Clash Meta全平台安装配置

# 第 01 章 · preparation

通用准备与配置边界

区分客户端、内核与订阅

Clash Meta 是生态中沿用的名称，相关内核目前通常称为 mihomo。客户端负责展示配置、管理节点、请求系统权限和启动内核；内核负责代理协议、DNS 与规则匹配；订阅则提供节点或完整配置。安装客户端并不等于已经具备可用出口，仍需准备有权使用的订阅或自建节点。订阅是否有效、支持哪些协议、是否限制设备数量，应以提供方的说明为准，不能根据客户端安装成功推断。

桌面和移动平台的默认选择先看 Clash Plus；Linux 可从 Clash Verge Rev 或 FlClash 开始。完整入口在下载中心。选择前检查操作系统、处理器架构和安装方式，不要仅凭包名中的平台词判断。桌面 GUI 适合交互式操作；mihomo 内核包适合需要自行管理配置、进程和服务的用户。不同 GUI 的订阅管理方式并不一致，后文描述的是操作目的，不要求每个界面都存在同名按钮。

准备兼容配置与可回退环境

确认拿到的是 Clash YAML 配置、节点集合，还是其他软件的配置格式。完整配置通常包含代理、策略组和规则；只有节点的文件还需要配套策略组与规则。Base64 编码的节点链接不能直接视为完整 Clash 配置，sing-box 的 JSON 也不能只改扩展名后导入。格式判断和本地转换边界可查阅订阅格式对照笔记。转换前先保留原文件，不把包含访问凭据的链接提交给不可信服务。

首次配置前关闭其他代理客户端，记录原有系统代理与 VPN 状态。若设备由公司或学校管理，先确认是否允许修改代理、安装网络扩展或添加路由。检查系统时间、订阅账号状态以及当前网络能否访问订阅地址。导入时为配置起一个便于辨认的名称，再明确选中它作为活动配置；配置列表中出现文件，不代表运行中的内核已经切换到该文件。

先建立最小连接，再增加接管范围

推荐顺序是导入配置、选择规则模式、在目标策略组选一个节点，再开启系统代理进行浏览器测试。规则模式决定进入内核的流量如何分流，系统代理决定愿意遵循系统设置的应用如何进入内核。TUN 则通过虚拟网卡扩大接管范围，需要额外权限，并可能影响路由和 DNS。先让最小链路成立，再启用 TUN，能够避免把节点、权限与路由问题混在一起。

下面只是配置字段示意，不含节点，不能单独用来建立代理连接。端口数值应与当前客户端一致；如果客户端管理这些字段，应优先使用它提供的设置或覆写入口，而不是同时修改运行时生成文件。保留本地监听是更稳妥的起点，需要局域网共享时再检查认证与防火墙。

mixed-port: 7890
allow-lan: false
bind-address: 127.0.0.1
mode: rule
log-level: info

# 第 02 章 · windows

Windows 安装与流量接管

选择安装包并完成首次启动

从Windows 下载入口选择 Clash Plus；需要其他界面工作流时，可依次查看 Clash Verge Rev、FlClash、Clash Nyanpasu。Clash for Windows 属于已停止维护的归档客户端，不建议作为新设备的默认选择。在系统设置的“关于”页面确认处理器类型，再核对下载卡片的支持范围。不要把 ARM 设备与常见的 x64 安装包混为一谈，也不要用文件能否双击来判断架构是否匹配。

运行安装程序时阅读系统提示，确认文件来源后再继续。若使用解压运行的发行形式，应先解压到固定目录，不在压缩包预览窗口里直接启动。首次启动后确认托盘图标与主界面都能打开，查看日志是否有配置解析或端口绑定错误。安装权限与日常运行权限是两件事：只有安装服务、虚拟网卡或其他明确要求提权的步骤才处理对应授权，不必为了普通系统代理测试始终以管理员身份运行。

导入订阅并确认活动配置

进入配置或订阅页面，使用 URL 导入方式粘贴完整订阅地址，执行下载后等待解析完成。若导入本地 YAML，确认扩展名没有被系统隐藏成双重后缀。选中刚导入的配置，再查看代理页面是否出现预期策略组。订阅更新成功但节点列表未变化时，先核对当前活动配置、订阅到期状态和提供方返回内容，不要立刻重装软件；重装不能修复服务器返回的错误页面。

