Windows 电脑安装配置 Clash 全流程:系统代理、防火墙放行与开机自启的常见坑

先跑通系统代理，再考虑 TUN 模式

Windows 上配置 Clash 客户端，最稳妥的顺序是：安装客户端，导入并激活订阅，选择规则模式和可用节点，开启系统代理，最后才处理服务模式、TUN 和开机自启。不要第一次启动就把所有开关打开，否则遇到断网时，很难判断问题来自订阅、代理端口，还是虚拟网卡路由。

本文以使用 mihomo 内核的 Windows 图形客户端为主要对象。Clash Verge Rev、Clash Nyanpasu 等客户端的按钮名称并不完全一致，下文会同时说明功能名称和核对方法；不要把某个客户端的菜单位置当作所有版本的固定路径。原版 Clash 与 mihomo 的配置能力有差异，遇到不支持的协议或字段时，应先核对内核，而不是反复切换系统代理。

1. 确认系统架构与安装位置

先分清 x64 与 ARM64

在 Windows 11 打开「设置」→「系统」→「系统信息」，查看“系统类型”；Windows 10 可在「设置」→「系统」→「关于」中查看。Intel、AMD 的常见电脑通常选择 x64 安装包；搭载 ARM 处理器的设备优先选择客户端提供的 ARM64 包。不要仅凭“64 位操作系统”几个字判断处理器架构。

1. 从Clash 下载页选择 Windows 客户端，并核对其系统要求。
2. 安装到固定位置；如果使用便携版，先完整解压，再运行主程序，不要直接在压缩包内启动。
3. 首次运行先保持默认设置。若出现 Windows 安全提示，先核对下载来源和发布者信息，不要为了启动一个程序而关闭整套安全防护。
4. 确认托盘图标出现，再查看客户端的内核状态或日志。窗口能打开，并不代表后台内核已经成功监听端口。

Windows 10 22H2 与 Windows 11 24H2 的设置界面有所不同，以上版本仅用来说明路径差异，不代表所有客户端都承诺支持这些系统。受单位管理的电脑还可能限制安装服务、修改代理和创建虚拟网卡，此时应先确认设备管理策略。

2. 导入订阅，并确认配置真正激活

进入客户端的“订阅”“配置”或“Profiles”页面，选择新建远程订阅，粘贴服务提供方给出的 Clash 或 mihomo 配置地址，再执行下载或更新。订阅地址通常包含身份令牌，不要发到公开讨论区，也不要把完整地址放进求助截图。

1. 下载成功：配置列表出现条目，且更新时间发生变化；若收到 401、403 或 404，先检查地址是否过期、复制是否完整。
2. 配置激活：点击该配置，确认有“当前”“使用中”或选中标记。仅把订阅加入列表，不一定会切换当前运行配置。
3. 策略组存在：进入代理页面，确认能看到节点和策略组；选择一个具体节点，或检查自动选择组是否已经选出节点。
4. 内核加载成功：查看日志是否有配置解析错误、未知代理类型或找不到策略组等提示。

更新失败时，不要先改 DNS 和 TUN

如果订阅下载连接超时，先确认不使用代理时能否访问订阅服务，以及本机时间是否正确。有些订阅站点需要特定网络才能访问，可使用客户端提供的订阅更新代理设置，但前提是当前已有可工作的代理线路。首次导入时，不能依赖一份尚未加载的配置来代理自己的下载。

如果返回的是登录网页或错误页面，即使下载请求状态为成功，也不是有效配置。确认订阅输出格式是否支持当前内核：例如订阅包含只有 mihomo 支持的功能，旧版原版 Clash 内核可能无法加载。此时应选择正确的订阅格式或兼容客户端，而不是随意删除配置字段。

3. 设置规则模式与本地代理端口

日常使用先选“规则 / Rule”模式，由配置中的规则决定直连或代理。全局模式可以短暂用于对照测试，但它依然依赖所选策略或节点可用；直连模式则不能用来验证代理节点是否正常。模式切换后，已有长连接可能继续使用原来的出站，验证时应重新发起请求。

系统代理必须指向实际监听端口

在客户端的端口设置中查看 HTTP 端口或混合端口。本文统一以 7890 为示例，实际客户端可能使用其他数字。混合端口通常可同时接受 HTTP 与 SOCKS 代理请求；控制端口如 9090 用于管理接口，不能当作浏览器代理端口。

开启客户端“系统代理”后，在 Windows 11 的「设置」→「网络和 Internet」→「代理」→「手动设置代理」中核对地址与端口。Windows 10 对应「设置」→「网络和 Internet」→「代理」。部分客户端采用不同的系统代理写入方式，具体界面状态可能不同，应结合请求日志判断，不要只盯着一个开关。

4. 用日志和命令区分节点故障与端口占用

浏览器测试之外，再测一次显式代理

开启系统代理后，用浏览器访问需要测试的网站，同时观察客户端连接记录：是否出现该域名、命中了哪条规则、最终使用直连还是某个策略组。如果浏览器装有独立代理扩展，先让扩展跟随系统设置，避免它覆盖 Windows 的代理。

还可以在 PowerShell 中执行下面的命令。这里明确调用 curl.exe，避免某些 PowerShell 环境把 curl 解释为其他命令。将 7890 改为实际端口：

curl.exe -I --connect-timeout 10 --max-time 20 --proxy http://127.0.0.1:7890 https://example.com

• 立即提示无法连接本地端口：检查内核是否运行、端口是否写错，以及配置是否加载成功。
• 连接本地代理后超时：查看节点连接错误、目标规则和远端服务状态；本地端口可连接不等于节点可用。
• 收到目标站点响应：说明这次显式代理请求已到达目标，但仍需从日志确认出站路径，不能据此认定所有程序都已接管。

