Windows 版 Clash 安装配置全流程：从安装包到系统代理的避坑清单

一、先确认 Windows 架构与客户端类型

Windows 上常说的“安装 Clash”，通常是安装一个图形客户端，再由客户端管理代理内核。界面负责订阅、开关和日志；内核负责监听端口、匹配规则、连接节点。Clash Meta 后续以 mihomo 名称继续发展，支持哪些配置字段，应以内核文档和当前版本说明为准，不能只看窗口标题。

本文按 Windows 11 的系统设置路径说明，Windows 10 对应页面名称可能略有不同。客户端以 Clash Verge Rev 一类使用 mihomo 的图形界面为参照，不把某一版本的按钮位置当成所有客户端的固定布局。

1. 打开「设置」→「系统」→「系统信息」，查看“系统类型”。Windows 10 可在「系统」→「关于」中查找。
2. 显示“基于 x64 的处理器”时，优先选择 x64 或 AMD64 构建；AMD64 不是仅供 AMD 处理器使用。
3. 显示“基于 ARM 的处理器”时，优先选择客户端实际提供的 ARM64 构建。下载页没有对应构建，就先核对项目的系统支持说明，不要将 x64 安装包当作原生 ARM64 包。
4. 确认当前 Windows 版本满足客户端发布说明的最低要求。不能把“64 位”直接等同于“任何 Windows 都能运行”。

可从本站下载中心选择 Windows 客户端，再核对项目发布说明。旧版 Clash for Windows 已停止维护；已有配置需要迁移时，先备份，再在维护中的客户端重新导入。不要让新旧两个客户端同时接管系统代理。

二、安装与首次启动：区分普通权限和服务权限

安装前保留一个可回退的状态

• 退出旧代理客户端，暂时关闭它的开机启动，避免登录后互相覆盖系统代理。
• 记录「设置」→「网络和 Internet」→「代理」中的原始状态。公司设备原有的脚本地址和代理服务器设置不要直接删除。
• 把安装包保存在固定目录；便携包应完整解压后再运行，不要在压缩软件的预览窗口内启动。

正常打开界面、导入配置、使用本机系统代理，通常不需要一直以管理员身份运行。安装服务、配置虚拟网卡或执行部分网络操作时，客户端才可能请求权限提升。看到用户账户控制提示，先核对程序名称和发布来源，再决定是否允许。

SmartScreen 与杀软拦截分别处理

“Windows 已保护你的电脑”可能是 SmartScreen 信誉提示，不等于已经判定存在恶意代码。先核对下载来源、文件属性中的数字签名（若提供）以及项目发布记录。来源不能确认时停止运行，不要机械地点击继续。

如果 Windows 安全中心明确隔离了文件，进入「Windows 安全中心」→「病毒和威胁防护」→「保护历史记录」，查看检测名称和受影响路径。需要反馈时提供这些信息，不要关闭整机实时防护，也不要把整个下载目录加入排除项。受组织管理的设备应交给管理员处理。

三、导入订阅并确认当前配置已启用

订阅地址是提供方用于下发节点或完整配置的 URL，不是登录网站的地址。完整 Clash 配置通常包含代理、策略组、规则等内容；只有节点列表的订阅还需要由客户端或配置模板组合使用。出现格式错误时，应先确认提供方给出的格式是否适配 Clash 或 mihomo。

1. 进入客户端的「订阅」或「配置」页面，使用“新建”“导入”或 URL 输入框粘贴订阅地址。
2. 执行下载或更新，确认界面显示成功，而不只是新增了一条订阅名称。
3. 选中并启用这份配置。部分客户端允许存储多份配置，但同一时刻只使用其中一份。
4. 进入「代理」页面，确认策略组已出现，并为实际使用的策略组选择可用节点。
5. 查看日志，确认没有 YAML 解析错误、未知代理名称或规则提供器加载失败。

如果导入时提示 401 或 403，检查订阅是否过期、令牌是否失效以及设备数量限制；提示超时，则检查订阅域名当前能否连接。反复点击更新不能解决鉴权失败。订阅地址常带有账户令牌，截图、日志和求助内容中要遮住完整链接。

使用远程订阅时，不建议直接改下载得到的主配置文件：下次更新可能覆盖修改。端口、规则覆写等需求，应优先使用客户端提供的设置或覆写功能，并确认重载后确实进入运行配置。

四、开启系统代理：先核对端口，再验证请求

系统代理的作用是把遵循 Windows 代理设置的应用指向本地代理入口，并不等于接管所有程序。浏览器通常可以使用它；游戏、部分命令行工具和自行管理网络连接的应用未必会使用。HTTP 代理也不能直接覆盖任意 UDP 流量。

本地监听地址和端口怎么填

先在客户端设置中找到“混合端口”或 mixed-port。下面用 7890 举例，它不是所有客户端的固定默认值。mixed-port 可在同一端口接受 HTTP 与 SOCKS 代理请求；如果客户端分别配置 HTTP 端口和 SOCKS 端口，应使用对应协议的入口。

1. 确认内核运行正常，并记下实际混合端口。
2. 打开客户端的“系统代理”开关，再到 Windows 代理页面核对服务器地址与端口。配置了 PAC 脚本的环境不能只按手动代理字段判断。
3. 将模式设为“规则”，在代理组中选中节点。规则模式仍可能让部分站点直连，这属于规则决策，不一定是开关失效。
4. 打开一个需要验证的网页，同时查看客户端「连接」页面中的目标、命中规则和出站链路。

