先確認系統代理運作正常，再考慮 TUN 模式
在 Windows 上設定 Clash，建議依序安裝用戶端、匯入並啟用訂閱、選擇規則模式與可用節點、開啟系統代理，最後再設定服務模式、TUN 和開機自動啟動。第一次啟動時別一次開啟所有功能，否則遇到無法上網時，很難判斷問題出在訂閱、代理連接埠，還是虛擬網卡路由。
本文主要介紹使用 mihomo 核心的 Windows 圖形化用戶端。Clash Verge Rev、Clash Nyanpasu 等用戶端的按鈕名稱不盡相同，下文會說明功能名稱與確認方式；各版本的選單位置可能不同，別把某個用戶端的操作路徑視為通用設定。原版 Clash 與 mihomo 的設定能力有所差異，遇到不支援的協定或欄位時，應先確認核心版本，而非一再切換系統代理。
1. 確認系統架構與安裝位置
先確認是 x64 還是 ARM64
在 Windows 11 開啟「設定」→「系統」→「系統資訊」，查看「系統類型」；Windows 10 則可在「設定」→「系統」→「關於」中查看。搭載 Intel 或 AMD 處理器的常見電腦通常選擇 x64 安裝檔；搭載 ARM 處理器的裝置則優先選用用戶端提供的 ARM64 版本。不要只憑「64 位元作業系統」判斷處理器架構。
- 前往Clash 下載頁選擇 Windows 用戶端，並確認系統需求。
- 將程式安裝到固定位置；若使用可攜版，請先完整解壓縮再執行主程式，不要直接從壓縮檔中啟動。
- 首次執行時先保留預設設定。若出現 Windows 安全性提示，請先確認下載來源與發行者資訊，不要只為了啟動程式就關閉整套安全防護。
- 確認系統匣中出現用戶端圖示，再查看核心狀態或記錄檔。視窗能開啟，不代表背景核心已成功監聽連接埠。
Windows 10 22H2 與 Windows 11 24H2 的設定介面有所不同，本文提及這些版本只是說明操作路徑的差異，不代表所有用戶端都保證支援這些系統。受組織管理的電腦也可能限制安裝服務、變更代理設定或建立虛擬網卡，請先確認裝置管理政策。
2. 匯入訂閱並確認設定已啟用
前往用戶端的「訂閱」、「設定檔」或「Profiles」頁面，新增遠端訂閱，貼上服務提供者提供的 Clash 或 mihomo 設定網址，再下載或更新。訂閱網址通常含有身分權杖，請勿張貼在公開討論區，也不要在求助截圖中顯示完整網址。
- 下載成功：設定清單中出現項目，且更新時間有所變動；若收到 401、403 或 404，請先確認網址是否過期，以及複製內容是否完整。
- 設定已啟用：點選該設定，確認出現「目前使用」、「使用中」或已選取的標記。僅將訂閱加入清單，不一定會切換目前執行的設定。
- 策略組已載入：前往代理頁面，確認能看到節點與策略組；選取一個節點，或確認自動選擇組已選出節點。
- 核心載入成功：查看記錄檔是否出現設定解析錯誤、未知代理類型或找不到策略組等訊息。
更新失敗時，先別急著修改 DNS 或 TUN
若下載訂閱時連線逾時，先確認不使用代理時能否連上訂閱服務，以及本機時間是否正確。有些訂閱網站必須透過特定網路才能存取，可使用用戶端提供的訂閱更新代理設定，但前提是目前已有可用的代理線路。首次匯入時，無法依賴尚未載入的設定來代理下載。
若收到的是登入頁面或錯誤頁面，即使下載請求顯示成功，也不是有效設定。請確認訂閱輸出格式是否支援目前的核心：例如訂閱包含只有 mihomo 支援的功能，舊版原版 Clash 核心可能無法載入。此時應選擇正確的訂閱格式或相容的用戶端，而不是隨意刪除設定欄位。
3. 設定規則模式與本機代理連接埠
日常使用建議先選擇「規則 / Rule」模式，由設定中的規則決定直連或代理。全域模式可短暫用於比較測試，但仍取決於所選策略或節點是否可用；直連模式則無法用來確認代理節點是否正常。切換模式後，既有長連線可能仍使用原本的出口，測試時請重新發出請求。
系統代理必須指向實際監聽的連接埠
在用戶端的連接埠設定中查看 HTTP 連接埠或混合連接埠。本文以 7890 為例，實際用戶端可能使用其他連接埠。混合連接埠通常可同時接收 HTTP 與 SOCKS 代理請求；控制連接埠如 9090 用於管理介面，不能當作瀏覽器代理連接埠。