在规则模式下，找到规则实际引用的策略组并手动选择一个可用节点。某些组会嵌套另一个组，最终出口取决于最后一层选择，而不是页面上最显眼的节点名称。执行客户端提供的延迟测试后，选择有有效结果的候选节点，再进行真实访问。测试失败只能说明该测试请求没有完成，不能单凭一个结果认定所有协议、所有目标都无法连通。

系统代理验证与 TUN 递进

打开系统代理，进入 Windows 网络设置检查代理服务器地址是否指向本机监听地址，端口是否与客户端一致。普通浏览器通常会读取系统代理，但终端、游戏和部分下载工具可能自行管理网络。打开一个有明确分流预期的站点，同时观察客户端连接面板；如果没有新增对应连接，问题应先查应用入口，而不是调整规则顺序。浏览器扩展也可能覆盖系统设置，测试时应暂时排除这一层影响。

只有需要接管不遵循系统代理的应用时，再开启 TUN。若客户端提示安装服务或授予权限，应完成后检查日志中的虚拟网卡创建、路由添加和 DNS 接管结果。公司 VPN、虚拟机网卡、安全软件可能与默认路由交互；开启后出现全部断网，应先关闭 TUN 恢复原环境，再逐项排查。系统代理与 TUN 不必一开始同时开启，分开测试更容易确认哪条入口链路发生了变化。

Test-NetConnection -ComputerName 127.0.0.1 -Port 7890
curl.exe --proxy http://127.0.0.1:7890 --head https://example.com

上述 PowerShell 示例假设混合端口为 7890，请先按实际设置调整。端口测试成功只代表 TCP 监听可达；后面的请求还要经过节点、DNS、目标站点与规则。使用 curl.exe 可明确调用命令行程序，避免部分 PowerShell 环境中同名别名带来的参数差异。这个测试显式指定代理，不依赖应用是否读取系统代理，适合区分本地监听故障和系统设置故障。

退出、休眠与端口冲突

退出前先关闭系统代理，确认系统设置恢复，再结束客户端。若程序异常退出后浏览器无法联网，检查是否残留指向本机的代理地址；此时先恢复系统代理，不需要删除全部网络配置。休眠唤醒后若节点连接失效，先重建连接或重启内核，再判断是否需要更新订阅。遇到端口占用，应找出已有监听进程，避免靠连续更换端口掩盖重复启动的问题。首次连接的验证方法见节点选择与代理生效检查。

# 第 03 章 · macos

macOS 权限与网络服务

按芯片选择客户端

打开“关于本机”确认使用 Apple Silicon 还是 Intel 处理器，再进入macOS 下载入口选择相应安装包。先看 Clash Plus，也可使用 Clash Verge Rev 或 FlClash；ClashX Meta 作为已停止维护的归档选项保留。下载页提供的架构选项与系统要求应一起阅读，不能仅凭客户端名称判断兼容性。使用转译运行与原生运行可能有不同限制，优先选择与设备架构匹配的发行包。

若发行包为磁盘映像，按安装界面指引把应用放入“应用程序”，再从固定位置启动，避免长期从临时挂载位置运行。系统安全提示应依据来源和应用签名信息处理；来源不明、文件损坏或提示与预期不符时，应返回下载入口核对，而不是直接关闭系统安全机制。首次启动先查看菜单栏图标和日志，确认应用与内核均正常工作，再处理系统代理或网络扩展授权。

配置导入与本地覆写

在配置管理页面导入订阅，等待下载和解析结束后将它设为活动配置。打开代理页面检查策略组、节点和规则是否齐全；只有订阅名称出现但没有代理条目时，应核对订阅格式和响应内容。macOS 应用的配置数据通常位于用户目录下的应用数据位置，具体路径由客户端决定。使用客户端提供的“打开配置目录”或同类入口，比根据其他软件的路径猜测更可靠。

订阅更新会替换远端配置内容，手动改写下载文件容易被下一次更新覆盖。需要增加个人规则、修改 DNS 或调整端口时，优先使用客户端支持的覆写、合并或扩展配置机制，并确认生成结果。不同客户端对数组是替换还是追加可能不同，尤其要检查自定义规则是否真正排在兜底规则之前。修改前保存可恢复的本地副本，但不要把带凭据的备份同步到公共仓库。

