Clash 初次安裝設定：系統權限、連接埠與訂閱匯入問題排解

初次設定順序：先啟動核心，再確認連線

首次啟動後，先確認用戶端能否啟動核心，再匯入訂閱、啟用設定檔、選擇節點，最後開啟系統代理或 TUN。不要同時修改連接埠、DNS 和路由規則。一次只處理一個環節，才能判斷是哪項設定發揮作用。

Clash 圖形化用戶端負責介面與系統整合，核心則負責解析設定檔並轉送連線。使用 mihomo 核心時，介面正常開啟不代表設定檔已載入；設定檔出現在清單中，也不代表它是目前執行中的設定。請先查看執行狀態和啟動記錄，再測試網路。

1. 確認安裝檔架構。依裝置選擇 x64 或 ARM64，macOS 也要確認處理器架構。架構不符可能導致無法啟動，或須依賴系統轉譯。
2. 維持原有網路狀態。先退出其他代理用戶端和 VPN，避免多個程式同時變更系統代理、虛擬網卡或預設路由。
3. 確認核心正在執行。在用戶端記錄中查看啟動結果，優先處理設定解析錯誤、連接埠繫結失敗和權限錯誤。
4. 匯入並啟用設定檔。更新訂閱後，明確選取要使用的設定檔，再確認策略群組中是否出現節點。
5. 測試一種流量接管方式。桌面版先使用系統代理；確實需要接管不遵循代理設定的應用程式時，再測試 TUN。

Windows 首次啟動：分清安全提示、服務權限與防火牆

先確認來源，再處理安裝提示

遇到系統安全提示時，先確認安裝檔來源、下載頁說明和檔案內容。無法確認來源就停止安裝。若裝置由公司或機構管理，安裝政策和管理員權限應交由裝置管理員處理，不要為了啟動用戶端而關閉整體系統防護。

在 Windows 11 中，可前往「設定」→「系統」→「系統資訊」查看系統類型。若安裝後介面能開啟，但核心隨即退出，請先查看記錄；重新安裝介面程式通常無法解決 YAML 格式錯誤或連接埠遭占用的問題。

服務模式不等於系統代理

• 系統代理：向系統登錄本機代理位址。一般桌面使用情境下，通常不必一直以管理員身分執行用戶端。
• 服務模式：由背景服務執行需要較高權限的工作，實際功能取決於用戶端的實作。安裝或修復服務時可能會要求管理員授權。
• TUN 模式：建立虛擬網路介面並設定路由，通常需要服務支援或管理員權限。服務已安裝，不代表 TUN 已成功啟動。

啟用 TUN 後若記錄顯示權限不足，先確認用戶端顯示的服務狀態；若提示虛擬介面或路由建立失敗，再檢查系統中是否有其他 VPN 正在接管網路。不要反覆切換開關，卻忽略第一則錯誤訊息。

依使用範圍設定防火牆通行規則

只在本機使用時，讓代理監聽回送位址即可，不必開放區域網路的連入連線。需要手機連接電腦代理時，再前往「Windows 安全性」→「防火牆與網路保護」檢查允許的應用程式或連入規則，並限制在可信任的網路中。防火牆放行與用戶端的 allow-lan 是兩個獨立條件，只啟用其中一項不能取代另一項。

macOS 與 Android：授權後仍須確認流量接管狀態

macOS：完成安裝後再設定輔助服務

若安裝方式要求將應用程式拖移至「應用程式」資料夾，請先完成這個步驟再啟動。系統若阻止開啟，確認來源後，查看「系統設定」→「隱私權與安全性」中的相關提示，只針對已確認的應用程式授權，不要全面降低安全性設定。提示內容會因系統版本與應用程式簽署狀態而異。

用戶端要求安裝輔助工具或服務時，先確認要求是由剛啟動的用戶端提出，再輸入管理員密碼。這類授權通常用於系統網路設定或 TUN 支援；這不是訂閱服務的登入程序，訂閱網址也不應要求提供裝置管理員密碼。

排查系統代理時，可前往「系統設定」→「網路」→目前的網路連線→「詳細資訊」→「代理」查看現有設定。HTTP 與 HTTPS 代理應指向實際監聽位址和連接埠。若同時勾選舊的自動代理設定，先確認是否為工作網路所需，再決定是否調整。

