Clash 配置教程

开始前准备

先在客户端下载页选择与操作系统、处理器架构相符的安装包，完成安装并打开客户端。已有客户端且能正常进入主界面，可以直接继续。桌面端首次启动时，先确认应用没有停留在安装提示、权限确认或内核下载页面；移动端则先允许应用完成必要的初始化，不必提前修改系统网络设置。

客户端负责读取配置、执行规则和转发流量，安装完成不代表已经具备可用的代理服务。接下来需要服务提供方给出的 Clash 兼容订阅地址，或者一份兼容的本地配置文件。订阅管理网页的网址、账号登录页面和实际订阅链接不是同一项内容；应在服务提供方的订阅区域复制适配 Clash 或 mihomo 的地址，不要直接复制浏览器地址栏里的账户页面。

操作前保留一条能够访问订阅来源的网络连接，并暂时断开其他代理或 VPN 应用。这样更容易判断流量由谁处理，也能减少系统代理被反复改写的情况。已有配置的用户先备份当前设置，尤其是自行添加的规则和 DNS 项。本页不要求手写 YAML，也不要求先启用 TUN；先使用客户端现有的导入与连接功能完成主流程。

第一步：导入订阅

新增远程配置

打开客户端的“订阅”“配置”或“Profiles”页面，找到“新增”“导入”或加号入口。选择“从 URL 导入”“远程配置”等地址导入方式，将复制好的订阅链接粘贴到地址栏。若界面提供名称栏，可以填一个便于识别的名称，例如“日常配置”；名称只用于本地识别，不会改变订阅内容。粘贴后检查开头和结尾是否多出空格、换行或聊天软件附带的标点，再点击保存或下载。

客户端随后会请求远程内容并解析配置。成功后通常会出现一张订阅卡片或配置条目，部分客户端会显示最近更新时间。不要仅凭条目已经创建就判断导入成功，应继续打开“代理”或“策略组”页面，确认能够看到配置提供的代理与分组。如果界面仍为空，回到配置页查看下载或解析结果，先处理导入错误，再进入下一步。

设为当前使用配置

如果客户端允许保存多份配置，新增条目后还需要点击“使用”“激活”或选择标记，将它设为当前配置。有些客户端导入后自动启用，有些只负责保存。切换成功后，代理页面的分组名称应与新配置相符；仍然看到旧分组时，先确认选中的配置，再按界面提示重新加载。不要同时修改模式、端口和 DNS，否则出现问题时难以定位是哪一项改变了结果。

手头只有本地 YAML 文件时，在同一页面选择“从文件导入”，选中对应文件并确认读取。文件导入一般不会自动获得远程订阅更新能力；后续内容是否更新，取决于文件本身和客户端的管理方式。导入远程订阅后，建议先手动更新一次确认链路可用，再决定是否开启定期更新。订阅更新会重新取得上游内容，手工添加的内容应使用客户端支持的覆写或持久化功能保存。

若提示格式错误、下载失败或内容不是配置文件，先核对是否选对订阅格式，再确认账户状态和订阅地址是否有效。不要为了跳过报错而关闭安全检查，也不要把包含账户参数的地址提交给不明转换服务。常见错误含义可先查阅常见问题；持续失败则转到订阅失败排查。当配置已激活且策略组能正常显示，就可以选择运行模式。

第二步：选择代理模式

先使用规则模式

进入首页、设置或代理页面，找到“模式”“运行模式”或“Mode”。首次使用建议选择“规则”或“Rule”。此模式按照当前配置的规则判断请求去向，常见结果包括走代理、直接连接或拒绝连接。规则模式只决定进入内核的请求如何分流，并不自动保证所有应用都把流量交给客户端；流量接管将在下一步单独开启。

“全局”模式通常把进入内核的请求交给全局选择的策略，适合在排查时短暂对照，不宜用来替代对规则的检查；“直连”模式则让进入内核的请求直接连接目标。这里的“全局”不是“整台设备已经被接管”的同义词：一个未使用系统代理、也未被虚拟网卡接管的应用，即使客户端处于全局模式，仍可能绕过客户端。先保持规则模式，有助于按订阅原有分流设计验证连接。

在策略组中选择出口

打开“代理”或“策略组”页面，寻找配置中的主选择组。它可能叫“代理选择”“节点选择”或其他名称，名称由配置作者决定，并没有所有客户端通用的固定标题。展开该组后，先选择一个明确可用的代理；若配置提供自动选择组，也可以选择该组。不同分组之间可能相互引用，选择自动组后还应查看它实际指向的代理，而不是只看最外层的组名。

第一次配置不需要逐个调整所有分组。保留流媒体、下载、局域网等分组的默认关系，只确认日常访问使用的主组没有误选为直连。界面中的连接测试可作为初步参考，但测试成功只说明测试目标能够通过对应路径访问，不保证每个网站和应用都正常。也不要因一次测试失败立即删除配置：测试地址、当前网络与目标代理都可能影响结果，最终应以实际访问和连接记录共同判断。

