先確認用戶端、系統架構與核心

在 Windows 上使用 Clash，通常需要先安裝圖形介面用戶端，再由用戶端啟動代理核心。Clash 與 Clash Meta（現稱 mihomo）屬於不同版本系列；介面能正常開啟，不代表內含核心支援訂閱使用的所有協定。安裝前先確認作業系統架構、用戶端維護狀態與訂閱格式，可減少之後反覆更換安裝包的情況。

安裝前確認三項資訊

  1. 系統架構：前往 Windows「設定」→「系統」→「系統資訊」，查看「系統類型」。一般 Intel、AMD 電腦請選 x64 安裝包；ARM 裝置優先選擇用戶端明確提供的 ARM64 版本，別只憑安裝包大小判斷。
  2. 維護狀態：優先選擇仍持續更新且支援目前 Windows 版本的用戶端。Clash for Windows 已停止維護；舊教學中的選單位置、驅動方案與疑難排解方式，不宜直接套用到新用戶端。
  3. 設定檔類型：向訂閱服務商確認連結提供的是 Clash 或 mihomo 設定檔，而非只有分享連結的節點清單。部分新協定或欄位需要 mihomo；舊版核心可能在載入時直接報錯。

安裝包可前往本站Clash 用戶端安裝包頁面，依平台選擇。安裝前請先退出其他同類用戶端，避免多個程式同時修改系統代理、占用監聽連接埠或建立重複的虛擬網卡。若要保留舊設定，先透過用戶端的設定檔管理功能匯出備份；其中可能含有訂閱憑證，請存放在本機受控的資料夾中。

安裝與 SmartScreen：確認來源後再處理警告

執行安裝程式時，Windows SmartScreen 可能會顯示「Windows 已保護您的電腦」。這類警告可能與檔案信譽、簽章等因素有關，不能單憑警告判定檔案有問題，也不應把略過警告當成固定步驟。請先確認檔案來自所選專案的正式發布管道，安裝包名稱、系統架構與下載來源相符，再查看檔案內容中的數位簽章資訊（若有）。

遭到封鎖時的處理順序

  1. 關閉來源不明的安裝程式，重新核對下載頁面與實際檔案；不要改用聊天附件或來路不明的網路硬碟副本安裝。
  2. 只有在來源可信且裝置政策允許時，才考慮透過 SmartScreen 的「其他資訊」→「仍要執行」繼續安裝。若沒有這個按鈕，請勿關閉系統防護來規避組織政策。
  3. 若檔案遭安全軟體隔離，請前往「Windows 安全性」→「病毒與威脅防護」→「保護歷程記錄」查看偵測結果，再決定是否回報軟體發布者；不要直接將整個下載資料夾加入排除清單。
  4. 安裝完成後先正常啟動。一般使用系統代理，不需要長期以系統管理員身分執行整個介面；服務模式與 TUN 所需權限可在後續個別設定。

使用免安裝版時，請先完整解壓縮至固定且目前使用者可寫入的資料夾，不要直接從壓縮軟體中執行。若用戶端無法儲存設定或更新核心，先檢查資料夾權限、安全軟體的受控資料夾存取紀錄，以及檔案是否正被其他程序使用，不要一再提高執行權限。

匯入訂閱：更新成功後還要啟用設定檔

開啟用戶端的「設定檔」或「Profiles」頁面，選擇從 URL 匯入，貼上訂閱服務商提供的完整網址，再執行下載。含有權杖的訂閱網址等同存取憑證，請勿貼到公開日誌、截圖或線上轉換網站。若網址曾經公開，請至服務商後台重設，而不只是刪除本機紀錄。

  1. 確認下載結果：設定檔清單中應出現新的項目。若取得的是網頁登入畫面、登入逾期提示或錯誤頁面，即使改名為 YAML 也無法正常載入。
  2. 啟用設定檔：選取剛匯入的項目，等待核心完成重新載入。訂閱更新成功只代表檔案已下載，不表示它已成為目前使用中的設定檔。
  3. 查看日誌：優先處理 YAML 解析錯誤、未知代理類型或缺少代理群組等訊息。錯誤指出的行號附近可能只是發現問題的位置，也請檢查前一行的縮排與欄位。
  4. 選擇出口：切換至規則模式，並在目前規則實際引用的策略群組中選擇節點。不要只修改目前規則未使用的備用群組。

若第一次取得訂閱失敗，先關閉系統代理，透過目前網路重新嘗試連線至服務商提供的訂閱網址。此時用戶端可能還沒有可用節點，不要假設訂閱請求已經透過代理送出。只有在服務商說明允許且用戶端支援時，才設定專用的訂閱更新代理；請勿隨意加入來源不明的轉換服務。

