Clash 常见问题

Clash 是一款开源的网络代理客户端,核心特点是按规则分流:可以精确到域名与 IP 段,决定哪些流量走代理、哪些直连、哪些拦截。常见 VPN 则把整机流量送进同一条加密隧道,不区分目的地。

Clash 支持 Shadowsocks、VMess、Trojan、Hysteria 等多种代理协议,适合需要精细控制分流的场景。相关名词的准确释义见术语表。

原版 Clash 内核在 2023 年停止更新并归档。mihomo(原 Clash Meta 内核)是在原版基础上持续维护的分支,补上了 Hysteria2、TUIC 等新协议,是目前主流客户端普遍采用的内核。

日常说的 Clash 客户端,大多指 mihomo 内核加图形界面的组合,例如 Clash Plus、Clash Verge Rev。内核与客户端的对应关系在使用手册里有完整说明。

按平台选:全平台首推 Clash Plus(Windows、macOS、Android、iOS 均覆盖);Windows 桌面也常用 Clash Verge Rev;Android 可选 Clash Meta for Android;Linux 桌面推荐 Clash Verge Rev 的 deb 或 rpm 包。

各平台完整客户端清单、系统要求与下载入口见下载页。

本站收录的客户端全部是开源免费软件,下载与使用不收费用。需要区分的是客户端与节点服务:客户端只是工具,代理节点(订阅)通常由第三方服务商出售,费用与套餐问题请咨询对应服务商。

订阅链接是节点服务商提供的一段 URL,客户端通过它定期拉取最新的节点列表与分流规则,省去手动维护配置的麻烦。

订阅链接相当于账号凭证,不要公开发给他人;怀疑泄露时到服务商后台重置订阅地址,再在客户端里更新配置。

开源客户端通常没有购买微软 EV 代码签名证书,首次运行安装包时 SmartScreen 会弹出蓝色警告。确认安装包来自本站下载页后,点击「更多信息」→「仍要运行」即可继续。

如果浏览器在下载阶段就拦截,在下载记录里选择「保留」即可。

这是应用未做苹果公证导致的提示,并非文件真的损坏。打开「终端」,执行 xattr -d com.apple.quarantine /Applications/Clash\ Verge.app(以 Clash Verge Rev 为例),然后正常启动即可。

也可以在「系统设置 → 隐私与安全性」里找到被拦截的应用,点「仍要打开」。

通用流程四步:复制服务商给的订阅链接;打开客户端的「配置」或「订阅」页,选择新建或导入并粘贴链接;点更新拉取节点列表;选中这份配置让它生效,再回代理页挑节点。

各平台带截图的逐步说明见安装与配置教程。

桌面 Linux 推荐 Clash Verge Rev,下载页 Linux 区提供 .deb 与 .rpm 安装包,装好后界面与 Windows 版一致。

服务器或无桌面环境可以直接运行 mihomo 内核二进制,配外部控制界面管理;用 systemd 托管可实现开机自启与崩溃重启,具体写法见使用手册。

主流客户端的「设置」里都有「开机自启」或「静默启动」开关,打开即可。Windows 若开关无效,到「任务管理器 → 启动」确认条目没被禁用;macOS 检查「系统设置 → 通用 → 登录项」。

开机自启只负责把程序拉起来,是否自动接管系统代理由「自动连接 / 自动设置系统代理」选项决定,两个开关建议一起开。

日常用规则模式:按内置规则分流,国内站点直连、国外站点走代理,互不影响。全局模式把全部流量交给当前节点,只在排查问题或访问被规则漏掉的站点时临时开。直连模式等于关掉代理,用于对照测试。

模式切换入口在客户端首页或代理页顶部。

策略组是节点的分组容器:select 组手动点选节点;url-test 组定时测速,自动切到延迟最低的节点;fallback 组在主节点失效时自动换备用。

在客户端「代理」页展开策略组,点节点名即完成切换。想省心就把类型设为 url-test,测速间隔建议 300 秒以上,太频繁反而占资源。

客户端显示的延迟是一次握手的耗时,只反映响应快不快,不代表带宽与稳定性:延迟 100ms 的节点看视频未必比 300ms 的流畅。

挑节点更可靠的办法是实际打开目标站点或跑一次真实下载,测速原理的完整解释见节点测速原理详解。

订阅转换是在线服务,把 V2Ray、Shadowsocks 等格式的订阅实时转成 Clash 配置。风险在于转换服务器经手你的全部节点信息,还可能改写规则。

优先用服务商直接提供的 Clash 订阅;确需转换时,选自托管的开源转换程序或口碑可靠的公共服务。

按场景三选一:规则模式本身已分流,个别漏网站点在配置顶部加一条 DOMAIN-SUFFIX,example.com,DIRECT;系统代理的「绕过列表」填入域名,只对走系统代理的程序生效;浏览器装了独立代理插件的,在插件里配直连名单。

改完规则记得在客户端里重载配置才生效。

最省事的做法是所有设备用同一条订阅链接:节点与规则由服务端统一下发,天然保持一致。自定义规则较多的话,可以把配置文件放进私有仓库或网盘,各设备定时拉取。

三种方案的对比与操作步骤见多设备配置同步方案。

按顺序排查:确认系统代理开关已打开;把模式切到全局测试,全局能开说明是规则漏配;换一个节点,排除单节点失效;更新订阅,排除套餐过期;DNS 改回客户端推荐默认。

每一步的验证方法见无法上网逐项排查清单。

常见原因三个:浏览器装了 SwitchyOmega 一类独立代理插件,插件设置会盖过系统代理,先停用再测;系统代理「绕过列表」里误加了目标域名;客户端监听端口被改过,与系统代理设置不一致。

在客户端「设置」页核对端口号(默认 7890),并确认「设置系统代理」处于开启状态。

Windows 默认禁止微软商店(UWP)应用访问本机回环地址 127.0.0.1,系统代理对它们无效。用管理员身份运行 PowerShell,执行 CheckNetIsolation LoopbackExempt -a -n=应用包名,包名可用 Get-AppxPackage 查询。

更省事的办法是直接开 TUN 模式,从网络层接管全部流量,不受回环限制。

TUN 模式要创建虚拟网卡,必须拿到系统级权限。Windows:先在客户端里安装「服务模式」,再开 TUN;macOS:首次开启会弹授权框,输入登录密码安装帮助程序。

Linux:用 root 运行,或执行 sudo setcap cap_net_admin,cap_net_bind_service=+ep /usr/bin/mihomo 给内核二进制授权。仍然失败时,检查是否与其他 VPN 的虚拟网卡冲突,先退出再试。

按概率从高到低查:更新订阅,套餐过期或节点更换会导致整体超时;切到手机热点测试,排除公司或校园网络对代理协议的封锁;校准系统时间,TLS 握手对时间偏差敏感,误差一两分钟就会全部失败。

还可以把订阅链接粘到浏览器直接打开,确认服务商一侧服务正常。

先把订阅链接粘到浏览器地址栏直接打开:能下载到配置文本,说明链接有效,问题在客户端当前的网络环境,换直连网络再更新;返回错误则说明套餐过期、流量用尽或链接已被重置,登录服务商后台确认或重新取链接。

部分服务商会拦截非客户端的 User-Agent,浏览器打不开但客户端能更新,也属正常。

默认代理端口 7890 被其他程序占用时会报此错。先退出其他代理或 VPN 类软件再启动;确需共存,在客户端「设置」里把混合端口改成 7897 等空闲端口,并同步修改系统代理设置。

Windows 下可用 netstat -ano | findstr 7890 查出占用进程。