Windows 商店应用不走 Clash 代理:用 CheckNetIsolation 解除 UWP 回环限制

安装前检查：确认系统、架构与下载来源

安装 Clash Verge Rev 前，先确认电脑运行的是 Windows 11，并检查处理器架构，避免下载与设备不匹配的安装包。打开「设置」→「系统」→「系统信息」，查看「系统类型」：大多数 Intel、AMD 电脑使用 x64 构建；Windows on ARM 设备应优先选择项目明确提供的 ARM64 构建。如果发行页面没有对应架构的安装包，不要仅凭文件名猜测兼容性。

Clash Verge Rev 是图形管理客户端，负责配置导入、代理开关、策略组选择和运行状态展示；实际解析配置并转发流量的是客户端使用的代理内核，常见为 mihomo。客户端能够安装或打开，不代表内核已经启动，也不代表订阅配置、节点和系统代理都已生效。第一次设置时应把这些环节分别验证。

• 准备安装包：从可信的项目发布来源或本站安装入口获取。下载前核对应用名称、Windows 平台、架构和文件类型；不要通过不明网盘、搜索广告或捆绑下载器获取安装包。
• 检查文件：如果发布方提供校验值或数字签名，按其说明核对。文件名或图标相似不能证明来源可信；没有校验信息时，也不要把第三方页面的文件描述当作官方验证。
• 减少冲突：首次安装时，暂时关闭其他代理客户端的系统代理或 VPN 接管，避免多个程序同时修改代理设置、占用端口或创建虚拟网络接口。

本站安装入口：前往下载。下载页的实际可用版本、架构和发行文件应以当前页面列出的信息为准；安装前仍需核对项目发布说明和本机系统类型。

选择安装包：安装版与便携版的区别

Windows 发行文件可能提供安装程序，也可能提供压缩包或便携式构建。不同版本提供的文件类型和功能会变化，应以对应发行说明为准，不能假定每个版本都同时包含所有形式。一般而言，安装版更适合日常使用，便携版则把程序文件放在指定目录，方便独立管理；便携不等于免除所有系统权限要求。

如果下载的是安装程序，双击后按安装向导完成操作，并记录安装目录。若 Windows 弹出用户账户控制提示，先核对程序名称和文件来源，再决定是否允许其执行。需要管理员权限的系统集成操作，应在客户端明确提示时处理，不要为了解决普通启动问题而长期以管理员身份运行所有程序。

若使用便携包，先将压缩包解压到用户有读写权限的目录，例如个人文档下的独立文件夹，再从解压后的程序文件启动。不要把配置文件、订阅地址或日志随意放入公共共享目录；如果之后移动程序目录，客户端的数据保存位置和快捷方式也可能需要重新确认。

动手操作：完成安装并检查首次启动

下面按常见 Windows 11 安装流程操作。不同发行版本的按钮名称、设置布局和内核管理选项可能不同；遇到界面差异时，优先依据当前版本的提示，不要把某个版本的菜单路径当成所有版本都固定不变。

1. 确认下载文件：在「下载」文件夹中找到刚取得的安装包，核对文件名、文件类型和架构。若浏览器提示下载被拦截，先检查下载来源和文件信息，不要为了继续安装而忽略未知风险。
2. 启动安装流程：运行安装程序并阅读安装向导。可保留默认安装位置；如果更改目录，选择自己能够访问和写入的路径。安装过程中若出现额外组件或无关软件选项，仔细辨认后再决定是否勾选。
3. 首次打开客户端：从开始菜单或安装目录启动 Clash Verge Rev。若出现 UAC 权限请求，检查提示中的应用名称和来源。初次启动稍慢时，先等待一会儿并检查是否已有窗口或托盘图标，不要连续重复运行多个实例。
4. 确认内核状态：在客户端的运行状态、内核或日志相关页面查看是否有启动错误。日志中出现配置解析失败、端口占用或内核文件不可用时，先处理相应错误；只有界面成功打开，不能证明代理内核已经正常运行。
5. 导入一份配置：进入配置或订阅管理入口，按服务提供方给出的方式添加订阅 URL 或本地配置文件。下载成功后，选中并启用该配置；随后检查代理组与节点列表是否出现。订阅下载完成不等于配置已启用。
6. 验证一个节点：在策略组页面找到实际负责目标流量的选择组，手动选择一个可用节点，或确认自动选择组已选中有效成员。先不要同时调整 DNS、规则和 TUN 等多个选项，保持变量少一些便于定位问题。