检查当前网络服务的代理

开启系统代理后，进入系统网络设置，查看正在使用的 Wi-Fi 或有线网络服务中的代理选项。不同网络服务可以有独立设置，从有线网络切换到 Wi-Fi 后，应重新确认当前服务。HTTP、HTTPS 与 SOCKS 的配置方式由客户端决定，不应照着别的客户端截图逐项填入。可以通过系统命令观察生效状态，但命令输出也可能含环境信息，公开前应先脱敏。

scutil --proxy
curl --proxy http://127.0.0.1:7890 --head https://example.com

显式代理请求能成功，而浏览器访问没有进入连接面板时，优先检查浏览器代理扩展、独立代理配置与当前网络服务。终端命令通常不会自动继承所有图形界面的系统代理设置，需要针对具体工具设置代理参数或环境变量。环境变量只影响读取它的进程，新开的终端与已经运行的开发工具也可能使用不同环境，因此应在同一终端中重复测试。

TUN 授权、网络切换与恢复

需要 TUN 时，按客户端提示授予网络扩展或辅助服务所需权限，具体授权形式取决于实现。授权窗口消失不代表接管已经完成，应查看日志中是否成功创建接口、安装路由并启动 DNS。若同时使用公司 VPN，要注意对方可能强制下发路由和 DNS；这类冲突应按组织网络策略处理，不宜尝试覆盖管理配置。先测试单独启用任一工具的结果，再决定是否有兼容使用的条件。

休眠唤醒、热点切换和门户认证网络都可能改变默认路由。酒店或公共 Wi-Fi 需要网页认证时，可以先暂停接管完成认证，再恢复代理测试。若关闭 TUN 后仍无法联网，检查当前服务的系统代理是否残留，并确认其他 VPN 是否仍在运行。不要同时删除所有网络服务、重置 DNS 与重装客户端；每次只改变一个条件，才能知道恢复来自哪一步，也方便保留后续排查所需的证据。

# 第 04 章 · android

Android 授权与后台运行

安装与配置来源

从Android 下载入口先选择 Clash Plus，也可按需要查看 Clash Meta for Android、FlClash 和 Surfboard。核对设备支持的处理器架构后再下载安装包，不能把所有 Android 设备都当成同一种架构。若系统要求允许当前浏览器或文件管理器安装应用，只授予本次安装所需的来源权限，完成后可恢复原设置。遇到安装冲突时，先确认是否已安装签名不同的同名应用，不要直接删除旧应用的数据。

首次打开后导入订阅链接或本地配置文件。通过系统文件选择器导入时，确认客户端真正获得了文件读取权限，而不是仅看到一个文件名。配置下载完成后主动选中它，在代理页面核对策略组是否出现。若原配置使用了当前客户端不支持的字段或协议，可能出现解析失败或部分功能缺失；应以导入日志为准，不要因为它们都支持代理就假设配置完全通用。

VpnService 与流量进入内核的方式

Android 上的代理客户端通常通过 VpnService 创建本地 VPN 接口，把设备流量送入应用处理。系统弹出的 VPN 连接授权是在允许应用接管网络，并不表示已经连接到某个远端节点；最终出口仍由配置、策略组和规则决定。授权后启动连接，观察系统 VPN 状态与客户端日志，再访问测试目标。仅有钥匙或 VPN 标识，不足以证明订阅、节点和 DNS 已全部正常。

普通桌面上的“系统代理开关”不能原样套到 Android。Wi-Fi 网络里的手动代理只影响适用的网络与应用，并不等同于 VpnService 接管。Android 通常也不能让两个普通 VPN 应用同时占用同一服务槽位；另一个 VPN、基于 VPN 的过滤工具或防火墙启动后，可能挤掉当前客户端。发生连接被替换时，先查看系统 VPN 设置，避免反复切节点却没有处理入口冲突。

规则、分应用与后台限制

先使用规则模式测试默认配置，再考虑分应用。分应用设置决定哪些应用进入 VPN，域名规则决定进入之后走哪一个出口，两者位于不同层次。若把目标应用排除在 VPN 外，再增加针对它访问域名的代理规则也不会生效。修改允许列表或排除列表后，部分客户端需要重新建立 VPN 接口；应关闭并重新打开目标应用连接，避免旧连接仍沿用之前的路径。

