Clash 首次安装后的初始设置:系统权限、端口与订阅导入常见坑

初始设置顺序：先让内核运行，再验证连接

首次启动后，先确认客户端能启动内核，再导入订阅、启用配置、选择节点，最后打开系统代理或 TUN。不要同时修改端口、DNS 和路由规则。一次只处理一个环节，才能判断是哪项设置起作用。

Clash 图形客户端负责界面与系统集成，内核负责解析配置和转发连接。使用 mihomo 内核时，界面正常打开不代表配置已经加载；配置出现在列表中，也不代表它已成为当前运行配置。先看运行状态与启动日志，再做网络测试。

1. 核对安装包架构。按设备选择 x64 或 ARM64，macOS 同样需要区分处理器架构。架构不匹配可能导致无法启动，或依赖系统转译。
2. 保留初始网络状态。先退出其他代理客户端和 VPN，避免多个程序同时修改系统代理、虚拟网卡或默认路由。
3. 确认内核运行。在客户端日志中查看启动结果，优先处理配置解析错误、端口绑定失败和权限错误。
4. 导入并启用配置。更新订阅后，明确选中要使用的配置，再检查策略组里是否出现节点。
5. 测试一种接管方式。桌面端先用系统代理；确实需要接管不遵守代理设置的应用时，再验证 TUN。

Windows 首次启动：区分安全提示、服务权限与防火墙

先确认来源，再处理安装提示

遇到系统安全提示时，先核对安装包来源、下载页说明和文件属性。无法确认来源就停止安装。若设备由单位管理，安装策略和管理员权限应交由设备管理员处理，不要为了启动客户端关闭整个系统防护。

在 Windows 11，可通过「设置」→「系统」→「系统信息」查看系统类型。安装后如果界面能打开但内核立即退出，先查看日志；重新安装界面程序通常不能解决 YAML 格式错误或端口占用。

服务模式不等于系统代理

• 系统代理：向系统登记本地代理地址。普通桌面使用中，通常不需要一直以管理员身份运行客户端。
• 服务模式：由后台服务执行需要较高权限的任务，具体范围取决于客户端实现。安装或修复服务时可能触发管理员授权。
• TUN 模式：创建虚拟网络接口并配置路由，常需要服务支持或管理员权限。服务已安装，不代表 TUN 已成功启动。

开启 TUN 后若日志提示权限不足，先检查客户端显示的服务状态；若提示虚拟接口或路由创建失败，再检查系统中是否有其他 VPN 正在接管网络。不要反复点击开关而忽略第一条错误。

防火墙按使用范围放行

只在本机使用时，让代理监听回环地址即可，不必开放局域网入站连接。需要手机连接电脑代理时，才检查「Windows 安全中心」→「防火墙和网络保护」中的允许应用或入站规则，并限定可信网络。防火墙放行与客户端的 allow-lan 是两个独立条件，开启其中一个并不能替代另一个。

macOS 与安卓：授权后仍要确认接管状态

macOS：先完成安装，再处理辅助服务

如果安装方式要求把应用拖入「应用程序」，先完成这一步再启动。系统阻止打开时，核对来源后查看「系统设置」→「隐私与安全性」中的相关提示，只对已确认的应用处理授权，不要全局降低安全设置。提示内容会随系统版本与应用签名状态变化。

客户端请求安装辅助工具或服务时，先确认请求来自刚启动的客户端，再输入管理员凭据。此类授权通常用于系统网络设置或 TUN 支持；它不是订阅服务的登录步骤，订阅地址也不应要求提供设备管理员密码。

排查系统代理时，可在「系统设置」→「网络」→当前网络连接→「详细信息」→「代理」查看现有设置。HTTP 与 HTTPS 代理应指向实际监听地址及端口。若同时勾选旧的自动代理配置，先确认是否属于工作网络要求，再决定是否调整。

安卓：VPN 授权与后台运行分别检查

安卓客户端通常借助系统 VPN 接口接管流量。首次连接出现系统 VPN 请求时，确认应用名称后再授权。多数常规使用场景不需要 root；桌面端的“设置系统代理”步骤不能直接照搬到安卓客户端。

1. 先停止正在运行的其他 VPN。常规个人配置下，同时只能有一个活动的 VPN 服务。
2. 启动客户端，接受系统 VPN 请求，检查系统 VPN 状态与客户端连接状态是否一致。
3. 若出现“启动即断开”，在系统设置中搜索“VPN”，检查是否为其他应用启用了“始终开启的 VPN”或阻止非 VPN 连接。
4. 若只有锁屏后断流，再检查应用的电池与后台活动设置。各设备菜单不同，不要把所有应用都改成不受限制。

如果浏览器能用而某个应用不能用，继续检查分应用代理列表：该应用可能被排除，也可能处于“仅代理所选应用”模式之外。这种情况不应先归咎于订阅失效。

端口冲突：先查监听者，再改 mixed-port

日志出现 address already in use 或端口绑定失败时，先找出占用者。常见原因是旧客户端没有退出、后台服务仍在运行，或另一个工具使用了同一端口。界面关闭不一定代表后台进程已结束。

下面以 7890 为排查示例，它不是所有客户端的固定默认值。先在当前设置或运行配置中读取实际端口，再替换命令中的数字。

查看本机 TCP 监听端口

Windows 可在命令提示符运行：

netstat -ano -p tcp | findstr LISTENING | findstr ":7890"

