的高頻問題集中在常見問題頁,按基礎認知、安裝設定、使用技巧、故障排查四類組織;設定檔欄位與協定名詞到術語手冊查;用戶端本體問題先到取得用戶端確認裝的是目前維護中的版本。

08日常維護與調校

裝好並跑通只是起點。用戶端會更新、訂閱會變動、系統會升級,長期穩定使用靠的是幾個固定習慣。這一章把維護動作、效能調校和安全邊界一次說清,內容與平台無關,五個平台通用。

用戶端與核心的更新節奏

Clash 生態的更新分兩層:GUI 用戶端負責介面、訂閱管理和系統整合,核心(目前主流是 Mihomo)負責實際的協定實作與流量轉發。兩者版本相對獨立,大多數用戶端在設定裡同時提供「檢查用戶端更新」和「更新核心」兩個入口。建議的節奏是:用戶端跟隨正式版更新,不必追每一個預發布版本;核心在遇到具體問題(新協定不支援、某類節點交握失敗、TUN 在新系統版本上失效)時再升,平時執行穩定就不要頻繁替換。升級前先把目前能用的設定檔匯出備份一份,升級後如果出現異常,可以立刻回退到舊版用戶端並還原設定,而不是在故障狀態下反覆試錯。系統大版本升級(例如 Windows 或 macOS 的年度更新)之後,TUN 所依賴的虛擬網卡驅動和特權服務有可能失效,表現為開關能打開但沒有任何流量,這時重新執行一次「安裝服務」操作通常就能恢復。

訂閱的備份與多份共存

把訂閱連結當成帳戶憑證保管:記錄在密碼管理器裡,不要只依賴用戶端的本機儲存,重裝系統或換機時才不會遺失。多數用戶端支援保存多份設定檔並一鍵切換,合理的用法是主用一份、備用一份來自不同服務商,主線路整體異常時切換備份即可繼續工作,而不必現場重新匯入。手動改過的設定不要直接寫在訂閱拉取覆蓋的檔案裡——更新一次就會被沖掉;應使用用戶端提供的覆寫、擴充腳本或本機規則功能,把自訂部分與訂閱內容分開存放。定期清理不再使用的舊設定,清單裡堆幾十份過期訂閱只會讓排查時選錯檔案。

效能與資源占用

延遲測試結果只反映到節點的交握往返時間,不等於實際下載速度,更不等於穩定性。選節點時優先看連續幾次測試的波動幅度:一直穩定在兩百毫秒的節點,通常比時快時慢、偶爾逾時的節點體驗好得多。策略組裡啟用自動選擇(url-test)可以讓核心按週期挑選延遲最低的出口,適合日常;但對需要長連線的場景(視訊會議、遠端桌面、下載大檔案)手動固定一個節點更不容易中斷。資源占用方面,Clash 核心本身記憶體占用不高,異常升高一般來自兩種情況:一是連線數堆積,長期不關閉的連線在連線頁裡越積越多,重啟用戶端即可釋放;二是 fake-ip 的快取項目過多,重啟同樣會清空。規則數量對 CPU 的影響很小,不必為了「省資源」去精簡訂閱自帶的規則集。

安全邊界與使用規範

三條邊界值得反覆強調。第一,不要開啟 allow-lan 之後不做限制:允許區域網路裝置接入意味著同網段任何人都能使用你的代理,在公共 Wi-Fi 下等於把出口開放給陌生人;確實需要分享給平板或電視時,搭配 bind-address 限定監聽範圍並只在受信任的網路裡啟用。第二,不要從搜尋結果裡的第三方鏡像站下載用戶端安裝包,代理用戶端持有你的全部流量,被植入後門的後果遠大於一般軟體;安裝包只從專案官方倉庫或本站取得用戶端頁提供的入口取得,下載後核對發布頁給出的校驗值。第三,外部控制連接埠(external-controller)預設只監聽回環位址,不要改成 0.0.0.0 並暴露到公網,否則任何人都可以遠端切換你的節點甚至讀取設定。

建立自己的排查記錄

長期使用中遇到的問題會重複出現。建議維護一份簡單的記錄:出現什麼現象、當時改了什麼、最終怎麼解決。有了這份記錄,同樣的故障第二次出現時不用從頭排查。排查時的固定順序仍然是:確認流量是否進入 Clash(看連線頁有沒有新記錄)→ 確認節點是否可用(延遲測試)→ 確認規則是否命中預期出口(日誌頁)→ 確認 DNS 解析是否正常。四步之內定位不到的問題,再去比對用戶端版本與系統環境的變化。把日誌等級臨時調成 debug、重現一次問題、再調回 info,是收集有效資訊最省力的做法,也是向社群提問時最應該附上的內容。