完成后回到首页，确认当前配置和规则模式仍然保持选中。此时已经确定“请求进入客户端以后怎么走”，下一步才是让系统或应用把请求交进来。若找不到某个策略组，先检查是否激活了正确配置；若想了解规则匹配、组间引用与直连策略的区别，查看配置使用常见问题即可，不必在首次连接时改写整份规则。

第三步：连接与接管流量

桌面端开启系统代理

在 Windows、macOS 或 Linux 客户端首页找到启动按钮，或在状态区域确认内核已经运行。有些客户端随应用自动启动内核，有些需要点击“启动”“连接”或电源图标。随后打开“系统代理”开关，若出现系统授权提示，核对来源是当前客户端后再确认。系统代理会修改系统或桌面环境的代理设置，让遵循该设置的应用使用客户端提供的本地代理入口。

开启后先使用浏览器测试。多数浏览器会读取系统代理，但浏览器扩展、自定义代理选项和部分桌面环境可能改变这一行为；Linux 上的具体效果也取决于桌面环境及应用是否读取其代理设置。如果应用不走系统代理，先不要反复切换节点，应确认应用的网络设置。需要手动填代理地址时，应读取客户端当前显示的监听地址和端口，不能直接套用其他教程里的数字。

移动端确认 VPN 授权

在 Android 或 iOS 客户端中点击“连接”或主开关。首次连接时，系统通常会提示创建 VPN 连接或添加 VPN 配置，确认后等待客户端进入已连接状态，再返回浏览器测试。这里的系统 VPN 接口用于把设备流量交给应用处理；具体流量走代理还是直连，仍由客户端模式、配置规则和应用接管范围共同决定。

移动系统通常会限制同一用户或网络环境下可同时工作的 VPN 连接。已有其他 VPN、某些网络过滤工具或使用 VPN 接口的应用时，应先断开它们，再连接当前客户端。Android 若配置过按应用代理，还要确认测试浏览器包含在接管范围内；iOS 则应检查系统设置中的连接状态是否与客户端一致。出现授权被拒绝或连接立即断开时，先处理权限与连接状态，不要继续用切换策略来掩盖问题。

按需使用 TUN

如果浏览器通过系统代理已经正常，而某个应用仍未进入客户端，再考虑 TUN 模式。TUN 通过虚拟网卡与路由接管流量，通常比系统代理覆盖更广，但可能需要安装服务、管理员权限或网络扩展。按当前客户端的引导完成授权，开启后重新验证路由与 DNS 行为。不同客户端可能要求保留或关闭系统代理，应遵循其说明，不要在不了解效果时叠加多个接管工具。

第四步：验证是否生效

把访问结果与连接记录对应起来

保持客户端运行，打开浏览器新建页面，访问一个原本就能直接访问的站点，确认基本网络没有被破坏；随后访问实际需要通过代理使用的目标。尽量使用自己熟悉的正常网页，不必依赖某个固定测试站。若浏览器沿用了之前的连接，可以关闭旧页面后重新打开；切换模式或策略后，也应发起新请求，避免把已有连接的结果误判为新设置的效果。

接着打开客户端的“连接”“活动连接”或“Connections”页面，在发起访问的同时查找对应域名。重点看三项：请求目标、匹配的规则和出口策略。目标域名出现，说明这次请求进入了客户端；匹配规则说明客户端为什么选择这条路径；出口策略或策略链则说明最终使用了哪个代理，或者是否直连。部分界面只显示地址或简化后的策略名，可以结合日志中的相同请求判断，不必要求每款客户端展示完全相同的字段。

规则模式下，某个网页显示直连不一定是错误，应先对照配置的分流目标。反过来，出口地址发生变化也不能证明整台设备的每个应用都已被接管。出口地址查询只能反映发起查询的那次请求，其他进程可能采用不同设置。确认浏览器后，再打开真正需要使用的应用，执行一次刷新或登录，并观察客户端是否新增对应连接，这样才能逐个验证接管范围。

根据观察结果决定下一步

如果需要排查，先记录失败目标、发生时间、当时使用的模式和策略，再查看同一时间的日志。每次只改变一个条件，例如只换一个代理，或者只把规则模式短暂改为全局模式进行对照，测试后恢复原设置。日志可能包含域名、设备地址与配置来源，分享前应遮盖账户信息。遇到无法上网、节点超时或 DNS 解析异常，按故障排查大全对应症状继续，不需要重新安装客户端来代替定位。

完成以上验证后，首次配置就有了可复查的结果：当前配置已激活，规则模式和主策略已选定，流量接管已开启，实际请求走向符合预期。日常使用时保持订阅有效，更新后留意策略选择是否改变；需要退出时先断开连接或关闭系统代理，再退出客户端。后续自动连接、开机启动和应用分流属于便利设置，可在基础连接稳定后逐项开启，相关概念参见常见问题。