Clash使用教程2026：客户端怎么选、订阅怎么导入、怎么验证生效

先说结论（2026年9月核对）

如果你只想拿到答案，这一屏就够了：

1. Clash 不是 VPN，也不自带节点。 它是一个"规则代理客户端"——负责按规则决定哪些流量走代理、哪些直连。装好它之后还上不了网，是因为你还没有节点。
2. 原版 Clash 和 Clash for Windows 已经没了。 Dreamacro/clash 与 Fndroid/clash_for_windows_pkg 两个 GitHub 仓库均已被删除，2026 年 9 月 20 日访问都返回 404。网上任何声称提供它们"最新版"的站点，都不是官方。
3. 2026 年该装哪个：Windows / macOS / Linux 用 Clash Verge Rev；Android 用 FlClash 或 Clash Meta for Android；macOS 想要菜单栏轻量方案可用 ClashX Meta；iOS 没有免费客户端，只能买 Shadowrocket（约 2.99 美元）或 Stash（约 5.99 美元）。它们背后跑的内核都是 mihomo（原名 Clash Meta）。
4. 只从 GitHub 下载。 地址栏域名必须是 github.com。搜索结果里的"Clash 中文官网"“Clash 下载站"绝大多数是仿冒页，轻则捆绑推广软件，重则投放木马。
5. “clash 节点"“clash 订阅"“clash 机场"说的是同一件事：别人提供给你的代理服务器，以及一个自动更新这些服务器的链接。公开分享的免费节点是已知的高风险渠道——理由见下文安全注意事项，详细拆解见《免费机场节点的风险与安全替代方案》。本文不提供、也不链接任何节点或订阅来源。
6. 装完一定要验证：用 IP 归属地检测 确认出口 IP 变了，用 DNS 泄漏检测 确认 DNS 没有绕过代理。没验证就等于没配好。

引言：Clash不是VPN，但可能比VPN更好用

如果你在寻找翻墙工具，一定听说过"Clash"这个名字。但与ExpressVPN、NordVPN这类商业VPN不同，Clash是一个规则代理工具——它不提供代理服务器，而是帮你管理和使用代理节点的一个"客户端”。

打个比方：如果代理节点是"高速公路”，那么Clash就是"智能导航系统”。它能根据你访问的网站，自动判断是走高速（代理）还是走普通公路（直连），实现智能分流。

这种模式的优势显而易见：

• 访问国内网站时直连，速度不受影响
• 只有需要翻墙的流量才走代理，节省流量和带宽
• 可以自定义规则，精细控制哪些应用、哪些域名走代理
• 支持多个代理节点的负载均衡和自动切换

本文将手把手教你如何安装、配置和使用Clash，从零基础到日常使用没有障碍。

Clash生态现状：哪些还活着，哪些已经死了

“Clash"今天已经不是一个软件，而是一个家族。2023 年，原始内核的作者删除了自己的 GitHub 仓库，当时最流行的 Windows 图形客户端 Clash for Windows 也随之停更删库。社区随后接手，分化出几个仍在更新的项目。

下表的"最新版本"是我们在 2026 年 9 月 20 日直接查询各项目 GitHub 发布接口得到的结果：

为什么要强调"仓库已删除”：因为搜索"clash 下载"“clash 官网"时，排在前面的往往是仍在分发这些停更版本的第三方站点。一个 2023 年就停止更新的客户端，三年没有修过安全漏洞；而一个宣称能提供官方已删除项目"最新版"的站点，你根本无从判断它打包进去了什么。

2026 年推荐组合：

怎么一眼认出仿冒下载站

Clash 系客户端全部开源、全部免费，官方发布渠道只有各项目的 GitHub Releases 页面。符合下面任意一条，就不要装：

• 域名不是 github.com，却自称"Clash 官网"“Clash 中文站”；
• 要你付费才能下载，或要你先加客服、先关杀毒软件；
• 安装包里附带浏览器、推广软件、“加速器全家桶”；
• 提供原版 Clash、Clash for Windows、ClashX 的"最新版”——这些项目的仓库已经不存在了，不可能有新版本。

国家计算机病毒应急处理中心近年多次通报过"仿冒常用软件投放木马"的手法，而代理类工具因为用户急于下载、又不敢向他人求证，一直是这类投毒的重点目标。下载前看一眼地址栏，是成本最低的一道防线。

各平台安装方法

Windows

前往 Clash Verge Rev 的 GitHub Releases 页面，在最新版本的 Assets 里按下表挑文件。注意：这个项目不再发布 .msi 安装包，老教程里说的"下载 msi"已经找不到了。

双击安装，完成后系统托盘出现 Clash 图标；首次运行时 Windows 防火墙会弹窗，需要允许。

macOS

从 Releases 下载 Clash.Verge_<版本>_aarch64.dmg（Apple 芯片）或 ..._x64.dmg（Intel 芯片），打开后拖入"应用程序"文件夹。首次打开若提示"无法验证开发者”，在"系统设置 → 隐私与安全性"里点"仍要打开"。