Android：分別檢查 VPN 授權與背景執行

Android 用戶端通常透過系統 VPN 介面接管流量。首次連線時若出現系統 VPN 要求，確認應用程式名稱後再授權。大多數一般使用情境不需要 root；桌面版的「設定系統代理」步驟不能直接套用到 Android 用戶端。

1. 先停止其他正在執行的 VPN。一般個人設定下，同一時間只能有一個 VPN 服務處於連線狀態。
2. 啟動用戶端並接受系統 VPN 要求，確認系統 VPN 狀態與用戶端連線狀態一致。
3. 若一啟動就斷線，請在系統設定中搜尋「VPN」，確認是否有其他應用程式啟用了「永遠開啟 VPN」或「封鎖未使用 VPN 的連線」。
4. 若只有鎖定螢幕後才斷線，再檢查應用程式的電池與背景活動設定。各裝置的選單不盡相同，不要把所有應用程式都設為不受限制。

如果瀏覽器可以使用，但某個應用程式無法連線，請繼續檢查個別應用程式代理清單：該應用程式可能被排除，也可能不在「僅代理所選應用程式」的範圍內。遇到這種情況，不應先認定是訂閱失效。

連接埠衝突：先找出監聽程序，再修改 mixed-port

記錄出現 address already in use 或連接埠繫結失敗時，先找出占用連接埠的程序。常見原因包括舊用戶端未完全退出、背景服務仍在執行，或其他工具使用了相同連接埠。關閉介面不代表背景程序已結束。

以下以 7890 作為排查範例，這並非所有用戶端的固定預設值。請先從目前設定或執行中的設定檔確認實際連接埠，再替換命令中的數字。

查看本機 TCP 監聽連接埠

Windows 可在命令提示字元中執行：

netstat -ano -p tcp | findstr LISTENING | findstr ":7890"

確認結果中的本機位址和連接埠，記下最後一欄的 PID，再前往工作管理員的「詳細資料」頁面確認程序。不要直接結束不熟悉的系統程序。

macOS 可在終端機中執行：

lsof -nP -iTCP:7890 -sTCP:LISTEN

確認占用者是舊代理程式後，優先從該程式正常退出。若決定更換連接埠，可將混合連接埠改為 7897，但也要確認新連接埠未被占用。手動設定代理的終端機、瀏覽器和其他裝置都需要同步修改；由用戶端管理的系統代理則應重新啟用後再確認。

不要混用混合連接埠與控制連接埠

訂閱匯入失敗：分別檢查下載、解析與啟用

「匯入失敗」可能出現在三個階段：用戶端無法取得訂閱內容、核心無法解析內容，或設定檔匯入後沒有啟用。先確認錯誤屬於哪個階段，再決定下一步。反覆貼上相同連結通常無法提供新線索。

第一階段：能否透過訂閱連結取得內容

• 確認複製的內容。只複製完整的訂閱 URL，移除前後空格和換行，不要將說明文字、帳戶管理頁面網址或單一節點連結當成完整的設定檔訂閱。
• 檢查回應狀態。401 常見於驗證問題；403 表示要求遭拒，需參考服務端說明判斷；404 通常應確認網址是否正確；429 則應停止頻繁重試並稍候。
• 確認系統時間。日期明顯錯誤可能導致 HTTPS 憑證驗證失敗。請先同步系統時間，不要關閉憑證驗證來規避問題。
• 確認取得訂閱的方式。若訂閱更新設定為透過代理，但目前尚無可用設定檔，可能會形成啟動上的依賴。請確認用戶端是否提供直連更新選項，並在目前網路允許存取時進行測試。

瀏覽器能開啟網址，只能表示該瀏覽器的連線方式可用。用戶端的代理設定、要求標頭或網路環境可能不同。若回傳的是登入頁面或錯誤頁面，即使要求顯示成功，也不是核心可用的 YAML 設定檔。

