Clash 客户端首次安装设置清单:系统权限、订阅导入与代理模式选择

为什么第一次安装最容易出问题

Clash 系客户端(包括 Clash Verge、Clash Plus、mihomo 内核衍生产品)首次启动时需要完成几件互相独立但顺序敏感的事:系统层面的网络权限授予、订阅内容的解析导入、代理模式的选择,以及是否开启系统代理或 TUN 接管。任何一步顺序错了或者权限没给全,表现出来的症状往往是"连不上网""节点列表是空的""浏览器打不开网页",但真正原因可能完全不在报错提示的地方。这份清单按实际安装顺序整理,目的是让第一次上手的人少走弯路,也方便反复对照排查。

需要提前说明的是,Clash 本身不提供节点,它是一个基于规则的代理调度框架,真正的连接能力来自你导入的订阅。客户端负责解析订阅、管理规则、切换节点和拦截系统流量,这四件事分别对应下面四个小节。

第一步:系统权限授予

不同平台需要的权限类型不同,但共性是:没给权限时客户端能打开,界面正常,但代理不会生效,而且往往不会有明显的报错弹窗,这是新手最容易卡住的地方。

Windows

• 首次启动建议以管理员身份运行一次,尤其计划开启 TUN 模式(虚拟网卡接管全局流量)的情况——TUN 需要创建网络适配器,普通权限会创建失败。
• Windows Defender 或第三方安全软件可能拦截内核进程(mihomo.exe / clash-core.exe 之类),第一次弹出拦截提示时选择允许,否则代理内核进程直接被杀。
• 企业电脑或组策略环境可能禁止修改系统代理配置项,遇到"设置系统代理后浏览器仍不走代理",先确认没有策略限制。

macOS

• 开启 TUN 模式时,系统会弹出"允许添加 VPN 配置"或网络扩展授权提示,需要在系统设置的隐私与安全性里手动确认,拒绝一次之后不会自动再弹,需要去设置里补授权。
• Apple Silicon 机型首次运行未签名或非 App Store 分发的包,系统会拦截提示"无法验证开发者",在系统设置的安全性里选择仍要打开即可,这属于常规拦截,不代表安装包本身有问题。

Android

• Clash 类客户端在安卓上基于 VPNService 实现流量接管,首次启动连接时系统会弹出"是否允许该应用建立 VPN 连接",这个授权只会在每次重装后弹一次,拒绝会导致代理完全不生效。
• 部分厂商 ROM(如某些国产定制系统)对后台常驻应用有独立的自启动管理和省电策略,需要额外在系统设置里把客户端加入白名单,否则切后台一段时间后连接自动断开。

iOS

• iOS 上代理接管依赖网络扩展框架,首次启用时会弹出"添加 VPN 配置"的系统确认框,需要点击允许并可能要求输入设备密码或 Face ID 验证。
• 如果误触了不允许,后续需要到系统设置的 VPN 与设备管理里找到对应配置手动打开,客户端内部的开关不会覆盖系统级别的拒绝状态。

第二步:订阅导入

订阅是一段远程可更新的配置内容,通常包含代理节点信息和(可选的)规则集地址。导入方式主要有三种,客户端界面上一般都能找到对应入口。

1. 订阅链接导入:把订阅方提供的 URL 粘贴到客户端的"新建订阅"或"导入配置"输入框,点击确认后客户端会发起一次网络请求拉取内容并解析。这是最常用的方式。
2. 本地文件导入:如果拿到的是一个 YAML 格式的配置文件,直接用客户端的文件导入功能加载,适合没有远程链接、只有静态配置文件的场景。
3. 剪贴板 / 扫码导入:移动端客户端(尤其 iOS)常支持读取剪贴板内容或扫描二维码里编码的订阅信息,操作上更快,原理和链接导入一致。