配置导入后，如果客户端提示 YAML 解析错误，检查文件是否完整、缩进是否使用空格、订阅格式是否适用于当前内核。节点列表为空时，确认链接没有复制缺失、账户订阅仍有效，并查看更新错误信息。若配置由服务方提供，不要直接把源文件中的端口和本地覆写改成其他值后就假定客户端一定会采用这些设置。

开启系统代理并验证连接路径

Windows 系统代理会把遵循系统代理设置的应用引向本机代理端口，但并非每个软件都会读取它。客户端通常可以代为切换系统代理；开启后，可在 Windows 11 的「设置」→「网络和 Internet」→「代理」中查看相关状态。不要同时启用客户端管理和另一套不明来源的手动代理脚本，以免地址或端口互相覆盖。

本机代理常使用回环地址 127.0.0.1。端口必须与客户端当前生效的 HTTP、SOCKS 或混合端口相符；7890 只是常见示例，不是所有版本的固定默认值。若配置文件写着 mixed-port: 7890，但客户端设置或覆写把端口改成了 7897，就应按最终运行值检查，而不是机械照抄配置文件。

1. 在客户端确认配置处于启用状态，内核正在运行，代理模式和策略组符合当前测试目的。
2. 开启客户端的系统代理选项，查看 Windows「设置」→「网络和 Internet」→「代理」中是否出现与本机代理相符的设置。
3. 打开客户端的连接或日志页面，再访问一个可正常访问的网页，检查是否产生对应连接记录，以及连接最终命中了哪个策略组。
4. 若测试成功，再关闭并重新开启系统代理，重复访问一次，确认不是浏览器缓存或扩展单独代理造成的假象。

需要确认端口是否在本机监听时，可在 PowerShell 中执行以下命令。将 7890 替换为客户端当前实际端口：

Test-NetConnection -ComputerName 127.0.0.1 -Port 7890
netstat -ano | findstr ":7890"

TcpTestSucceeded : True 只表示 PowerShell 能连接到本机该 TCP 端口，不代表节点出口可用，也不代表每个应用都遵循系统代理。若连接记录显示目标流量走了 DIRECT，应检查命中规则和策略组；若完全没有记录，先确认应用是否读取系统代理、代理端口是否正确以及连接是否在到达内核前被拦截。

系统安全提示与常见启动问题

Windows Defender SmartScreen 或安全软件可能对新下载的程序显示警告。这类提示本身不能证明文件有问题，也不能证明文件安全。先确认下载来源、文件名、架构以及可用的签名或校验信息；只有在确认文件来自可信发布渠道并理解风险后，才考虑使用系统提供的继续选项。若来源无法确认、文件与发布说明不符或安全软件明确检测到威胁，应停止运行并重新核实，不建议关闭 Defender 或添加宽泛排除项。

双击后没有窗口

先查看任务栏和系统托盘，确认程序是否已启动到后台；再通过任务管理器检查是否有重复进程。随后重新启动一次并查看客户端日志、Windows 可靠性监视器或安全软件的拦截记录。若使用便携包，确认已经完整解压，并且程序目录没有被移动、删除或限制访问。反复连续双击可能造成多个启动实例，不是有效的排障步骤。

内核启动失败或提示端口冲突

端口可能已被另一个代理程序或本机服务占用。关闭不需要的冲突程序，查看客户端日志给出的端口号，再确认客户端最终配置中的监听端口。如果修改端口，系统代理地址也必须同步更新。不要将监听地址随意改成 0.0.0.0 或开启局域网访问来解决本机连接问题；这会扩大代理服务的可访问范围，而不是修复本机端口冲突。

配置下载失败或导入后没有节点

检查网络连接、订阅地址是否完整、账户是否仍有效，以及服务提供方是否限制请求频率。HTTP 401 或 403 通常需要核对身份验证、账户权限或访问限制；404 则应检查地址是否过期。若订阅只返回节点列表，而当前导入入口要求完整配置，客户端可能需要支持的模板或配置组织方式。错误日志和页面提示比反复切换系统代理更有诊断价值。

退出后网络设置没有恢复

重新打开客户端，确认系统代理开关状态，并到 Windows「设置」→「网络和 Internet」→「代理」查看是否仍保留手动代理地址。核对该设置是否由其他代理软件、脚本或组织策略管理。处理完成后，先关闭当前客户端管理的代理开关，再逐项检查其他程序，避免同时清除本来仍在使用的系统设置。

完成安装和首次连接后，建议记录客户端版本、内核版本、Windows 版本、系统架构、实际代理端口及错误日志关键行。分享诊断信息前，务必遮盖订阅 URL、节点地址中的凭据、密码和密钥。后续启用 TUN、修改 DNS 或增加本地覆写时，每次只调整一项并重新验证连接，才能分辨问题来自客户端、配置还是系统接入方式。