系統代理與連接埠：先確認瀏覽器能正常連線

第一輪測試只開啟系統代理，暫時關閉 TUN。系統代理主要影響遵循 Windows 代理設定的應用程式，並不會接管所有程式；遊戲、命令列工具或自行實作網路堆疊的應用可能不會使用系統代理。先確認這條連線路徑正常，才能分辨是節點問題還是虛擬網卡問題。

檢查監聽連接埠與 Windows 設定

在用戶端設定中查看 HTTP 或混合連接埠。若混合連接埠顯示為 7890，開啟系統代理後，可前往「設定」→「網路和網際網路」→「Proxy」檢查「使用 Proxy 伺服器」中的位址與連接埠；本機位址通常是 127.0.0.1。PAC 模式可能使用自動設定指令碼，不能只看手動 Proxy 開關來判斷是否生效。

在 PowerShell 中執行以下命令，可查看範例連接埠是否正在監聽。若沒有輸出，請先排查核心啟動失敗、連接埠設定不一致或設定檔載入錯誤。

Get-NetTCPConnection -LocalPort 7890 -State Listen |
  Select-Object LocalAddress, LocalPort, OwningProcess

若連接埠已被占用，可依輸出的程序識別碼查詢對應程式，再決定要退出衝突的用戶端或修改目前用戶端的連接埠。不要直接終止不熟悉的系統程序。變更連接埠後，請重新開啟系統代理，並同步修改應用程式中手動設定的代理位址。

curl.exe --proxy http://127.0.0.1:7890 --head --connect-timeout 10 https://example.com/

這個命令會明確使用本機 HTTP 代理，適用於 HTTP 或混合連接埠，不適用於只提供 SOCKS 的連接埠。收到 HTTP 回應代表這次請求已透過代理完成，但不能證明所有網站都能連線。接著開啟目標網頁，並在用戶端的「連線」或日誌頁面核對目標網域、符合的規則、策略群組與實際出口。延遲測試成功只代表測試位址可用，不能取代這項檢查。

防火牆放行：本機代理不等於區域網路服務

Windows 防火牆主要依據程式、網路設定檔與規則方向控管連線。若本機應用只連線至 127.0.0.1，通常不需要對區域網路開放代理連接埠。出現系統授權提示，也不代表應同時勾選私人網路與公用網路，更不需要關閉整台電腦的防火牆。

使用情境應檢查的項目處理原則
僅供本機瀏覽器使用回環監聽、連接埠衝突、核心日誌維持僅限本機存取，不額外開放區域網路入口
手機連線使用電腦代理允許區域網路、監聽位址、輸入規則只在可信任的私人網路中放行實際使用的 TCP 連接埠
公司裝置無法連線至節點輸出規則、安全軟體、管理政策向管理員確認限制，不要自行關閉防護

若確實需要與區域網路共用代理，請先確認用戶端支援並開啟「允許區域網路」，再檢查監聽位址是否涵蓋區域網路介面。前往「Windows 安全性」→「防火牆與網路保護」→「進階設定」，只為實際使用的代理連接埠建立必要的輸入規則，並限制為可信任裝置的位址或本機子網路。HTTP 代理通常使用 TCP；節點協定包含 UDP，不代表需要開放本機所有 UDP 連接埠。

圖形介面與核心可能是不同的執行檔。介面能連線更新，不代表核心沒有受到組織的輸出規則限制。排查時應從日誌找出實際遭封鎖的程序，再檢查其程式路徑與規則；用戶端更新後路徑可能改變，舊規則也就不一定繼續適用。

UWP 回環：瀏覽器能用，部分應用卻無法連線

部分在 AppContainer 中執行的應用受到網路隔離限制，可能無法直接連線至本機回環代理，因此會出現瀏覽器已能連線、某個應用卻仍顯示離線的情況。並非所有 Microsoft Store 應用都有這個問題，透過套件安裝的桌面程式也不一定受到相同限制；請先確認該應用是否真的嘗試使用系統代理。

只為確有需要的應用設定豁免

  1. 若用戶端提供「UWP 回環」或「Loopback」工具，開啟後只勾選需要透過本機代理連線的應用，儲存設定並重新啟動該應用。
  2. 沒有圖形介面工具時，可在終端機使用 CheckNetIsolation.exe LoopbackExempt -s 查看現有豁免項目。
  3. 若要新增豁免，請以系統管理員身分執行終端機，並將查詢到的正確套件系列名稱傳給 -n= 參數；不要以應用程式顯示名稱、安裝資料夾或完整套件名稱代替。
Get-AppxPackage |
  Select-Object Name, PackageFamilyName

