Clash 首次安裝設定教學：系統代理、連接埠、TUN 模式與常見錯誤

安裝前檢查：系統架構、用戶端與核心

首次設定的目標，是建立一條可驗證的連線路徑：應用程式發出要求，由本機代理連接埠接收，核心依規則選擇直連或代理，再由代理連線至目標服務。安裝程式能開啟，只代表圖形介面已成功啟動；訂閱已下載、核心正在執行、應用程式已接入，是另外三項需要分別確認的狀態。

先選擇相符的架構，再確認核心功能

• Windows：前往「設定」→「系統」→「系統資訊」查看系統類型。一般 Intel、AMD 電腦使用 x64 安裝套件；Windows on ARM 裝置則優先選用用戶端提供的 ARM64 套件。
• macOS：前往 Apple 選單→「關於這台 Mac」查看晶片。Apple 晶片機型使用 arm64 套件，Intel 機型使用 x64 套件；若有 Universal 套件，可依發布說明選用。
• Linux：執行 uname -m。輸出 x86_64 通常對應 amd64/x64，aarch64 則對應 arm64；也要確認安裝套件格式及發行版支援狀況。
• Android：依用戶端發布說明選擇 APK 架構。應用程式啟用的 VPN 服務會接管裝置流量，與桌面系統中的手動 HTTP 代理不同。
• iOS：使用支援相應設定格式的用戶端連線。請勿假設桌面版 Clash 的完整 YAML 可由所有 iOS 用戶端直接讀取；匯入前應先確認訂閱格式。

Clash 圖形用戶端負責管理訂閱、切換開關及顯示狀態；Clash 或 Clash Meta（mihomo）核心則負責解析設定並轉送流量。較新的通訊協定與設定欄位能否使用，取決於實際執行的核心及其版本。若匯入時出現不支援的代理類型，請先查看用戶端的「關於」或核心資訊頁面，再核對設定需求，不要反覆切換系統代理。

匯入訂閱：下載完成後，還要啟用設定

訂閱連結通常是含有存取憑證的 URL，可能回傳完整 YAML，也可能只回傳節點清單。完整設定通常包含 proxies 或 proxy-providers、proxy-groups 和 rules；只有節點清單時，則需要用戶端範本補上策略組與規則。這兩種格式無法在所有匯入入口通用。

1. 前往用戶端的「設定」或「訂閱」頁面，選擇透過 URL 匯入，並貼上服務提供者給你的完整連結。各用戶端的介面名稱可能不同，請以目前版本的設定管理頁面為準。
2. 執行下載或更新，確認最近更新時間及錯誤訊息。若遇到 HTTP 401、403，請檢查連結憑證、帳戶狀態及服務提供者的存取限制；若是 404，先確認網址是否已過期或複製不完整。
3. 選取剛匯入的設定，確認已啟用，再開啟代理組頁面。下載完成不代表核心已切換至這份設定。
4. 在規則實際引用的選擇組中，挑選可用節點。自動測速組可能會自行選擇成員；手動選擇組則必須明確指定，避免仍停留在 DIRECT。
5. 查看核心記錄是否有設定解析錯誤。YAML 縮排請使用空格，不要在設定中混入定位字元；也不要只因為檔案能在編輯器中開啟，就判定內容有效。

分開管理訂閱更新與本機修改

直接編輯下載的訂閱檔案，修改內容可能在下次更新時被覆蓋。若要固定連接埠、調整 DNS 或規則，建議使用用戶端支援的覆寫、合併或擴充設定功能。記下修改項目及設定位置，更新後再確認最終生效的設定。分享錯誤訊息時，請遮蔽訂閱 URL、節點密碼及控制介面金鑰，只保留診斷所需的欄位與錯誤行。

系統代理與混合連接埠：位址和連接埠必須相符

桌面系統代理會將支援讀取系統代理設定的應用程式導向本機代理連接埠，但不會讓所有軟體自動透過 Clash 連線。初次排查可先使用系統代理，確認瀏覽器要求能進入核心，再處理遊戲、命令列工具或其他不遵循系統代理設定的程式。

本機連接埠範例：127.0.0.1:7890

以下是用於核對的基本欄位，並非可直接連線至節點的完整設定。mixed-port 同時接受 HTTP 代理與 SOCKS5 代理連線；7890 是範例值，實際值請以用戶端最終生效的設定為準。部分用戶端的圖形介面設定會覆蓋檔案中的連接埠。

