第一次装 Clash 客户端要注意什么:跨平台初始设置清单与常见坑

首次配置顺序：先导入订阅，再接管流量

第一次使用，按“安装客户端 → 导入并启用配置 → 选择策略 → 开启流量接管 → 检查连接”的顺序操作。先让一条连接跑通，再调整 TUN、DNS 或开机启动。这样出错时，能知道问题发生在哪一步。

Clash 是代理内核及其相关客户端生态的常见称呼，不是所有平台上同一个安装程序。Clash Meta 后续使用 mihomo 名称，采用它的图形客户端会提供不同的设置界面。订阅兼容性取决于实际内核与配置格式，不能只看应用名称。

1. 确认系统和处理器：Windows 区分 x64 与 ARM64，macOS 区分 Intel 与 Apple Silicon；安卓安装包也可能区分 arm64-v8a 等架构。
2. 准备兼容的订阅：需要服务提供方给出的 Clash 或 mihomo 配置入口。只有节点列表、网页地址或其他客户端的专用链接，不一定能直接导入。
3. 暂时退出其他代理或 VPN：避免两个客户端同时修改系统代理、虚拟网卡或路由。
4. 记录当前网络状态：先确认普通网站可以打开，再开始配置。已有手动代理的电脑应先记下原设置。

订阅导入与策略组：看到配置不等于已经启用

在客户端的「订阅」「配置」或 Profiles 页面选择 URL 导入，粘贴完整地址并下载。不同客户端的中文菜单名称不完全相同，以下按功能说明，不把某一款软件的按钮当作通用路径。

第一次导入，检查这四项

• 下载是否成功：配置列表应出现名称、更新时间或可用条目，而不是停留在错误提示。
• 是否成为当前配置：有些客户端导入后还需要点选「启用」。只新增一张配置卡片，并不代表内核已切换。
• 策略组是否有可用选项：在「代理」或 Proxies 页面展开主策略组，先手动选一个节点，不要误选 DIRECT 或 REJECT。
• 模式是否为规则：初次建议使用 Rule／规则模式，按配置中的规则决定直连或代理。Global／全局模式可用于短时对照测试，Direct／直连模式不会用代理节点转发。

导入时出现 YAML 解析错误，先检查订阅是否真的返回配置。过期链接可能返回登录页面，复制时漏掉参数也可能使服务器返回错误内容。不要看到错误就随意删除配置里的缩进：YAML 的层级依赖缩进，改动可能引出新的错误。

如果提示不支持某种代理类型或配置字段，检查客户端所用内核，再向提供方索取对应格式。不要为了导入成功而随手移除连接协议、加密或 TLS 参数；配置能加载与节点能连接，是两件不同的事。

Windows 与 macOS：先检查系统代理，再考虑 TUN

桌面首次使用，先开启客户端的「系统代理」开关，测试浏览器。这个开关通常把系统的 HTTP／HTTPS 代理指向本机监听端口；它不会保证所有应用都经过代理。不读取系统代理的应用，仍可能直接联网。

本地地址和端口要一起核对

常见混合端口是 7890，但不同客户端可能使用别的值，应以当前界面或生效配置为准。例如，客户端监听 127.0.0.1:7890，系统代理却仍指向旧软件的 127.0.0.1:7897，浏览器就可能报代理连接失败。混合端口能接受 HTTP 与 SOCKS5 连接，不代表系统设置会自动同步。

macOS 首次修改网络设置或安装辅助服务时，可能请求管理员认证。Windows 的服务安装、TUN 虚拟网卡配置也可能需要提权。先核对发起请求的应用名称与来源，再决定授权；普通桌面系统代理测试通常不需要把整个客户端长期以管理员身份运行。

TUN 不是安装完成后的必选开关

TUN 通过虚拟网络接口接管流量，适合处理不遵循系统代理的应用，但也引入路由、DNS 和权限等额外因素。建议在普通浏览器测试通过后再开启，每次只改一项。开启后若局域网设备、公司内网或另一个 VPN 无法访问，先关闭 TUN 做对照，不要直接叠加更多 DNS 设置。

安卓与 iOS：VPN 授权和后台限制分别处理

安卓：先允许 VPN 连接，再验证后台稳定性

安卓客户端通常使用系统 VPN 接口接管流量。首次点启动时，系统会弹出 VPN 连接请求，确认后状态栏通常会出现 VPN 标识。这个标识只说明 VPN 接口已建立，不代表订阅有效或代理节点已连通。

1. 导入并启用配置，在策略组中选好节点，再启动连接。
2. 如果系统提示已有 VPN，先断开原来的连接。普通个人使用场景下，同一用户通常只能启用一个基于系统 VPN 接口的服务。
3. 锁屏约 5 分钟后再打开网页，检查是否仍能联网；这是简单复测方法，不是续航实测结果。
4. 仅在确实出现后台断连时，检查「设置 → 应用 → 对应客户端 → 电池」中的后台限制。厂商还可能单独提供「自启动」或后台锁定设置。

