Clash 首次安装设置清单：Windows、macOS、Android 通用要点与常见坑

一、安装前：确认客户端、内核与设备架构

Clash 客户端通常由图形界面与代理内核组成。图形界面负责订阅管理、模式切换和系统设置；内核负责解析配置、匹配规则与建立连接。Clash Meta 后续以 mihomo 名称继续发展，但不同客户端附带的内核和支持的配置字段并不完全相同。看到“支持 Clash”时，还需要确认订阅提供方要求的是传统 Clash 格式，还是依赖 mihomo 功能的配置。

• Windows：在 Windows 11 的「设置」→「系统」→「系统信息」中查看“系统类型”。常见 Intel、AMD 电脑选择 x64；ARM 设备优先选择客户端提供的 ARM64 构建。
• macOS：打开苹果菜单 →「关于本机」。显示 Apple 芯片的设备优先选择 arm64，Intel 设备选择 x64；Universal 安装包则以项目说明为准。
• Android：现代手机通常使用 arm64-v8a，但旧机型与模拟器可能不同。不确定时选择项目提供的通用 APK，并确认最低 Android 版本要求。

下载前还要看项目维护状态和发布说明。客户端能安装，并不代表它仍在适配系统权限或新的配置字段。首次使用可以从下载中心按平台选择，再记录客户端版本与内核版本，后续排错时一起提供。

二、首次启动：三大平台的权限检查

首次启动不必立即开启所有开关。建议先完成配置导入，再用系统代理或 Android VPN 建立最小可用连接。桌面端 TUN 涉及虚拟网卡、路由和 DNS，适合在基础连接验证通过后单独测试。

Windows：区分系统代理与服务模式

系统代理通常把本机 HTTP 代理地址写入用户设置，供遵循该设置的应用使用；它不保证接管所有游戏、终端或 UDP 流量。TUN 则通过虚拟网卡接管符合路由设置的流量，具体是否需要管理员启动或安装服务，取决于客户端实现。不要因为网页打不开，就直接长期以管理员身份运行所有程序。

macOS：先确认来源，再处理系统提示

建议把应用放入「应用程序」后启动。在 macOS 15 中，来源相关提示可到「系统设置」→「隐私与安全性」查看。只有确认安装包来自项目发布渠道且提示属于首次打开限制时，才按系统流程处理；若提示应用损坏、包含恶意内容或签名异常，应停止运行并重新核对来源，不要批量关闭系统安全机制。

Android：VPN 授权与后台存活分开检查

首次连接会出现系统 VPN 授权框，允许后客户端才能使用 VpnService 接管流量。同一用户或工作资料范围内通常只能有一个普通 VPN 服务处于活动状态，其他 VPN 型防火墙、过滤工具可能与它冲突。若锁屏一段时间后断线，再检查该应用的电池限制；接近原生的 Android 14 可从「设置」→「应用」→ 对应客户端 →「应用电池用量」查看，厂商系统名称可能不同。

三、导入订阅：确认格式、状态与当前配置

订阅链接是取得配置的入口，不是节点本身，也不是软件激活码。链接常带有账户令牌，应按密码保管；截图、日志与求助信息中都应遮盖完整链接。不要把私人订阅粘贴到来源不明的在线转换页面。

1. 确认订阅格式。在服务提供方选择适用于当前客户端内核的 Clash 或 mihomo 配置。Base64 节点列表、单个分享链接与完整 YAML 配置不是同一种输入。
2. 添加远程配置。在客户端的“配置”或“订阅”页面新增远程配置，粘贴链接并执行下载。各客户端菜单名称不同，以当前界面为准。
3. 查看下载结果。确认更新时间、解析状态及策略组内容。HTTP 401、403 通常需要检查令牌、账户权限或服务限制；超时则先检查当前网络能否访问订阅地址。
4. 激活刚导入的配置。列表里出现配置不等于已经生效。选中它，确认内核启动成功，再进入策略组选择可用节点。

如果出现 YAML 解析错误，先看日志中的字段名与行号。返回内容可能是登录页面、服务错误提示，也可能包含当前内核不支持的参数。此时反复切换节点无法修复配置语法。优先重新获取正确格式，而不是随意删除报错行。

四、首次连通：规则模式与代理入口检查

日常首次验证建议选择规则模式，再在实际被规则引用的策略组中选定节点。规则模式按配置规则决定直连或代理；全局模式并不能修复无效节点，直连模式也不等于退出客户端。若仍开启 TUN，流量可能继续经过本地内核，只是出站选择直连。

1. 先确认当前配置处于启用状态，内核没有启动失败或反复重启。
2. 桌面端开启系统代理；Android 点击连接并完成 VPN 授权。桌面首次测试先不叠加 TUN。
3. 对目标策略组执行一次延迟测试，再访问实际需要使用的网站。测试成功只证明测试目标可达，不代表所有网站均可访问。
4. 打开连接记录，确认新请求出现，并检查匹配规则、策略链与最终节点。旧连接可能继续沿用原出站，切换后应重新建立连接。