也可以用 Homebrew 安装（已核对：cask 名为 clash-verge-rev，当前版本与 GitHub 一致）：

brew install --cask clash-verge-rev

想要更轻量的菜单栏客户端，macOS 还可以用 ClashX Meta。

Linux

Clash Verge Rev 已不再发布 AppImage，现在提供 .deb、.rpm 和 .app.tar.gz 三种包：

# Debian / Ubuntu（文件名形如 Clash.Verge_2.5.4_amd64.deb）
sudo apt install ./Clash.Verge_*_amd64.deb

# Fedora / RHEL（文件名形如 Clash.Verge-2.5.4-1.x86_64.rpm）
sudo dnf install ./Clash.Verge-*.x86_64.rpm

# 免安装：解压 .app.tar.gz 后直接运行其中的可执行文件
tar -xzf Clash.Verge_*_x64.app.tar.gz

不想要图形界面的（软路由、VPS、纯命令行），直接用内核 mihomo 即可。

Android

原版 Clash for Android（Kr328/ClashForAndroid）的仓库已删除，请从下面两个仍在维护的项目里选一个，都只从 GitHub Releases 下载 APK：

1. FlClash — github.com/chen08209/FlClash/releases，界面新、跨平台，多数人用这个。
2. Clash Meta for Android — github.com/MetaCubeX/ClashMetaForAndroid/releases，更接近内核原生行为。

安装 APK 时系统会要求允许"安装未知来源应用"，装完建议把这个权限关回去。不要从第三方应用市场或群里转发的 APK 安装——代理类 APK 是被重打包投毒最多的品类之一。

iOS

iOS 上没有免费的 Clash 客户端，只有付费 App（价格为 2026 年 9 月查询 App Store 美区所得，可能变动）：

1. Shadowrocket（小火箭）约 2.99 美元 — 最流行，支持导入 Clash 订阅。
2. Stash 约 5.99 美元 — 对 Clash 规则的兼容度最高。

各款客户端当前的上架状态、价格、版本与最低系统要求（2026-09-21 用苹果官方接口逐个核对），见《iPhone 上没有 Clash 怎么办：App Store 上现在还有哪几个客户端》。

两者都需要非中国区 Apple ID 才能搜索和购买。网上流传的"共享 Apple ID"能让你免费下载这些 App，但那等于把账号交给陌生人：你不知道它还登录在多少台设备上，也随时可能被锁定或被用于其他用途。

节点、订阅、机场：到底是什么关系

搜索 “clash节点"“clash订阅"“clash机场"“clash代理节点” 的人，绝大多数是卡在同一个地方：**客户端装好了，但不知道接下来该填什么。**三个词一句话说清：

• 节点（node）：一台在境外的服务器，负责替你转发流量。一个节点 = 一个出口。
• 订阅（subscription）：一个 URL。客户端定时访问它，一次性拉取并更新一整组节点和分流规则，省得你手动一条条填。
• 机场（airport）：中文社区对"卖节点订阅的服务商"的俗称。你付费，它给你一条订阅链接。

Clash 本身一个节点都不带，这是它和 ExpressVPN 那类商业 VPN 最大的区别：VPN 是"客户端 + 服务器"打包卖给你，Clash 只是客户端。所以装完 Clash 上不了网不是软件坏了，是你还没有节点。

节点只有三个来源：自建、付费购买、用别人公开分享的免费节点。本站不提供、也不链接任何节点或订阅来源——原因见下一节。

导入订阅链接（付费订阅或自建订阅）

1. 在服务商的用户面板里找到"订阅链接"“Clash 订阅"或 “Subscribe”；部分面板需要先选择格式为 Clash / Clash Meta。
2. 复制这个 URL（通常以 https:// 开头，带一长串 token）。
3. 打开 Clash Verge Rev 的 “订阅”（Profiles） 页面 → 粘贴链接 → 点"导入”。
4. 导入后双击该配置卡片使其生效（很多人卡在这一步：导入了但没选中，等于没用）。
5. 回到"代理"页面，选一个节点或选"自动选择”。

三条必须记住的注意事项：

• 订阅链接等于你的账号密码。 它本身不需要再验证身份，任何拿到它的人都能用你的流量。不要截图发群、不要贴进在线工具、不要提交到 GitHub。
• 不要用来路不明的"在线订阅转换"网站。 转换服务必须拿到你的完整订阅链接才能工作，等于你把凭证交给了一个陌生后端。确实需要转换的话，用开源的 subconverter 自己部署一份。
• 导入后先看一眼配置文件本身，特别是 DNS 和几个高危字段——方法见下面的安全注意事项。

自建节点

如果你有自己的海外 VPS，可以自己生成配置：

1. 在 VPS 上部署代理服务（如 Xray、sing-box）；
2. 把节点信息写成 Clash 配置文件（或用面板生成订阅链接）；
3. 在客户端中导入。