用明确指定代理的命令隔离问题

在 PowerShell 执行下面的命令。测试域名只是连通性示例；即使返回成功，也只证明这次请求经过本地代理入口，不代表所有网站或所有策略组都正常。

Test-NetConnection 127.0.0.1 -Port 7890
curl.exe --proxy http://127.0.0.1:7890 --connect-timeout 10 --max-time 20 -I https://example.com/

TcpTestSucceeded : True 只表示端口可建立 TCP 连接。第二条命令还会涉及代理处理、目标连接与 TLS。若收到 200 Connection established，它只是代理隧道阶段的响应，还要看后续目标站响应或错误。使用 curl.exe 是为了避免部分 PowerShell 环境中的同名别名干扰。

五、TUN 与服务模式：按应用需求开启

TUN 通过虚拟网络接口与路由配置接管匹配的 IP 流量，适用于不遵循系统代理的应用。服务模式则是客户端用于管理后台服务和权限的一种机制。二者不是同一个开关：装好服务不代表 TUN 已开启，开启 TUN 也不保证每个连接都一定走代理节点。

1. 先在系统代理模式下验证订阅、节点和规则，关闭其他 VPN 或虚拟网卡接管工具，减少路由冲突。
2. 在客户端「设置」中查找“服务模式”或“服务管理”，按当前客户端说明安装并启动服务。若请求管理员权限，确认操作来源。
3. 开启“TUN 模式”或“虚拟网卡模式”，观察日志中是否有权限不足、设备创建失败或路由添加失败。
4. 运行目标应用，在「连接」页面检查是否出现其请求，再核对命中的规则与最终出站。

在 mihomo 配置语义中，tun.enable 控制 TUN 开关，auto-route 用于自动配置相关路由，dns-hijack 用于捕获匹配的 DNS 请求。客户端可能自动生成这些字段，不应把网上的一段 TUN 配置直接覆盖到订阅中。加密 DNS、IPv6、局域网访问和进程识别还会受具体设置与运行环境影响。

如果开启后出现公司内网失联、网络打印机不可用或休眠恢复后断网，先关闭 TUN，恢复原有网络状态，再逐项检查路由和 DNS。不要一开始就重置整个 Windows 网络栈；重置可能影响已有 VPN、静态地址与虚拟交换机。

六、常见故障按“入口、规则、出口”排查

浏览器不走代理，但显式代理命令正常

这通常说明本地入口和至少一条请求链路可用，应优先检查浏览器如何读取代理。Edge 与 Chrome 通常使用系统代理设置，但扩展、启动参数和组织策略可能覆盖它；Firefox 可在「设置」→「常规」→「网络设置」→「设置」中选择“使用系统代理设置”。修改后关闭全部浏览器窗口再重新打开。

同时查看连接记录：有请求且命中 DIRECT，应检查规则与策略组；完全没有对应连接，再检查浏览器代理来源。网站显示的出口地址只能作辅助证据，不能代替连接日志。

开启代理后所有网页都打不开

• 先关闭系统代理验证原始网络。原始网络也不通，先处理 Wi-Fi、网线、认证页面或路由器问题。
• 本地端口测试失败，查看内核是否启动以及是否报告 address already in use。
• 端口正常但目标连接超时，切换同一策略组中的其他节点，并观察是连接超时、TLS 失败还是域名解析失败。
• 只有少数域名异常，检查其命中规则、DNS 结果和目标站状态，不要立即全局重装。

要核对 7890 的监听进程，可在 PowerShell 使用以下命令。最后一列是 PID，再到任务管理器「详细信息」核对进程。确认归属前不要结束陌生进程，尤其是系统或企业安全进程。

netstat -ano | findstr LISTENING | findstr ":7890"

如果决定把混合端口改为 7891，需要同步更新 Windows 系统代理，以及浏览器扩展、命令行环境变量和其他手填代理的应用。客户端若能自动重写系统代理，也要实际检查改动结果。

退出客户端后仍然断网

可能是系统还指向已经关闭的本地端口。重新启动客户端并关闭系统代理，或回到 Windows 代理页面，移除本次配置留下的手动代理。原先存在企业代理或自动配置脚本时，应恢复记录的原值。TUN 场景则先按客户端流程关闭虚拟网卡接管，再退出程序。

七、完成配置后的检查清单

• 版本记录：在「关于」中记下图形客户端版本和内核版本。两者分别记录，求助时不要只说“最新版”。
• 订阅状态：当前配置已启用，更新成功，实际使用的策略组已选定节点。
• 入口一致：Windows 代理端口与内核监听端口一致，没有另一客户端定时覆盖。
• 链路可见：通过连接记录确认一次代理请求与一次预期直连请求，知道各自命中了哪条规则。
• 重启可用：配置稳定后再启用开机启动，重启一次确认服务、内核和系统代理的启动顺序。
• 退出可恢复：关闭代理或退出后，原始网络仍能正常使用。

后续更新客户端时，保留订阅来源与必要的覆写配置即可，不必把旧客户端的全部运行文件复制到新版本目录。遇到问题，按“本地端口是否监听 → 应用是否进入内核 → 规则选了什么 → 节点能否连接”的顺序检查，比反复切换所有开关更容易找到原因。术语可查阅概念速查，需要了解字段含义时再看协议手册。