桌面端可以通过显式指定本地代理，区分“内核能否转发”和“浏览器是否读取系统代理”。下面以实际监听端口为 7890 的 HTTP 或 mixed 代理为例；这只是示例值，必须先在客户端设置中核对。目标网站也可换成自己需要验证的 HTTPS 地址。

# Windows PowerShell
curl.exe -I --proxy http://127.0.0.1:7890 --connect-timeout 10 https://example.com

# macOS 终端
curl -I --proxy http://127.0.0.1:7890 --connect-timeout 10 https://example.com

能返回 HTTP 响应头，说明这次请求已通过指定代理得到响应；状态码仍需结合目标站点判断。若命令成功而浏览器失败，优先查浏览器代理扩展、浏览器自身设置与系统代理。若提示连接被拒绝，优先查监听地址、端口和内核状态，而不是立即修改 DNS。

五、端口冲突：先查进程，再改配置

日志中的 address already in use 或 bind 失败，通常表示监听地址或端口被占用。旧客户端未完全退出、同一程序启动了两个实例，都是常见原因。下面继续以 TCP 端口 7890 为例，查询应在运行客户端的同一台电脑执行。

# Windows：查看占用端口的 PID
netstat -ano | findstr :7890
# 再到任务管理器的“详细信息”页按 PID 查找进程

# macOS：查看监听该 TCP 端口的进程
lsof -nP -iTCP:7890 -sTCP:LISTEN

• 发现旧代理进程：先从旧软件界面正常退出，不要直接结束不认识的系统进程。
• 确实需要更换端口：例如从 7890 改为 7895，同时更新系统代理、浏览器手动代理及终端中的代理设置。
• 端口没有监听：查看内核日志，确认配置加载成功。控制面板端口不是流量代理端口，不能相互替代。

只在本机使用时，优先保持监听在回环地址，并关闭不需要的局域网访问功能。HTTP、SOCKS、mixed 与控制接口各有用途，不要为了“连通”把所有监听地址改成对外开放。

六、证书、DNS 与 TUN：按症状处理

出现证书提示，不等于应该安装证书

普通 HTTPS 代理连接通常通过隧道转发，不需要安装客户端提供的根证书。浏览器出现证书日期无效，先核对系统日期、时区和自动校时；出现名称不匹配或颁发者不受信任，则检查是否访问了错误域名、公共网络登录页，或受到其他 HTTPS 检查软件影响。

如果订阅下载报 TLS 错误，也应检查订阅服务器证书及本机时间。不要把跳过证书验证作为通用修复方案，更不要安装聊天消息或陌生网页提供的根证书。公司受管设备如有明确的证书策略，应由管理员确认。

域名失败时，先分清在哪一层解析

系统 DNS、浏览器安全 DNS、代理内核 DNS 与远端节点解析可能同时存在。网站打不开时，先查看日志中是域名解析失败，还是解析成功后连接超时。Android 的“私人 DNS”与厂商网络设置可能影响解析路径；可在记录原设置后临时调整作对照，不要一次更改全部 DNS 项。

TUN 放在基础验证之后启用

只有需要接管不遵循系统代理的程序时，再测试桌面 TUN。启用前记录现有 VPN、虚拟网卡与 DNS 设置；启用后检查内核日志、默认路由和连接记录。如果系统代理工作正常，而一开 TUN 就断网，优先回退 TUN，排查权限、路由冲突和 DNS 接管，而不是重新安装客户端。

七、安装完成后的验收与退出检查

首次设置完成不只看“已连接”。把下面几项逐一确认，能减少重启、换网络或订阅更新后的重复排查。

• 配置验收：当前配置名称、更新时间明确，日志没有持续解析错误；需要的策略组中有可用节点。
• 流量验收：新建网页请求能在连接记录中找到，并能解释它为什么直连或走代理。
• 退出验收：关闭客户端前关闭系统代理或使用其正常退出流程，确认普通网络仍可用。Windows 11 可到「设置」→「网络和 Internet」→「代理」检查残留的手动代理。
• 重启验收：重启客户端后配置仍然选中；若设置了自动启动，确认它没有与另一套网络工具同时启动。
• 移动网络验收：Android 在 Wi-Fi 与移动网络间切换后重新测试，锁屏后再检查后台连接是否保持。
• 求助资料：记录操作系统、客户端与内核版本、具体报错和复现步骤。日志只提供必要片段，并遮盖订阅令牌、密码与私人地址。

遇到问题时，优先保留能够正常工作的最小设置。先验证一个配置、一个节点和一种接管方式，再增加自动更新、TUN 或自定义规则。这样既便于定位故障，也能在配置变化后迅速恢复到已验证的状态。