系统省电策略可能在锁屏后限制客户端运行。若连接只在后台中断，检查应用电池策略、后台运行、自启动和厂商提供的任务锁定功能，具体入口因系统而异。应先允许必要的后台活动，再观察锁屏一段时间后的日志是否持续；不要把所有应用都加入豁免。更详细的厂商设置思路见VpnService 授权与省电白名单。持续运行 VPN 会有资源开销，不能承诺所有设备表现相同。

私人 DNS、网络切换与更新

Android 的私人 DNS、浏览器安全 DNS、客户端 DNS 与移动网络解析可能同时存在。若配置启用了 DNS 接管，先保持一条可解释的解析路径，记录私人 DNS 的原状态后再做对照测试。不要看到解析报错就同时改服务器、Fake-IP 和所有 DNS 开关；先确认请求是否进入内核，再看解析错误是否只发生在特定域名。IPv6 也应与路由接管能力一起检查，不能只根据网络图标判断。

从 Wi-Fi 切到移动网络后若连接短暂失效，先等待网络建立，再重连客户端，检查订阅地址是否在该网络可访问。热点共享设备的流量未必会进入手机上的 VPN，不能把手机本机访问成功当成热点共享成功。订阅自动更新还会受后台限制与网络条件影响，必要时在前台手动更新，并核对活动配置。更新应用前保留必要设置，只有确实需要迁移或解决签名冲突时才处理旧数据。

# 第 05 章 · ios

iOS 配置导入与 VPN

获取 Clash Plus 并核对配置能力

从iOS 下载入口进入 Clash Plus 的App Store 页面，应用信息也可在官网 clashplus.io 查看。安装前阅读商店列出的系统要求和功能说明。Clash 配置属于一种生态格式，支持导入并不意味着每个客户端都实现所有 mihomo 字段；遇到高级 DNS、脚本或特定协议配置时，应先确认当前应用的支持范围，不能照搬桌面配置的全部假设。

iOS 代理应用通过系统网络扩展提供网络接管，运行方式与直接启动桌面内核进程不同。不要寻找与 Windows 完全相同的服务安装按钮，也不要把桌面的虚拟网卡设置逐项对应到手机。后续判断以配置能否识别、VPN 扩展是否成功启动、目标连接是否按预期路由为准。界面没有某个同名开关时，应查功能说明，而不是尝试导入不明的系统描述文件来补齐。

订阅链接、文件与二维码

在配置页面选择链接导入，粘贴完整订阅地址并执行获取。输入后检查协议头、路径和查询参数是否完整，避免复制到末尾空格或换行。若客户端支持文件导入，可通过系统文件选择器或分享入口选取 YAML；云端文件尚未下载到本地时，应等待文件可读后再操作。导入结束后将配置设为当前使用项，确认策略组里有预期节点，而不是只看到一条订阅记录。

二维码通常只是订阅地址或节点链接的另一种载体，不会自动解决格式不兼容问题。扫码前后都应确认来源，不把订阅二维码发布到公开讨论区。若系统分享菜单中没有客户端入口，可返回应用使用其支持的导入方式，不必反复尝试在浏览器直接打开 YAML。订阅请求若返回登录页面或错误说明，应用可能显示解析失败，此时应先处理订阅访问权限，再排查应用格式支持。

VPN 授权与首次验证

选择活动配置与节点后启动连接，系统可能要求允许添加 VPN 配置，并通过设备认证确认。该授权用于建立应用管理的 VPN 连接，不代表订阅已经有效。授权完成后返回应用查看启动结果，再打开浏览器访问测试目标。如果应用提供连接或日志页面，应观察目标域名、规则和出口；若未提供足够细节，可对比明确直连目标与明确代理目标的访问结果，但不要用单一网站的失败替代全面判断。

规则模式适合作为默认测试环境。全局模式通常把进入应用的连接交给全局策略，但不能凭模式名称断言所有系统流量都会被接管；实际范围仍受系统与应用实现影响。直连模式也不等于退出 VPN，DNS 和路由接管可能仍在工作。需要完全恢复原网络进行对照时，应停止应用的 VPN 连接，再测试同一个目标，确保两次测试只改变了接管状态这一项条件。

