· 入门指南 · 预计阅读 12 分钟
第一次安装 Clash 客户端:跨平台初始设置清单与常见踩坑
从安装包选择、首次启动授权到端口与出站模式设置,梳理五个平台通用的初始配置顺序,并列出权限、杀软拦截与端口占用等首装高发问题。
1. 安装前：确认平台、架构与配置来源
第一次安装 Clash 客户端，先完成三项确认：设备使用什么系统、处理器属于哪种架构、是否已经取得可用配置。安装客户端只会提供本地代理入口，不会自动生成可连接的代理节点。缺少配置时，反复切换系统代理或 TUN 模式通常不能解决问题。
Clash 是代理内核及相关生态的常用称呼；客户端负责配置管理、节点选择和系统设置。Clash Meta 后续更名为 mihomo，是这一生态中的内核。不同客户端可能使用不同内核，不能仅凭界面相似就认定配置字段完全通用。导入前查看客户端的「关于」或内核信息，记录客户端版本与内核版本，排错时一并提供。
| 平台 | 确认位置 | 安装包选择与注意项 |
|---|---|---|
| Windows | 「设置」→「系统」→「系统信息」→「系统类型」 | x64 处理器优先选 x64；ARM 设备优先选受支持的 ARM64 包。系统版本要求以客户端发行说明为准。 |
| macOS | 苹果菜单 →「关于本机」 | Apple 芯片选 arm64，Intel 处理器选 x64；Universal 包是否可用，以产品发布文件为准。 |
| Android | 系统「设置」→「关于手机」，并参照产品支持说明 | 现代设备多为 arm64-v8a，但处理器支持 64 位不代表系统一定支持 64 位应用；不确定时选产品提供的通用 APK。 |
| iOS | 「设置」→「通用」→「关于本机」 | 通过 App Store 获取明确支持相应配置格式的客户端，先确认所需 iOS 版本与当前商店可用性。 |
| Linux | 终端运行 uname -m | x86_64 对应 x64，aarch64 对应 ARM64；deb、rpm、AppImage 还需按发行版选择。 |
2. 首次启动：授权按用途分开处理
首次启动时，先让界面正常打开，再导入配置，最后按需要开启系统代理或虚拟网卡。桌面端的系统代理、内核启动和 TUN 服务不是同一项权限；不要把所有权限提示都理解成必须授予管理员权限。
Windows 与 macOS
- Windows：如果 TUN 功能提示安装服务或请求管理员权限，先核对提示中的程序路径。普通界面操作不应靠长期使用管理员账户解决。Windows 安全中心拦截文件时，在「病毒和威胁防护」→「保护历史记录」查看具体项目，不要先关闭整套实时防护。
- macOS：若系统阻止启动，先确认下载来源与产品支持的系统版本。对来源明确且确实需要运行的应用，可按系统提示检查「系统设置」→「隐私与安全性」。不要通过全局关闭系统安全机制来绕过提示。
- 服务权限：部分客户端通过辅助服务配置路由。服务安装失败时，查看客户端服务状态和日志；系统代理能开启，不代表 TUN 所需服务也已安装。
Android、iOS 与 Linux
- Android：首次启动代理连接通常出现系统 VPN 连接请求，确认发起者是刚安装的客户端。先断开其他占用系统 VPN 槽位的应用，包括某些本地防火墙和过滤工具。
- iOS：首次连接时按系统提示添加 VPN 配置，并通过设备认证。VPN 权限与导入订阅是两件事：订阅导入成功后，仍需启动连接。
- Linux：图形客户端的系统代理可能依赖桌面环境，TUN 则通常需要额外权限或服务。按产品说明配置服务，不要直接对整个客户端目录递归赋予过宽权限，也不要默认用 root 运行全部界面。
手机端依靠系统允许的 VPN 扩展或服务处理连接，不是把应用一直停留在前台。Android 若在锁屏后断开，可检查「设置」→「应用」→对应客户端→「电池」中的后台限制，实际名称随厂商变化。iOS 应先检查 VPN 状态和客户端连接日志，不能用“禁止清理后台”替代连接排错。
3. 导入配置：先验证内容，再启动连接
