Clash 客户端首次安装与初始设置:macOS、Windows、安卓通用要点与避坑清单

1. 安装顺序：先启动内核，再接管流量

桌面端首次设置按“选安装包 → 启动客户端 → 导入配置 → 检查本地端口 → 开启系统代理 → 验证连接”的顺序进行。先让浏览器经系统代理访问成功，再决定是否启用 TUN。安卓通常通过系统 VPN 接口接管流量，不能直接照搬桌面端的系统代理步骤。

Clash 是配置与代理生态中的常见名称，客户端界面和实际处理连接的内核是两个层次。mihomo 是由 Clash Meta 延续发展的内核；不同客户端对配置字段、服务模式和权限的支持可能不同。遇到导入错误，应同时记录客户端名称、版本和内核版本，不能只提供“装了 Clash”。

1. 保留原有网络状态。记录已有 VPN、系统代理和手动 DNS，避免修改后无法恢复。
2. 只运行一个代理客户端。退出旧客户端，首次测试时不要同时启用另一套 TUN 或 VPN。
3. 准备可用配置。客户端安装包通常不附带可用的代理节点，订阅需要另行准备。
4. 一次改一项。每次修改后查看日志和连接记录，避免同时改端口、DNS、规则后无法定位问题。

2. 安装包选择：系统、芯片与内核支持

macOS 上，Apple 芯片设备有时可以借助 Rosetta 运行 Intel 应用，但首次安装优先选原生架构，减少额外兼容环节。Windows 的 ARM 设备也应先查看项目是否提供原生安装包，而不是仅凭文件名中的“64”判断。

从客户端下载页进入对应平台，再核对项目发布说明中的系统要求。旧版 Clash 客户端与当前 mihomo 客户端对新协议和字段的支持可能不同，不能用“文件能够导入”代替兼容性判断。安装前需要比较客户端差异时，可先看选型指南。

3. macOS：应用授权、系统代理与辅助服务

先复制到“应用程序”，再启动

1. 打开下载的磁盘映像，将应用拖入“应用程序”，随后从“应用程序”目录启动，避免长期从安装映像运行。
2. 若系统提示无法验证开发者，先确认文件来源与发布说明，再到“系统设置 → 隐私与安全性”查看是否有“仍要打开”。该选项是否出现取决于系统版本和拦截原因。
3. 导入配置并确认内核已运行后，开启客户端的“系统代理”功能。
4. 到“系统设置 → 网络 → 当前网络连接 → 详细信息 → 代理”检查 HTTP、HTTPS 或 SOCKS 项，地址通常为 127.0.0.1，端口应与客户端一致。

如果提示“应用已损坏”，先重新获取适配系统的安装包并查看项目说明。不要直接复制来历不明的终端命令，也不要为启动一个应用关闭整套系统安全机制。公司管理的 Mac 可能由设备策略限制应用运行或网络扩展，需要联系管理员处理。

TUN 授权与普通系统代理分开处理

设置系统代理通常不需要与创建 TUN 相同级别的权限。启用 TUN 时，客户端可能要求安装辅助服务、输入管理员密码，或批准网络相关组件；具体机制取决于客户端实现。先核对授权窗口里的应用身份，再按项目文档操作。服务安装完成后仍要检查内核日志，不能仅凭密码窗口关闭就认定 TUN 已接管流量。

4. Windows 与安卓：代理设置和 VPN 授权

Windows：核对回环地址，不放宽整个防火墙

安装并导入配置后，先打开客户端系统代理，再进入 Windows 11“设置 → 网络和 Internet → 代理”，查看手动代理是否指向当前监听端口。Windows 10 对应入口通常为“设置 → 网络和 Internet → 代理”。某些客户端使用自动配置脚本，应按实际接管方式核对，而不是强行改成手动代理。

• 回环代理地址使用 127.0.0.1。监听在 0.0.0.0 表示绑定所有 IPv4 接口，不应把它填作浏览器连接目标。
• 防火墙提示出现时，按用途选择网络范围。只供本机使用时，不需要为局域网开放代理入口。
• 需要 TUN 或服务模式时，按客户端说明安装服务或提权；普通系统代理的使用不意味着必须始终以管理员身份运行。

安卓：批准 VPN 连接，再观察后台行为

首次启动代理时，安卓通常弹出系统 VPN 连接请求。确认来源后允许，状态栏一般会出现 VPN 标识。这个标识只表示 VPN 接口已建立，不能证明订阅节点可用、规则正确或目标服务已经连通。

如果另一款 VPN、使用本地 VPN 的防火墙或过滤工具正在运行，先停止它再测试；同一用户环境下通常只能有一个活动 VPN 服务。若锁屏后连接中断，到“设置 → 应用 → 对应客户端 → 电池”查看后台限制，具体入口以手机系统为准。按需允许后台运行，并检查客户端是否设置了应用分流，避免目标浏览器被排除在代理范围之外。