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info

各平台系統設定的檢查位置

• Windows 11：「設定」→「網路和網際網路」→「Proxy」→「手動 Proxy 設定」。若由用戶端管理系統代理，開啟用戶端開關後，請確認此處指向正確的本機位址與連接埠；不要同時保留來源不明的指令碼設定。
• macOS：「系統設定」→「網路」→目前使用的網路服務→「詳細資訊」→「代理伺服器」。確認網頁代理、安全網頁代理或 SOCKS 代理的位址與連接埠，並在結束用戶端後確認設定是否已還原。
• Linux：桌面環境的網路代理設定與終端機環境變數各自生效。設定桌面代理後，命令列工具仍可能需要指定參數，或設定 HTTP_PROXY、HTTPS_PROXY 等環境變數；請以工具文件為準。

連線測試：分辨連接埠、規則與節點問題

測試時一次只變更一個條件。先確認連接埠可連線，再檢查規則是否命中，最後才查看遠端節點。用戶端的節點延遲測試通常是測量連至指定測試位址所需時間，不代表下載速度，也不保證所有網站都能存取。

使用明確指定代理的要求，排除系統設定影響

在 Windows PowerShell 中使用 curl.exe，避免某些環境將 curl 解讀為其他命令。macOS、Linux 可使用 curl。以下命令會透過範例連接埠要求測試網頁，最長等待 15 秒；執行前請換成實際的監聽連接埠。

# Windows
curl.exe --proxy http://127.0.0.1:7890 --max-time 15 -I https://example.com

# macOS / Linux
curl --proxy http://127.0.0.1:7890 --max-time 15 -I https://example.com

• 無法連線至本機連接埠：確認核心是否正在執行、連接埠是否相符，以及記錄中是否出現監聽失敗。要求尚未進入代理層，此時更換遠端節點通常無濟於事。
• 收到 HTTP 回應標頭：代表這次要求已完成代理入口與目標連線流程；但在規則模式下，目標仍可能被判定為直連，請搭配連線記錄確認實際出口。
• 要求逾時：查看連線記錄是否出現該網域、命中哪條規則，以及選用了哪個節點。若沒有記錄，先排查應用程式是否接入；若有記錄，再檢查 DNS、節點連線狀況及目標服務。

日常使用以規則模式為起點

mode: rule 會依照設定中的規則順序比對連線，最後通常會以 MATCH 作為後備規則。全域模式適合短暫排查特定目標是否被規則分配至錯誤策略，但無法修復節點失效或訂閱格式錯誤。測試完成後請恢復規則模式，並查看連線記錄中的規則名稱、策略組及最終節點；不能只憑網頁開得起來就判定流量經過代理。

TUN 模式：依序檢查權限、路由與 DNS

TUN 模式透過虛擬網路介面與路由接管流量，適合不讀取系統代理設定的應用程式。它與系統代理是不同的連線方式，不代表所有連線都會經過遠端節點；流量進入核心後，仍會由規則選擇 DIRECT、代理組或其他動作。

先測試一般代理，再啟用 TUN

1. 先確認明確指定代理的要求及節點連線都能正常使用。若一般代理連線尚未打通，請先修復訂閱、連接埠或節點，不要再啟用 TUN 增加變數。
2. 確認用戶端是否提供服務模式或權限安裝入口。Windows 用戶端可能需要已安裝的背景服務或管理員權限；macOS 可能需要授權輔助元件；Linux 通常需要提升權限或具備網路管理能力。
3. 啟用 TUN 後，觀察虛擬介面、路由及核心記錄。若出現權限錯誤，請依用戶端安裝文件完成服務授權，避免長期以過高權限執行無關程式。
4. 暫時停用其他 VPN 的流量接管功能，再測試網頁、目標應用程式及區域網路資源。兩套 VPN 同時修改預設路由或 DNS，容易讓要求進入錯誤介面。

在 mihomo 設定中，tun.enable 控制 TUN 開關，auto-route 涉及自動路由，dns-hijack 可用於接管指定的 DNS 流量；實際支援情況取決於平台、核心版本及用戶端覆寫設定。不要只貼上一段 TUN 設定，就認定路由、DNS 與權限都已準備就緒。