第二階段：回傳格式是否符合核心需求

單一節點 URI、節點集合與完整 Clash 設定檔是不同類型的內容。請確認訂閱服務提供的格式受目前用戶端支援；若節點使用 mihomo 支援的擴充通訊協定，也要確認實際執行的是相容核心，而非只看介面名稱。

遇到 YAML 解析錯誤時，記下記錄中的行號和錯誤類型。縮排混用、欄位類型錯誤和不支援的通訊協定都可能導致載入失敗。不要不加判斷地刪除所有欄位；請先備份設定檔，再參照通訊協定參考中的核心說明確認支援範圍。

第三階段：匯入後是否成為目前執行中的設定檔

訂閱更新成功後，請確認目前設定檔標記、策略群組內容和最近一次載入記錄。手動選取一個節點，確認規則引用的策略群組確實存在，再前往目標網站。如果記錄顯示找不到某個代理群組，應先修正群組名稱或規則引用，而不是繼續更換 DNS。

首次連線驗證：依三個階段定位問題

桌面版先確認本機代理入口，再確認系統代理，最後檢查規則。Android 則從 VPN 狀態和個別應用程式的適用範圍著手。速度測試只能確認特定測試目標的回應情形，不能取代目標應用程式的實際連線結果。

第一階段：直接測試本機代理入口

桌面版可使用以下命令明確指定 HTTP 代理。範例連接埠為 7890，測試網址應換成目前要存取且確認正常提供服務的網址。Windows 請使用 curl.exe，macOS 可使用 curl。

curl.exe --proxy http://127.0.0.1:7890 --connect-timeout 10 --max-time 20 -I https://clash67.com/

若連線遭拒，先檢查核心監聽狀態和連接埠；若已建立連線但仍逾時，再檢查節點、目標網站和規則。此測試不依賴系統代理開關，但仍會受核心目前模式和分流規則影響。測試成功一次，不代表所有應用程式或目標網站都能連線。

第二階段：確認應用程式是否遵循系統代理設定

若明確指定代理後能夠連線，但瀏覽器仍失敗，請確認系統代理位址是否為 127.0.0.1、連接埠是否一致，以及瀏覽器是否使用獨立的代理設定。命令列工具不一定會讀取系統代理；有需要時可另外設定環境變數，或在確認需求後使用 TUN。

第三階段：檢查目標連線命中的規則

在用戶端連線清單中搜尋目標網域，確認連線命中的是直連、代理群組還是拒絕規則。若連線過程完全沒有記錄，先檢查流量是否進入用戶端；若有記錄但選錯策略，再調整規則順序或策略群組選擇。只有記錄指出網域解析失敗時，才進一步排查 DNS，不要將所有連線問題都歸因於 DNS。

需要 TUN 時，再單獨啟用並重複相同測試。TUN 的接管範圍仍會受到路由、排除項目、個別應用程式設定和平台限制影響，啟用後不代表一定涵蓋所有連線。遇到問題時，先關閉 TUN 回到已確認可用的狀態，避免同時疊加多項變更。

退出與復原：留下可還原的設定記錄

完成初次設定後，記下目前的用戶端與核心版本、代理連接埠、使用中的設定檔名稱，以及系統代理和 TUN 的開關狀態。尋求協助時，同時提供作業系統版本、第一則相關錯誤訊息和重現步驟，比只描述「無法上網」更容易找出原因。

• 退出後無法上網：確認系統代理是否仍指向已停止的本機連接埠。若設定由用戶端寫入，可重新啟動用戶端，關閉系統代理後再正常退出。
• 關閉 TUN 後仍有異常：確認其他 VPN 是否仍在執行，並檢查系統網路狀態。必要時先儲存記錄，再重新啟動用戶端或裝置，不要直接刪除不明的網路介面。
• 訂閱更新後失效：比較更新前後的節點、群組名稱和規則引用，確認本機覆寫是否仍適用。
• 準備繼續調整 DNS：先儲存目前可用的設定檔，再閱讀入門指南中的 Fake-IP 說明，一次只修改一個項目。

最後確認四件事：核心正常執行、目前設定檔正確、流量進入預期入口，以及目標連線命中預期規則。確認這四個環節後，再新增開機啟動、區域網路分享等功能，後續維護會更清楚。