网络切换、DNS 与维护

其他 VPN 应用、受管理设备的网络策略，以及系统隐私网络功能都可能改变实际访问路径。如果出现连接互相替换，先查看系统 VPN 列表，确认当前处于活动状态的是哪一个应用。不要删除不属于当前客户端的企业配置。公共 Wi-Fi 的门户认证也可能要求临时暂停代理完成登录；认证后再恢复连接，并重新验证域名解析，而不是持续更换节点绕过尚未完成的网络接入步骤。

锁屏、Wi-Fi 与蜂窝网络切换后发生异常，应先在应用中重连，再检查是否只影响特定网络。低电量、系统后台调度和网络扩展状态可能共同影响表现，前台界面是否一直打开并不是唯一判断依据。订阅更新后核对当前策略组选择是否保留；若节点被删除或改名，原有选择可能需要重新指定。相关完整流程可参阅iOS 获取与配置导入笔记，排错时仍以当前客户端实际支持的选项为准。

# 第 06 章 · linux

Linux 桌面与内核服务

选择 GUI 或独立内核

桌面用户可从Linux 下载入口选择推荐的 Clash Verge Rev，或使用 FlClash。先确认发行版包管理方式、处理器架构、桌面会话与安装包要求，不能把支持 DEB 当成支持所有 Linux 环境。需要服务器或路由器部署时，再查看mihomo 内核区。独立内核没有 GUI 替用户管理订阅、系统代理或启动权限，这些工作需要自行配置，也需要明确知道配置目录与运行账号。

安装桌面客户端后先以普通用户启动，确认日志与配置页面可用。图形应用依赖的系统组件应通过发行版支持的方式安装，不要从无关网站随意下载同名共享库。若桌面菜单没有图标，可先使用发行包提供的入口检查启动错误，再处理桌面集成。对服务器而言，先在前台验证内核与配置，比直接注册开机服务更容易看到错误，也能避免服务重启掩盖首个报错原因。

配置导入、路径与语法检查

GUI 用户通过配置页面导入订阅并设为活动配置；独立内核用户应把完整 YAML 放到明确的目录，再检查文件读取权限。配置含凭据时限制其他本地账号读取，备份也采取同样措施。相对路径通常依赖内核的工作目录或配置目录，规则集、地理数据和本地提供器文件找不到时，应先查路径解析方式，而不是把同一份文件复制到多个目录碰运气。

mkdir -p "$HOME/.config/mihomo"
chmod 700 "$HOME/.config/mihomo"
mihomo -t -d "$HOME/.config/mihomo"
mihomo -d "$HOME/.config/mihomo"

这组命令假设已安装可执行的 mihomo，并已把完整配置保存为该目录中的 config.yaml。先执行配置测试，通过后再前台启动。测试通过表示配置被接受，不保证远端节点可达，也不保证外部规则资源都能在后续运行中更新。遇到权限错误要检查目录拥有者与进程身份，不应把整个配置目录改成所有用户可写。

桌面代理与终端环境分开验证

Linux 桌面环境对系统代理的保存方式不统一，应用对这些设置的遵循程度也不同。GUI 中打开系统代理后，应检查当前桌面网络设置，并观察目标应用连接是否出现。命令行工具通常需要显式参数或环境变量；浏览器可用而软件包管理器不可用，并不自动说明节点故障。使用临时环境变量做测试比立即修改全部 shell 启动文件更容易回退，测试完成后再决定是否持久化。

curl --proxy http://127.0.0.1:7890 --head https://example.com
export http_proxy=http://127.0.0.1:7890
export https_proxy=http://127.0.0.1:7890
export no_proxy=localhost,127.0.0.1,::1
unset http_proxy https_proxy no_proxy

https_proxy 的值在这里仍是 HTTP 代理入口，HTTPS 目标通过该入口建立隧道，不是要求本机代理端口自身使用 TLS。不同工具对大小写变量和排除列表的支持各异，命令使用提权后也可能不继承当前环境。不要为了让一个工具生效就把代理变量写进所有系统服务；应先确认该工具文档和运行用户，再限定设置范围。