核对结果中的本地地址与端口，记录最后一列 PID，再到任务管理器的「详细信息」页确认进程身份。不要直接结束不认识的系统进程。

macOS 可在终端运行：

lsof -nP -iTCP:7890 -sTCP:LISTEN

确认占用者是旧代理程序后，优先从该程序正常退出。若决定换端口，可以把混合端口改为 7897，但也要确认新端口未被占用。手动填写代理的终端、浏览器和其他设备，需要同步修改；客户端管理的系统代理则应重新启用后核对。

混合端口与控制端口不要混用

订阅导入失败：分开检查下载、解析与启用

“导入失败”可能发生在三个阶段：客户端拿不到订阅内容、内核无法解析内容、配置导入后没有启用。先看错误属于哪一层，再决定下一步。反复粘贴同一链接通常不会提供新线索。

第一层：订阅链接能否获取内容

• 检查复制内容。只复制完整订阅 URL，移除首尾空格和换行，不要把说明文字、账户后台地址或单个节点链接当成完整配置订阅。
• 检查响应状态。401 常见于认证问题；403 表示请求被拒绝，需结合服务端说明判断；404 通常需要核对地址；429 应停止高频重试并等待。
• 检查系统时间。日期明显错误可能导致 HTTPS 证书验证失败。先同步系统时间，不要通过关闭证书验证绕过问题。
• 检查获取路径。若订阅更新被设置为经过代理，而当前还没有可用配置，就可能形成启动依赖。确认客户端是否提供直连更新选项，并在当前网络允许访问时测试。

浏览器能够打开地址，只能说明该浏览器的访问路径可用。客户端的代理设置、请求标识或网络环境可能不同。若返回内容是登录页面或错误页面，即使请求显示成功，也不是内核可用的 YAML 配置。

第二层：返回格式与内核是否匹配

单条节点 URI、节点集合与完整 Clash 配置不是同一种内容。确认订阅服务提供的是当前客户端支持的格式；如果节点使用 mihomo 支持的扩展协议，也要确认实际运行的是兼容内核，而不是只看界面名称。

遇到 YAML 解析错误，记录日志中的行号与错误类型。缩进混用、字段类型错误和不支持的协议都可能导致加载失败。不要盲目把所有字段删除；先备份配置，再对照协议参考中的内核说明核对支持范围。

第三层：导入后是否成为运行配置

订阅更新成功后，检查当前配置标记、策略组内容和最近一次加载日志。手动选择一个节点，确认规则引用的策略组确实存在，再访问目标网站。如果日志提示找不到某个代理组，应先修复组名或规则引用，而不是继续更换 DNS。

首次连通验证：按三层结果定位问题

先在桌面端确认本地代理入口，再确认系统代理，最后确认规则。安卓则从 VPN 状态与分应用范围开始。测速只验证特定测试目标的响应情况，不能替代目标应用的实际访问结果。

第一层：直接测试本地代理入口

桌面端可用以下命令显式指定 HTTP 代理。示例端口为 7890，测试地址应换成当前需要访问且确定正常提供服务的网址。Windows 使用 curl.exe，macOS 可使用 curl。

curl.exe --proxy http://127.0.0.1:7890 --connect-timeout 10 --max-time 20 -I https://clash67.com/

连接被拒绝时，先查内核监听与端口；连接建立后仍超时，再查节点、目标站点和规则。该测试不依赖系统代理开关，但仍会受到内核当前模式与分流规则影响。一次成功不能证明所有应用或所有目标都能访问。

第二层：验证应用是否遵守系统代理

若显式指定代理能够访问，但浏览器仍失败，检查系统代理地址是否是 127.0.0.1、端口是否一致，以及浏览器是否启用了独立代理设置。命令行工具不一定读取系统代理；需要时单独配置环境变量，或在明确需求后使用 TUN。

第三层：检查目标连接的规则命中

在客户端连接列表中查找目标域名，确认它命中了直连、代理组还是拒绝规则。若访问过程没有任何连接记录，先检查流量是否进入客户端；若有记录却选错策略，再处理规则顺序或策略组选择。只有日志指向域名解析失败时，才进入 DNS 排查，不要把所有连接问题都归为 DNS。

需要 TUN 时，再单独开启并重复同一测试。TUN 的接管范围仍受路由、排除项、分应用设置和平台限制影响，并非开启后就必然覆盖每个连接。出现问题时先关闭 TUN 回到已验证状态，避免叠加修改。

退出与恢复：保留可回退的设置记录

首次配置完成后，记录当前客户端与内核版本、代理端口、活动配置名称、系统代理和 TUN 的开关状态。提交求助时同时提供操作系统版本、第一条相关错误和复现步骤，比只描述“不能上网”更容易定位。

• 退出后断网：确认系统代理是否仍指向已停止的本地端口。若该设置由客户端写入，可重新启动客户端，关闭系统代理后正常退出。
• TUN 关闭后仍异常：检查其他 VPN 是否仍在运行，核对系统网络状态。必要时保存日志，再重启客户端或设备，不要直接删除不明网络接口。
• 订阅更新后失效：对比更新前后的节点、组名与规则引用，检查本地覆写是否仍适用。
• 准备继续调整 DNS：先保存当前可用配置，再阅读入门指南的 Fake-IP 说明，一次只改一项。

最终检查四件事：内核正常运行、当前配置正确、流量进入预期入口、目标连接命中预期规则。这四层确认完成后，再添加开机启动、局域网共享等功能，后续维护会更清楚。