导入失败最常见的三个原因:链接本身已经失效或过期;客户端所在网络环境无法访问订阅服务器(需要先有一条能用的网络路径才能拉取订阅,这是先有鸡还是先有蛋的问题,通常需要临时切换网络或用手机热点完成首次导入);以及订阅服务商对客户端的 User-Agent 做了校验,少数服务商会限制非自家客户端的请求,这种情况需要在客户端设置里查找是否有"自定义 User-Agent"选项。

第三步:代理模式选择

订阅导入成功后,客户端通常会给出三种核心运行模式,首次使用建议按下面的判断标准来选,而不是随手选一个。

• 规则模式(Rule):根据域名或 IP 规则集判断某条流量该直连、该走代理还是该拒绝,这是绝大多数场景下的推荐模式,兼顾速度和覆盖面,国内直连、国外走代理是典型配置目标。
• 全局模式(Global):所有流量不经规则判断,一律经过当前选中的节点。适合临时测试某个节点的连通性,或者明确知道自己需要全部流量走代理的场景,长期使用会让本该直连的国内流量也绕一圈,速度和延迟都会打折扣。
• 直连模式(Direct):代理完全不介入,所有流量按系统原始路由走。这是排查"是不是代理导致的问题"时最有用的对照模式——切到直连后问题依旧存在,说明和 Clash 无关。

首次安装建议默认停在规则模式,遇到某个具体网站打不开再针对性检查规则匹配,而不是直接切到全局模式一刀切解决,否则会掩盖真实的规则配置问题。

第四步:系统代理开关与 TUN 模式的取舍

规则和节点配置好之后,还有最后一步容易被忽略:客户端内部选好节点,不代表系统其他程序会经过它。这里涉及两种接管方式,原理不同,适用场景也不同。

系统代理(HTTP/SOCKS 代理设置)

客户端会在本机开一个代理端口,同时把系统的网络代理设置指向这个端口。多数浏览器和支持代理设置的应用能自动跟随系统代理生效,但命令行工具、部分游戏客户端、某些不读取系统代理设置的程序不会被覆盖,这是"浏览器能上但某个软件不行"的常见原因。

TUN 模式(虚拟网卡接管)

TUN 模式创建一个虚拟网络适配器,在网络层面接管几乎所有流量,不依赖应用是否读取系统代理设置,覆盖面更完整,代价是需要额外的系统权限(见第一步),配置和排查也更复杂一些。首次安装如果只是想验证订阅和节点能不能用,建议先用系统代理模式跑通,确认没问题后再考虑开启 TUN 模式覆盖全局流量。

首次运行常见问题速查

1. 界面打开但列表为空:先确认订阅是否导入成功,再检查是否选中了正确的订阅配置(有些客户端支持同时保存多个订阅,默认启用的可能不是你刚导入的那个)。
2. 能连接但网页打不开:检查代理模式是否为规则模式且规则集是否正确加载;确认系统代理是否真的指向了客户端端口,可以在系统网络设置里手动核对端口号是否一致。
3. 移动端切后台就断线:安卓检查是否已加入厂商省电白名单;iOS 检查网络扩展是否被系统自动暂停,通常与低电量模式或系统级流量限制策略有关。
4. TUN 模式开启失败:Windows 确认是否以管理员权限运行;macOS 确认系统设置里网络扩展授权是否完成确认,而不是只在客户端内点了开关。
5. 订阅更新后节点消失:大概率是订阅服务器端调整了节点,与客户端本身无关,可尝试重新拉取一次订阅或联系订阅提供方确认。

建议的完整操作顺序

把以上四步串起来,首次安装到能正常使用的推荐顺序是:先安装客户端并完成系统权限确认(不急着开 TUN),再导入订阅并确认节点数量和规则集正常,然后选择规则模式作为默认运行模式,最后打开系统代理验证浏览器等常规应用能否正常联网。全部跑通之后,再根据实际需要评估是否要额外开启 TUN 模式覆盖不走系统代理设置的应用。按这个顺序走一遍,基本能覆盖新手安装阶段绝大多数的卡点。