TUN、服务管理与防火墙

TUN 涉及虚拟网络设备、路由和 DNS，通常需要相应网络管理权限。容器中还需要宿主机允许访问所需设备并提供适当能力，容器内配置正确不等于宿主流量已被接管。桌面客户端若有服务模式，应按其安装流程处理；独立内核则应在理解权限边界后使用发行版的服务管理机制。不要为方便而把所有图形程序长期作为 root 运行。

注册服务时使用明确的二进制路径、配置目录和运行账号，前台测试完成后再设置自动启动。排查时先确认是否已有另一个内核占用端口，然后查看服务日志中的退出原因。系统防火墙、其他 VPN 与容器网络可能改变路由，开放混合端口也不等于外网应该能够访问。默认保持本地监听；确需局域网共享时同时考虑访问范围、认证、主机防火墙和不可信网络，避免把代理入口暴露给任意来源。

# 第 07 章 · configuration-faq

配置常见问题与排查顺序

先判断失败发生在哪一层

先记录故障范围：配置无法导入、内核无法启动、全部应用失败，还是只有一个目标异常。导入失败看订阅响应、文件格式与解析错误；启动失败看端口、路径和权限；有连接但访问失败看规则、DNS、节点与目标响应。每次只改变一个变量，保存测试前后的日志片段。一次性更新订阅、切换模式、开启 TUN 并修改 DNS，可能暂时恢复访问，却无法判断原因，也难以在下次复现时处理。

日志中的超时不是统一结论。它可能发生在订阅获取、DNS 请求、节点握手或访问目标阶段，应结合错误前后的目标地址判断。连接被拒绝通常更值得检查监听与端口，证书错误则先核对时间、目标名称与网络环境。把日志等级临时提高可以获得更多线索，但完成诊断后应恢复合适等级，避免长期记录过量域名和连接信息。公开日志前必须处理敏感字段。

规则命中与策略组的实际出口

规则一般按顺序匹配，首条命中后使用指定策略。自定义规则放在最终 MATCH 之后通常不会被访问到；引用不存在的策略组也会导致配置错误。下面片段假设当前配置已经定义名为 PROXY 的策略组，只展示匹配关系，不能独立充当完整订阅。GEOIP 的判断依赖相应数据与解析条件，域名规则和 IP 规则的结果不能仅靠目标网站名称推断。

rules:
  - DOMAIN-SUFFIX,github.com,PROXY
  - GEOIP,CN,DIRECT
  - MATCH,PROXY

命中代理规则却仍走直连时，检查该策略组是否选择了 DIRECT 或嵌套到另一个直连组。模式切到全局后，也要确认全局策略的选择，而不是假设它会自动使用刚才的节点。规则、全局与直连的区别可参阅三种代理模式说明。测试新规则时关闭旧连接再访问，已有长连接可能不会因规则变动立即改走新的出口。

Fake-IP、DNS 与 TUN 的关系

Fake-IP 让 DNS 返回用于映射的虚拟地址，内核利用映射还原域名并执行分流。它不是远端节点地址，也不能简单当成 DNS 被污染的证据。若应用缓存了虚拟地址，而客户端已经退出或接管路径发生变化，就可能出现解析与路由不一致。应先恢复一致的 DNS 与接管配置，再重启目标应用或清理相关缓存，不要把虚拟地址直接写进长期主机映射。

启用 TUN 不保证所有 DNS 请求都按预期处理。应用自带加密 DNS、系统私人 DNS、IPv6 路由及其他 VPN 都会影响路径；只有明确观察到请求和规则，才能判断配置是否生效。局域网设备名称、打印机和企业内部域名需要能访问本地解析来源，必要时设置有针对性的 DNS 策略或 Fake-IP 排除，而不是把全部域名都改成直连。概念解释见DNS 与网络栈术语。

保留可恢复配置与更新边界

自动更新订阅前保留本地覆写规则，更新后检查策略组名称、节点选择与 DNS 生成结果。上游重命名策略组时，旧覆写可能引用不存在的对象。配置能加载但行为变化时，对照最终生效配置比只看编辑器源文件更有用。客户端、内核和订阅是三条不同更新链路，不应把某一层更新成功理解为其他层也已经改变；排错记录中应分别写清这三个对象。