- 进入客户端的「配置」或「订阅」页面，使用「新建」「添加」或导入入口。不同产品菜单名称不同，操作目标都是创建一条配置记录。
- 粘贴服务提供方给出的兼容订阅链接，或选择本地 YAML 文件。不要把账户管理网页地址当成订阅地址。
- 等待下载与解析结束，检查更新时间、节点列表和代理组是否出现。只有订阅记录名称出现，不能证明配置已经可用。
- 将这条配置设为当前使用项；若客户端区分「下载」和「启用」，还要执行启用操作。
- 打开「代理」页面，在配置提供的选择组中选一个节点，再进行连通性测试。
订阅更新失败先看错误发生在哪一层：下载超时属于获取阶段；返回登录网页、验证码页面或错误提示页，属于响应内容问题；提示 YAML 行号或字段类型不正确，才进入配置解析排查。不要把所有失败都归因于节点失效。
本地编辑 YAML 时使用空格缩进，不要混用 Tab。带有 proxy-providers 或 rule-providers 的配置还可能需要继续下载远程资源，因此主配置导入成功后，仍要检查提供者是否加载完成。旧内核无法识别某些新字段时，应核对配置要求与内核能力，而不是随意删除字段让错误提示消失。
4. 初始参数：混合端口、规则模式与本地监听
桌面端初装建议先建立一条简单路径：当前配置有效、内核运行、选择规则模式、确认本地监听端口，再开启系统代理。Android 与 iOS 通常通过客户端连接按钮启动系统 VPN，不需要照搬桌面端的系统代理开关。
| 设置项 | 首次设置建议 | 需要理解的边界 |
|---|---|---|
| 混合端口 | 查看客户端实际值，本文示例为 7890 | 同一端口接收 HTTP 与 SOCKS 代理请求；7890 不是所有客户端的固定值。 |
| 出站模式 | 选择「规则 / Rule」 | 按规则决定直连、代理或拒绝；仍需在代理组中选择可用出站。 |
| 系统代理 | 桌面端按需开启 | 只影响遵循系统代理设置的应用，不能保证所有程序都被接管。 |
| 允许局域网连接 | 没有共享需求时关闭 | 避免把代理入口暴露给同一网络中的其他设备。 |
| TUN 模式 | 桌面端基础链路验证后再开启 | 需要相应权限，并可能与现有 VPN、虚拟网卡及路由设置冲突。 |
规则、全局与直连的区别
「规则」依据当前配置的匹配顺序选出站；「全局」把交给内核处理的流量送往全局选择组；「直连」则由本机直接访问目标。全局模式不会自动让不使用系统代理的应用接入内核。遇到某个网站不通，可以临时切换模式辅助判断规则问题，完成测试后再恢复，不应把全局模式当成接管全部系统流量的开关。
最小参数片段的用途
以下仅用于理解 mihomo 常见字段，不是完整的联网配置，也不应直接覆盖订阅。端口以本机实际设置为准；图形客户端可能生成或覆盖这些字段。
mixed-port: 7890
allow-lan: false
bind-address: 127.0.0.1
mode: rule
log-level: info127.0.0.1 表示本机回环地址。代理端口和控制器端口用途不同，不要把面板连接使用的控制器地址填到浏览器代理服务器中。初装也不需要开放控制器给局域网设备。
5. 验证顺序：内核、显式代理、浏览器
不要只凭托盘图标或连接开关判断是否成功。按下面的顺序测试，每一步只改变一个条件。先确认日志没有配置加载失败和监听失败，再确认选中节点，最后比较显式代理请求与浏览器访问结果。
用一次请求验证本地端口
以下命令假定混合端口确实为 7890。Windows PowerShell 使用 curl.exe，避免某些环境把 curl 解释成其他命令。macOS、Linux 使用 curl。命令的最长等待时间为 15 秒，不会修改系统代理。
# Windows PowerShell
curl.exe -I --proxy http://127.0.0.1:7890 --max-time 15 https://example.com
# macOS / Linux
curl -I --proxy http://127.0.0.1:7890 --max-time 15 https://example.com- 连接被拒绝：优先检查内核是否运行、端口是否写错，以及客户端是否只在其他地址监听。