遇到 address already in use，先查占用者

两个客户端同时监听 7890 时，后启动的内核可能报告地址已被使用。下面两条 PowerShell 命令会列出监听进程编号及进程名称；没有输出通常表示查询时未发现该端口的 TCP 监听。

Get-NetTCPConnection -LocalPort 7890 -State Listen -ErrorAction SilentlyContinue |
  Select-Object LocalAddress, LocalPort, OwningProcess

Get-NetTCPConnection -LocalPort 7890 -State Listen -ErrorAction SilentlyContinue |
  ForEach-Object { Get-Process -Id $_.OwningProcess }

若占用者是另一套代理客户端，先正常退出它，再启动当前客户端；不要看到进程编号就强制终止。确实需要更换端口时，例如改为 7891，还要同步更新系统代理和应用内单独填写的代理地址。客户端自动维护系统代理时，可关闭再开启该功能后重新核对。

5. 处理防火墙弹窗，不要直接关闭防火墙

Windows 防火墙提示允许访问网络时，首先看清程序路径，以及提示针对的是图形客户端还是内核。常见默认策略会限制未经允许的入站连接，但通常允许出站连接；本机通过 127.0.0.1 使用代理，不等同于让局域网设备连接本机。

1. 只在本机使用时，保持“允许局域网连接”关闭，不要为了解决网页打不开而开放所有入站端口。
2. 确实需要共享代理时，先确认当前网络可信，再在「Windows 安全中心」→「防火墙和网络保护」→「允许应用通过防火墙」核对程序条目。
3. 通常只为可信的专用网络授予所需权限，不要顺手勾选公用网络；更精细的来源地址与端口范围可在「高级设置」中配置。
4. 客户端更新后若路径变化，检查旧规则是否还指向旧文件。遇到组织下发的限制，应交由管理员处理，而非停用防护服务。

“允许应用”主要解决相应防火墙规则范围内的访问问题，不能修复订阅过期、节点失效或错误的分流规则。若系统代理测试已正常，只有局域网其他设备连不上，再集中检查监听地址、入站权限和网络隔离设置。

6. 按需安装服务，再启用 TUN 模式

浏览器已经正常，但某个应用仍直连，先确认该应用是否支持系统代理或单独设置 SOCKS/HTTP 代理。部分命令行工具、游戏和后台服务不会读取 Windows 用户代理，此时再评估 TUN 模式，比继续修改系统代理地址更有针对性。

服务模式的正确检查顺序

1. 在客户端设置中寻找“服务模式”“安装服务”或对应的服务管理入口；安装时可能出现用户账户控制提示。
2. 确认服务状态为运行。必要时按 Win + R，输入 services.msc，根据客户端实际服务名称检查，不要凭猜测修改名称相似的系统服务。
3. 回到客户端启用 TUN，查看日志中虚拟接口、路由及 DNS 初始化是否成功。
4. 关闭其他 VPN 或虚拟网络接管工具后做对照测试，每次只改一个开关。

安装服务本身不会自动保证流量进入 TUN；客户端还需正确生成相关配置。不同客户端会管理自动路由、接口识别和 DNS 接管等选项，不建议把另一款客户端的整段 tun: 配置直接覆盖进去。TUN 也不是“所有流量必定走代理”：进入内核后的连接仍受规则模式、进程排除和路由范围影响。

7. 开机自启要验证“登录后可用”

多数图形客户端的“开机自启”实际指当前用户登录 Windows 后启动，不等于电脑尚未登录时就提供代理。后台服务的启动状态与图形界面的自启状态也是两回事；只看到服务在运行，不能证明订阅已激活或系统代理已设置。

• 先启用客户端自带选项：再到 Windows「设置」→「应用」→「启动」或任务管理器的启动应用列表核对；若程序采用计划任务启动，则需在任务计划程序中检查。
• 避免重复入口：不要同时添加启动文件夹快捷方式、自建计划任务和客户端自启，否则容易启动两个实例并争抢端口。
• 固定安装位置：便携版移动目录后，旧自启记录可能仍指向原路径，需要关闭并重新启用自启功能。
• 留意权限差异：把整个界面长期设为“以管理员身份运行”可能影响普通登录自启；优先使用客户端设计的服务机制。

重启后按四项验收

保存配置后重启电脑并登录，依次确认托盘图标、当前配置、端口监听和实际请求日志。自动启动可能早于网络连接完成，因此第一次订阅更新失败不一定是自启失效；先确认界面和内核已经运行，再在网络就绪后手动更新一次订阅。

如果客户端已退出，浏览器却仍尝试访问本地端口，检查 Windows 是否残留手动代理。可暂时在系统代理设置中关闭“使用代理服务器”恢复直连，再排查客户端异常退出原因。不要在内核没有运行时，反复打开系统代理开关。

完成配置后的检查清单

一套可持续使用的 Windows Clash 配置，至少要验证下面六项。遇到问题时，从最近一次改动回退，比盲目重装更容易定位原因。

1. 客户端架构与电脑匹配，内核能够启动，日志没有配置解析错误。
2. 订阅更新成功且已激活，策略组中有可用节点。
3. 规则模式符合预期，系统代理地址与实际监听端口一致。
4. 浏览器和显式代理命令都有对应连接记录，能解释实际出站路径。
5. 只有确有需求时才启用局域网访问或 TUN，并分别验证内网与外网服务。
6. 重新登录后客户端自动启动，退出后不残留失效代理；服务和界面的状态可以分别确认。

如果仍需进一步排查，可以查看Clash 配置手册中的代理、规则与 DNS 说明，或在常见问题中按症状继续定位。提交求助信息时保留客户端名称、版本、系统版本和相关错误行，同时遮盖订阅地址、节点凭据及管理接口密钥。