分開檢查 DNS 問題與規則分流

如果網域無法連線，但其他連線仍有回應，請先查看 DNS 記錄與目前的解析設定。瀏覽器的安全 DNS、應用程式內建解析器及系統 DNS 可能使用不同路徑；接管一般 DNS 要求，也不代表所有加密 DNS 都已接管。使用 fake-ip 模式時，應用程式取得的位址可能來自虛擬位址池，這是核心對應網域的機制，不要任意將該位址寫入 hosts 檔案。

若無法正常存取印表機、NAS 或公司內部網路，請檢查區域網路直連規則、路由排除及內部 DNS，不要一律切換至全域代理。Android 的 VPN 授權視窗是用來允許應用程式建立 VPN 介面；一般而言，同一使用者空間只能啟用一項 VPN 服務，因此可能會取代或中斷其他 VPN 應用程式。

首次啟動常見錯誤：依問題層級逐步排除

安裝遭系統安全機制封鎖

Windows 出現 SmartScreen 或安全軟體警示時，先確認下載來源、發布者資訊及安裝套件是否適用目前系統。企業裝置可能設有應用程式執行政策，請聯絡管理員確認是否已獲授權。macOS 出現開發者驗證提示時，確認來源無誤後，可查看「系統設定」→「隱私權與安全性」是否有允許該應用程式的選項；若系統提示應用程式可能損害電腦或檔案已損毀，請停止執行，重新確認來源與發布說明，不要將所有警告一概視為同一種問題。

address already in use：本機連接埠已被占用

此錯誤表示核心無法繫結某個位址或連接埠。先結束重複執行的用戶端，再檢查是哪個程序占用連接埠。Windows 可執行以下命令查詢 7890 的監聽狀況，再於工作管理員的「詳細資料」中依 PID 確認程序；不要只因為連接埠遭占用，就結束不明的系統程序。

netstat -ano | findstr ":7890"

macOS 可使用 lsof -nP -iTCP:7890 -sTCP:LISTEN，Linux 可使用 ss -lntp 檢查監聽資訊。若改用其他連接埠，請同步更新系統代理。控制介面的連接埠衝突與流量入口衝突也需要分開處理。

憑證錯誤：先檢查時間、目標網域與信任鏈

一般 HTTP CONNECT 或 SOCKS5 轉送通常不需要在瀏覽器安裝根憑證。遇到「憑證已過期」、「憑證名稱不符」或 TLS 交握錯誤時，請先檢查系統日期、時區、存取網域及憑證簽發者，再確認是否連上需要登入驗證的網路。公司網路可能採用受管理的 TLS 檢查機制，請依組織的憑證部署流程處理。

關閉用戶端後仍無法連線

先關閉系統代理，確認手動代理位址已清除，再檢查是否仍有 TUN 路由、VPN 服務或其他用戶端接管流量。正常結束時，用戶端通常會嘗試還原相關設定，但若程式異常終止，可能需要手動恢復。若正透過遠端操作電腦，變更預設路由前請先準備備用連線，避免管理工作階段也一併中斷。

初始設定驗收清單

確認連線正常後，再啟用開機啟動、訂閱自動更新等日常功能。保留必要的設定紀錄，日後更新或更換網路時，就能快速分辨設定變更與網路故障。

• 訂閱顯示最近一次成功更新時間，目前設定已選取，記錄中沒有阻止核心啟動的解析錯誤。
• 記下用戶端名稱、核心版本及實際的 mixed-port，並確認系統代理的位址與連接埠相符。
• 明確指定代理的要求已收到回應，連線記錄也能說明命中的規則、策略組及最終出口。
• 已個別測試需要 TUN 的應用程式，區域網路裝置及內部網路服務仍可依預期存取。
• 結束用戶端後可恢復一般網路連線，重新啟動後代理開關與服務狀態也符合預期。
• 更新訂閱後重新檢查覆寫設定，妥善備份憑證，不要將完整訂閱連結貼到公開求助頁面。

後續排查仍請依照「設定是否有效→核心是否正在監聽→應用程式是否已接入→規則是否命中→節點是否可連線」的順序進行。術語對照請參閱名詞解釋；規則與核心設定細節請參閱技術參考。