- 只有 CONNECT 成功提示：HTTP 代理隧道可能已建立，但仍需看到目标站点后续响应，不能据此断定完整 HTTPS 请求成功。
- 收到目标站点响应：说明这次经本地代理的请求完成了；返回 403 等状态也可能是目标站点策略，不代表所有目标都能访问。
- 超时或 TLS 错误：结合客户端日志检查节点、DNS、系统时间与目标站点；不要直接禁用证书验证。
显式代理请求成功、浏览器失败时，重点检查浏览器代理扩展、自定义代理和系统例外列表。浏览器成功、终端直接请求失败时，也不一定是客户端故障：终端工具往往不读取桌面系统代理。可以继续使用命令的 --proxy 参数，或为明确支持代理环境变量的工具单独配置。
延迟测试只反映客户端对某个测试地址的测量，不等于下载带宽，也不能证明所有网站可达。确认代理组中的选中项后，再检查「连接」页或日志中的规则与出站记录，判断该请求实际走了哪条路径。
6. 首装常见故障：按现象定位
端口占用：同一地址只能由一个进程监听
日志出现 address already in use 或绑定失败时，先退出旧代理客户端、重复启动的内核与占用相同端口的调试工具。Windows 可运行 netstat -ano | findstr :7890，查看本地地址、状态和 PID；不要把仅在远端地址中出现 7890 的连接误认为监听进程。macOS 可运行 lsof -nP -iTCP:7890 -sTCP:LISTEN；Linux 可运行 ss -ltnp 检查监听情况，进程详情可能需要额外权限。
确认进程身份后再停止，不要直接结束未知系统进程。若改用 7891，必须确认新端口未被占用，并同步修改系统代理、浏览器自定义代理和测试命令。只改客户端端口，其他应用仍会连接旧地址。
界面能打开，内核不能启动
先看日志属于可执行文件缺失、架构不匹配、配置解析失败还是权限不足。安全工具隔离内核时，界面可能仍能启动，因此需要同时检查保护历史记录和客户端内核路径。仅在确认来源、告警详情和产品说明后处理对应文件，不要给整个下载目录添加长期排除项。
TUN 开启后断网或内网不可达
先关闭 TUN，恢复此前已经验证成功的系统代理路径。随后检查其他 VPN 是否仍在运行、辅助服务是否正常、路由是否覆盖公司内网，以及 DNS 设置是否与当前网络冲突。TUN 涉及路由与解析，单独复制一段 tun: 配置不能保证适用于所有平台和网络。公司设备应先遵守管理策略，不要为测试强行修改受管路由。
退出客户端后浏览器仍无法联网
这通常需要检查残留的系统代理，而不是重装浏览器。Windows 11 可查看「设置」→「网络和 Internet」→「代理」中的手动代理；macOS 可查看「系统设置」→「网络」→当前网络→「详细信息」→「代理」。如果仍指向已停止的本地端口，恢复为安装前的状态。受组织管理的 PAC 或代理地址不要擅自删除。
7. 安装完成检查单与后续维护
- 确认安装包架构正确，客户端与内核均能启动，日志没有持续重复的错误。
- 确认当前配置已启用、代理组有可选节点，订阅提供者资源已加载。
- 记录实际混合端口与当前出站模式，避免把本文示例端口当成本机固定值。
- 桌面端完成一次显式代理测试与一次浏览器访问测试；手机端检查系统 VPN 状态并实际打开目标页面。
- 重启设备后检查客户端是否按预期开机启动，系统代理或 VPN 是否与客户端运行状态一致。
- 保留安装前的代理设置记录与配置副本，确认关闭连接后能恢复正常网络。
首次连通后，再决定是否启用开机启动、自动更新订阅和 TUN。订阅更新频率以服务提供方要求为准，不需要用每分钟刷新来解决连接问题。客户端升级前记录版本与当前设置；升级后先验证配置加载、端口监听和常用应用，再恢复复杂规则或局域网共享。
需要求助时，提供系统版本、处理器架构、客户端版本、内核版本、操作步骤，以及错误发生时间附近的日志。说明“显式代理成功但浏览器失败”比只说“无法连接”更利于定位。日志和截图先去除订阅凭据；对特定网站的问题，还应说明是否仅在规则模式下出现。