| 檢查項目 | 範例值 | 確認重點 |
|---|---|---|
| 本機代理位址 | 127.0.0.1 | 僅供本機使用時，不要填入節點伺服器位址 |
| HTTP 或混合連接埠 | 7890 | 以用戶端目前顯示的數值為準 |
| 控制介面連接埠 | 9090 | 不是流量代理入口，不要填入系統代理 |
| 允許區域網路連線 | 關閉 | 本機使用通常不需要啟用 |
開啟用戶端的「系統代理」後，前往 Windows 11「設定」→「網路和網際網路」→「Proxy」→「手動 Proxy 設定」，確認位址與連接埠。Windows 10 則對應「設定」→「網路和網際網路」→「Proxy」。部分用戶端採用不同方式設定系統代理，介面顯示的狀態可能不同，請搭配請求記錄判斷，不要只看單一開關。
4. 使用記錄與命令，分辨節點故障和連接埠占用
除了用瀏覽器測試，也用明確指定代理的方式測一次
開啟系統代理後，用瀏覽器瀏覽需要測試的網站，同時查看用戶端的連線記錄：是否出現該網域、符合哪條規則，以及最後使用直連還是某個策略組。若瀏覽器安裝了獨立代理擴充功能，請先讓擴充功能沿用系統設定，避免覆蓋 Windows 的代理設定。
也可以在 PowerShell 中執行下列命令。這裡明確呼叫 curl.exe，避免部分 PowerShell 環境將 curl 解讀成其他命令。請將 7890 改成實際使用的連接埠：
curl.exe -I --connect-timeout 10 --max-time 20 --proxy http://127.0.0.1:7890 https://example.com- 立即顯示無法連線至本機連接埠：確認核心是否正在執行、連接埠是否輸入錯誤，以及設定是否載入成功。
- 連上本機代理後逾時：查看節點連線錯誤、目標規則與遠端服務狀態；能連上本機連接埠，不代表節點可用。
- 收到目標網站的回應：表示這次明確指定代理的請求已抵達目標網站，但仍須從記錄確認實際出口路徑，不能據此認定所有程式都已由代理接管。
遇到 address already in use，先查出占用連接埠的程式
兩個用戶端同時監聽 7890 時，後啟動的核心可能會回報位址已被使用。以下兩個 PowerShell 命令會列出監聽程序的 PID 與名稱；若沒有輸出，通常表示查詢時未發現該 TCP 連接埠有程式監聽。
Get-NetTCPConnection -LocalPort 7890 -State Listen -ErrorAction SilentlyContinue |
Select-Object LocalAddress, LocalPort, OwningProcess
Get-NetTCPConnection -LocalPort 7890 -State Listen -ErrorAction SilentlyContinue |
ForEach-Object { Get-Process -Id $_.OwningProcess }若占用連接埠的是另一套代理用戶端，請先正常結束該程式，再啟動目前的用戶端；不要只看到 PID 就強制終止程序。若確實需要更換連接埠，例如改為 7891，也要同步更新系統代理及應用程式中另外設定的代理位址。若用戶端會自動管理系統代理，可先關閉再重新啟用此功能，接著再次確認設定。
5. 妥善處理防火牆提示，別直接關閉防火牆
Windows 防火牆提示是否允許程式存取網路時，請先確認程式路徑，以及提示所指的是圖形化用戶端還是核心。常見的預設規則會限制未經允許的輸入連線，但通常允許輸出連線；本機透過 127.0.0.1 使用代理，不代表允許區域網路裝置連入本機。
- 僅供本機使用時，請保持「允許區域網路連線」關閉；不要為了解決網頁無法開啟，就開放所有輸入連接埠。
- 若確實需要共用代理，請先確認目前使用的是可信任網路，再前往「Windows 安全性」→「防火牆與網路保護」→「允許應用程式通過防火牆」，確認程式項目。
- 通常只需在可信任的私人網路授予必要權限，不要順手勾選公用網路；若要更精確設定來源位址與連接埠範圍，可前往「進階設定」調整。