Android 13 及以上版本可能另行请求通知权限。通知权限与 VPN 授权不是同一项：常驻通知有助于查看连接状态，但授权通知本身不会建立代理连接。也不建议一开始就打开所有保活选项，应先观察默认设置是否稳定。

iOS：确认具体应用的格式和网络扩展支持

不要把 iOS 上的代理应用都理解为同一个 Clash 客户端。不同应用支持的订阅格式、规则语法和策略组功能存在差异。导入前查看该应用说明，确认是否直接支持 Clash 配置，还是需要服务提供方提供专用格式。

首次启动通常需要允许添加 VPN 配置。可在「设置 → 通用 → VPN 与设备管理」检查相关配置，但应用内启用状态和系统 VPN 状态仍需一起看。学校或企业管理的设备可能限制添加 VPN；遇到管理策略提示，应联系设备管理员，不要安装来源不明的描述文件绕过限制。

端口占用与证书提示：按错误类型处理

端口占用：找出进程，不要直接结束陌生服务

日志出现 address already in use 或绑定端口失败，通常是同一端口已有程序监听。先退出旧客户端和重复启动的进程，再查端口。以下命令以 7890 为例，实际检查时替换为当前监听端口。

Windows 在命令提示符中执行：

netstat -ano | findstr :7890

查看本地地址对应的 LISTENING 行，最后一列是 PID；再到任务管理器「详细信息」按 PID 查程序。macOS 可在终端执行：

lsof -nP -iTCP:7890 -sTCP:LISTEN

如果占用者需要继续运行，可把代理客户端的混合端口改为未被占用的端口，例如 7891，随后重新应用系统代理。手动配置过代理的浏览器、终端和其他软件，也要同步改端口。不要仅修改配置文件，却留下旧的系统代理地址。

区分应用签名、网站证书与节点 TLS 错误

• 应用无法验证开发者：属于安装来源或系统签名检查问题。回到项目发布渠道确认系统要求与安装包来源，不要关闭整套系统安全机制。
• 浏览器提示网站证书无效：先检查系统日期、时区、网站域名，以及是否处于需要网页登录的公共 Wi-Fi。不要直接点击继续访问敏感页面。
• 日志出现 TLS 证书验证失败：检查节点配置中的服务器名称、证书有效期及系统时间，再联系服务提供方。不要把跳过证书验证当成常规修复。

连接验证：把节点、规则和接管范围分开查

“延迟测试有数字”不能替代实际访问。测试地址能响应，只说明那次探测成功；目标网站还可能因为规则、DNS、账号状态或出口限制无法打开。按下面顺序验证，避免一次改变太多变量。

1. 检查内核日志：先确认没有配置加载失败、端口监听失败或反复重启。
2. 检查连接记录：用浏览器打开一个明确需要代理的网站，观察是否产生对应域名的连接。若完全没有记录，先查系统代理、VPN 或 TUN 是否接管了该应用。
3. 检查命中策略：确认连接走向预期的策略组，而非意外命中 DIRECT。如果记录显示拒绝，查看是否匹配了拦截规则。
4. 更换单个节点复测：保持配置和规则不变，只换节点。若恢复，再排查原节点，而不是重装客户端。
5. 必要时短暂切全局：如果全局可用、规则不可用，重点查规则与策略组选择；测试后切回规则模式。全局模式本身不会扩大系统代理的接管范围。

浏览器可用但终端不可用，是常见的接管范围差异。许多命令行工具不会自动读取桌面系统代理。确认 7890 是当前 HTTP 或混合端口后，可以用一次显式代理请求作对照：

curl --proxy http://127.0.0.1:7890 --head https://example.com

Windows 可使用 curl.exe 避免部分 PowerShell 环境中的同名别名影响。这个命令只验证指定请求能否经过本地代理，并不能证明所有应用都已接管；目标网站返回的 HTTP 状态也需要结合连接日志判断。

设置完成后：保留最小配置与退出检查

首次可用后，再考虑订阅自动更新、开机启动和 TUN。订阅更新可能覆盖手工编辑内容；需要长期保留的修改，应优先使用客户端支持的覆写或合并功能，并按照该客户端说明配置。

• 保存必要信息：记录客户端名称、版本、内核版本、监听端口和所用接管方式，便于之后复查。
• 检查局域网开关：仅本机使用时保留「允许局域网连接」关闭，不必把代理端口暴露给同网段设备。
• 正常退出一次：先关闭系统代理，再退出应用，确认普通网络恢复。若直接强制结束进程，系统可能仍指向已停止监听的本地端口。
• 重启后复测：检查配置是否仍启用、VPN 是否需要重新连接、端口是否变化，不要只看托盘图标。

遇到问题时，把“配置能否加载、内核能否启动、流量是否进入、策略是否正确、节点能否连接”五层分开检查。寻求帮助时提供系统版本、客户端版本和经过脱敏的报错片段，删除订阅令牌、节点密码等敏感内容。更多设置步骤可查看使用指南，具体参数再参照配置进阶。