CheckNetIsolation.exe LoopbackExempt -s

新增命令使用 CheckNetIsolation.exe LoopbackExempt -a -n=，後面接上實際的套件系列名稱；要撤銷時，將 -a 改為 -d，並使用相同名稱。這裡不提供可直接複製的套件名稱，因為不同應用程式與發行管道的套件識別碼並不相同。設定完成後重新啟動目標應用，並查看用戶端的連線紀錄；若仍沒有請求進入，請繼續檢查應用程式本身對代理的支援與網路政策。

TUN 模式：服務權限、虛擬網卡與 DNS

需要接管不遵循系統代理的程式時，再考慮使用 TUN。TUN 會透過虛擬網路介面與路由，將流量交由核心處理；實際是否接管特定連線，仍取決於路由、排除項目與設定。mihomo 的 TUN 堆疊選項、DNS 接管方式及用戶端服務安裝步驟可能因版本而異，請以目前用戶端的說明為準。

一次只調整一項設定

  1. 先確認系統代理路徑可正常運作，並記下目前使用的節點、工作連接埠及可正常開啟的測試頁面。
  2. 透過用戶端「設定」中的「服務模式」或服務安裝入口完成授權。安裝服務需要系統管理員權限；若安裝失敗，請先查看錯誤訊息，不要不斷重複按下按鈕。
  3. 為了方便判斷接管效果，先關閉系統代理，再開啟 TUN；查看日誌確認虛擬介面與路由是否建立成功。
  4. 檢查 DNS 設定是否遭訂閱內容、覆寫設定或用戶端代管設定修改。開啟 TUN 不代表 DNS 接管與網域名稱解析一定正常。

可在 PowerShell 中執行 Get-NetAdapter -IncludeHidden 檢查虛擬介面，再使用 route print 查看路由。介面名稱不一定包含「Clash」，也不一定會出現傳統的單一預設路由：部分自動路由方案會使用更具體的路由項目。判斷時應比較啟動前後的差異並參考核心日誌，不能只看網卡圖示。

若發生驅動程式載入失敗，先停止其他 VPN、網路加速器或虛擬網卡工具，再使用用戶端支援的方式修復服務或驅動程式。不要從不明網站下載單獨的 DLL 覆蓋安裝資料夾，也不要為了執行舊驅動程式而關閉記憶體完整性等系統防護。若驅動方案不相容，請優先更新至受支援的用戶端版本。

若開啟 TUN 後無法連線至區域網路印表機、NAS 或公司內網，請優先檢查私人網段的路由排除與直連規則。規則中的 DIRECT 與系統路由排除屬於不同層級的設定；若網域名稱已無法解析，只新增直連規則也可能無法解決問題。若涉及公司 VPN，請先確認組織允許的網路方案，避免兩個程式同時接管路由與 DNS。

安裝後檢查與還原網路設定

完成設定後，請依照以下清單逐項確認。每次只變更一項設定，並記下測試時間與日誌錯誤，通常比同時切換節點、重新安裝驅動程式和修改 DNS 更容易找出原因。

  • 設定檔：目前啟用的是剛匯入的訂閱，核心日誌沒有解析錯誤，策略群組也已選好實際可用的出口。
  • 瀏覽器：目標網頁可以開啟，用戶端看得到對應連線，規則符合結果也符合預期。
  • 特殊應用：分辨系統代理、UWP 回環限制與應用程式自有的代理設定，不要把所有連線失敗都歸咎於防火牆。
  • TUN：有需要時才啟用，並確認虛擬介面、路由與 DNS 正常運作，同時測試本機網路資源。
  • 退出與還原：先關閉 TUN 和系統代理，再退出用戶端，確認一般網路仍可正常使用。

若用戶端異常結束後所有網頁都無法開啟，先前往 Windows「設定」→「網路和網際網路」→「Proxy」，檢查是否殘留指向已停止監聽的本機代理或自動設定指令碼。裝置若由組織管理，請勿覆寫既有政策。若問題只在使用 TUN 後發生，先重新啟動用戶端並正常關閉 TUN，讓它清除路由；若仍未恢復，再重新啟動系統。不要直接刪除所有網卡或重設整套網路。

之後若要調整規則、更新訂閱或設定開機自動啟動，可繼續閱讀使用指南；Windows 平台設定請參閱全平台指南的 Windows 章節。先保留一份已確認可用的基本設定，再逐項新增功能，日後遇到問題時會更容易比較與排查。