- 用戶端更新後若程式路徑變更，請確認舊規則是否仍指向舊檔案。若遇到組織套用的限制，請交由管理員處理，不要停用防護服務。
「允許應用程式」主要用來處理相應防火牆規則範圍內的存取問題，無法修復訂閱過期、節點失效或分流規則錯誤。若系統代理測試正常，只有其他區域網路裝置無法連線，再集中檢查監聽位址、輸入連線權限與網路隔離設定。
6. 視需要安裝服務，再啟用 TUN 模式
瀏覽器已能正常連線，但某個應用程式仍使用直連時，先確認該程式是否支援系統代理，或能否個別設定 SOCKS/HTTP 代理。部分命令列工具、遊戲與背景服務不會讀取 Windows 使用者代理設定，此時再評估 TUN 模式，會比繼續修改系統代理位址更有助於解決問題。
正確檢查服務模式的順序
- 在用戶端設定中尋找「服務模式」、「安裝服務」或相關的服務管理選項；安裝時可能會出現使用者帳戶控制提示。
- 確認服務狀態為執行中。必要時按下
Win + R，輸入services.msc，再依用戶端實際使用的服務名稱確認；不要憑印象修改名稱相似的系統服務。 - 回到用戶端啟用 TUN，並查看記錄中的虛擬介面、路由與 DNS 是否初始化成功。
- 關閉其他 VPN 或虛擬網路接管工具後進行比較測試，每次只變更一個開關。
安裝服務本身不會自動讓流量進入 TUN；用戶端還必須正確產生相關設定。不同用戶端對自動路由、介面識別與 DNS 接管等選項的管理方式各異，不建議直接貼上另一款用戶端的整段 tun: 設定來覆蓋。啟用 TUN 也不代表「所有流量都一定會走代理」：連線進入核心後，仍會受規則模式、程序排除設定與路由範圍影響。
7. 確認開機自動啟動後登入即可使用
多數圖形化用戶端所稱的「開機自動啟動」，實際上是使用者登入 Windows 後才啟動，並不代表電腦尚未登入就能提供代理。背景服務的啟動狀態與圖形介面的自動啟動設定也是兩回事；只看到服務正在執行，不能證明訂閱已啟用或系統代理已設定。
- 先啟用用戶端內建選項：接著前往 Windows「設定」→「應用程式」→「啟動」，或在工作管理員的啟動應用程式清單中確認；若程式使用排程工作啟動，也要在工作排程器中檢查。
- 避免重複啟動：不要同時加入啟動資料夾捷徑、自建排程工作和用戶端自動啟動，否則容易啟動多個執行個體並爭用連接埠。
- 固定安裝位置：可攜版移動資料夾後，舊的自動啟動記錄可能仍指向原路徑，需先關閉再重新啟用自動啟動功能。
- 留意權限差異：長期將整個介面設為「以系統管理員身分執行」，可能影響一般使用者登入後的自動啟動；優先使用用戶端設計的服務機制。
重新啟動後確認以下四項
儲存設定後重新啟動電腦並登入，依序確認系統匣圖示、目前使用的設定、連接埠監聽狀態與實際請求記錄。自動啟動可能早於網路連線完成，因此第一次更新訂閱失敗不一定代表自動啟動失效；先確認介面與核心已正常執行，再等網路就緒後手動更新一次訂閱。
若用戶端已結束，但瀏覽器仍嘗試連線至本機連接埠，請檢查 Windows 是否仍保留手動代理設定。可暫時在系統代理設定中關閉「使用 Proxy 伺服器」以恢復直連，再排查用戶端異常結束的原因。核心未執行時，不要反覆切換系統代理開關。
設定完成後的檢查清單
一套可穩定使用的 Windows Clash 設定，至少要確認以下六項。遇到問題時，還原最近一次變更，通常比盲目重裝更容易找出原因。
- 用戶端架構符合電腦規格，核心可以啟動，記錄中沒有設定解析錯誤。
- 訂閱更新成功且已啟用，策略組中有可用節點。
- 規則模式符合預期，系統代理位址與實際監聽連接埠一致。
- 瀏覽器與明確指定代理的命令都有相應的連線記錄，且能確認實際出口路徑。
- 只有在確有需求時才啟用區域網路存取或 TUN，並分別測試內部網路與外部網路服務。
- 重新登入後用戶端會自動啟動，結束程式後不會留下失效代理；服務與介面的狀態可分別確認。
若仍需進一步排查，可參閱Clash 設定手冊中的代理、規則與 DNS 說明，或到常見問題依照症狀繼續檢查。提交求助資訊時，請保留用戶端名稱、版本、系統版本與相關錯誤訊息，並遮蔽訂閱網址、節點憑證及管理介面金鑰。