5. 配置导入与端口：先确认内核真正启动

在客户端“配置”或“订阅”页面选择添加远程配置，粘贴服务商提供的 Clash/mihomo 订阅 URL，下载后选中并启用。只看到列表中有一个配置名称，还需要确认它处于当前使用状态，并在日志中检查是否出现配置解析失败、协议不支持或端口绑定失败。

订阅 URL 往往包含访问凭据，不要放进公开截图、工单正文或命令历史。导入本地 YAML 时，优先使用客户端的文件导入功能；不要直接编辑应用安装目录。订阅更新可能覆盖远程配置，本地改动应放入客户端支持的覆写或合并设置。

认识最小通用设置片段

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info

这只是字段说明片段，缺少节点、策略组与规则，不能作为完整订阅使用。mixed-port 让同一端口接受 HTTP 与 SOCKS 代理请求；allow-lan: false 用于限制局域网访问；mode: rule 表示按规则选择出站。客户端可能覆写这些字段，最终应以运行时设置和监听状态为准。

遇到端口占用，先查进程

日志出现 address already in use 或绑定失败时，先退出其他代理工具。macOS 可在终端运行下面的只读查询：

lsof -nP -iTCP:7890 -sTCP:LISTEN

Windows 可在命令提示符中查监听记录，再用输出中的 PID 到任务管理器核对进程。下面的筛选也可能显示其他相关连接，需要继续确认本地地址与监听状态：

netstat -ano | findstr ":7890"

确认占用者后正常退出对应应用，或把新客户端的混合端口改为另一个空闲值，例如 7891。修改后重新启用系统代理，使操作系统引用新端口。不要看到 PID 就直接结束未知系统进程。

6. 系统代理与 TUN：先用一种接管方式验证

系统代理把代理地址提供给愿意遵循它的应用，浏览器通常较容易测试；部分命令行工具、游戏或自带网络栈的软件可能不遵循系统代理。TUN 通过虚拟网络接口接管更多 IP 流量，并涉及路由、DNS 与权限，因此排障范围更大。

• 桌面端第一轮：保持 TUN 关闭，启用系统代理，用浏览器检查一条明确的连接。
• 第二轮：确有应用不遵循系统代理时，再启用 TUN，并观察路由建立与 DNS 日志。
• 安卓：优先检查 VPN 是否启动、应用是否纳入代理范围，以及所选策略组是否正确。

系统代理与 TUN 并非绝对不能同时开启，许多客户端会处理两者共存；首次设置时只启用一种主要接管方式，是为了缩小故障范围。TUN 也不等于全局代理：规则模式下，流量仍会按照规则选择直连、代理或拒绝。

7. 验证生效：区分接管、规则与节点故障

打开客户端“连接”页面，重新访问一个明确的站点，观察域名、命中规则与最终出站。单看网页是否能打开，容易把浏览器缓存、原本可直连的访问与代理成功混在一起。节点延迟测试成功也只代表该测试请求的结果，不能替代目标业务验证。

需要把浏览器设置与内核问题分开时，可以显式指定本地 HTTP 代理测试。以下命令中的地址与端口必须与实际设置一致；测试域名为示例站点，返回结果只证明这一次请求的情况：

curl -I --proxy http://127.0.0.1:7890 https://example.com

Windows 使用 curl.exe 可避免部分 PowerShell 环境中同名别名的差异。如果显式代理请求成功而浏览器失败，优先检查浏览器扩展、独立代理设置和系统代理引用；如果提示连接被拒绝，先查本地端口是否监听，不要先换远端节点。

8. 首次运行完成后的设置清单

1. 记录有效状态。记下客户端与内核版本、所用配置、混合端口和接管方式，后续升级出问题时便于比较。
2. 验证配置更新。手动更新一次订阅并确认仍可解析，再按服务商建议设置自动更新间隔。
3. 按需开启自启动。桌面端区分“应用开机启动”和“启动后自动接管”；安卓还需考虑系统后台策略。
4. 保持局域网访问关闭。只有需要让其他设备使用本机代理时才开启，并同时考虑认证、监听地址与防火墙范围。
5. 测试正常退出。先关闭系统代理或 VPN，再退出应用；确认浏览器能恢复正常直连。
6. 保留可复现信息。求助时提供平台、版本、错误时间和脱敏日志，遮住订阅凭据、节点密码与个人访问记录。

首次安装的完成标准是：配置已启用、内核在监听、目标应用的请求进入连接列表、规则和出站符合预期，退出后网络能够恢复。满足这些条件后，再添加自定义规则、TUN 和更复杂的 DNS 策略，问题会更容易定位。具体操作入口还可对照安装与配置教程；遇到权限或网络异常时查看帮助中心。