自建的最大好处不是省钱，而是出口 IP 只有你一个人用：既没有第三方能看你的流量，也不会因为别人的行为把这个 IP 连累成黑名单。代价是你要自己维护。协议怎么选，见《Shadowsocks vs V2Ray vs Trojan：我应该如何选择？》。

关于"免费 clash 节点”

“clash免费节点"“免费clash订阅"“白嫖节点"是这个话题下搜索量最大的一类需求，所以我们把话说明白，而不是假装它不存在：

这些免费节点是真的能连上的，这正是它危险的地方——它不会给你任何"出错了"的信号。但你要清楚代价：

• 节点运营者能看到经过它的全部流量元数据（你访问了哪些域名、什么时间、多大流量）；对未加密的 HTTP 流量，还能直接读取和篡改内容。
• 免费订阅给你的不只是节点，还有一整份配置文件——里面的 DNS 设置、分流规则、甚至远程控制接口，都由对方决定（见下一节的检查清单）。
• 出口 IP 是几百上千人共用的。别人用这个 IP 做了什么，追查时先看到的是这个 IP。

公开的免费节点列表是业内有记录的凭证窃取与恶意投放渠道之一，不是危言耸听。完整拆解、以及"实在没预算怎么办"的替代路径，见《免费机场节点的风险与安全替代方案》。

配置文件核心字段详解

Clash的配置文件采用YAML格式。理解核心字段，能帮你排查问题和进行个性化定制。以下是最重要的几个部分：

基础设置

# 代理端口
port: 7890          # HTTP代理端口
socks-port: 7891    # SOCKS5代理端口
mixed-port: 7893    # 混合端口（同时支持HTTP和SOCKS5）
allow-lan: false    # 是否允许局域网设备使用代理
mode: rule           # 运行模式：rule(规则)/global(全局)/direct(直连)
log-level: info     # 日志级别

# DNS设置
dns:
  enable: true
  listen: 127.0.0.1:1053   # 只监听本机。写成 0.0.0.0:53 会把DNS服务暴露给整个局域网
  enhanced-mode: fake-ip  # 推荐使用fake-ip模式
  nameserver:
    - 223.5.5.5         # 阿里DNS
    - 119.29.29.29      # 腾讯DNS
  fallback:
    - tls://8.8.8.8:853   # Google DNS over TLS
    - https://1.1.1.1/dns-query  # Cloudflare DoH

代理节点（proxies）

proxies:
  - name: "香港节点1"
    type: trojan
    server: hk1.example.com
    port: 443
    password: your-password
    sni: hk1.example.com

  - name: "日本节点1"
    type: vmess
    server: jp1.example.com
    port: 443
    uuid: your-uuid
    alterId: 0
    cipher: auto
    tls: true
    network: ws
    ws-opts:
      path: /ws

代理组（proxy-groups）

代理组是Clash的核心特色，允许你组织和管理多个节点：

proxy-groups:
  - name: "代理选择"
    type: select           # 手动选择
    proxies:
      - "自动选择"
      - "香港节点1"
      - "日本节点1"
      - DIRECT

  - name: "自动选择"
    type: url-test          # 自动选择延迟最低的节点
    proxies:
      - "香港节点1"
      - "日本节点1"
    url: http://www.gstatic.com/generate_204
    interval: 300           # 每300秒测试一次

  - name: "负载均衡"
    type: load-balance      # 负载均衡，分散流量
    proxies:
      - "香港节点1"
      - "日本节点1"
    strategy: round-robin

代理组类型说明：

分流规则（rules）

规则决定了每个连接走代理还是直连：

rules:
  # 域名规则
  - DOMAIN-SUFFIX,google.com,代理选择
  - DOMAIN-SUFFIX,youtube.com,代理选择
  - DOMAIN-SUFFIX,github.com,代理选择
  - DOMAIN-SUFFIX,baidu.com,DIRECT
  - DOMAIN-SUFFIX,bilibili.com,DIRECT

  # IP规则
  - IP-CIDR,192.168.0.0/16,DIRECT
  - IP-CIDR,10.0.0.0/8,DIRECT

  # GeoIP规则（中国IP直连）
  - GEOIP,CN,DIRECT

  # 兜底规则（没匹配到任何规则的流量）
  - MATCH,代理选择

通常你不需要手动编写规则——机场提供的订阅链接已经包含了完善的分流规则。但理解规则的结构，有助于你排查"某个网站走了直连导致无法访问"等问题。

三种运行模式

Clash有三种运行模式，可以在客户端界面中一键切换：

推荐始终使用规则模式。全局模式会让所有流量（包括访问国内网站）都走代理，不仅浪费代理流量，还会降低访问国内网站的速度。

系统代理与TUN模式

Clash有两种接管系统流量的方式：

系统代理

设置系统的HTTP/SOCKS5代理，让浏览器和支持代理设置的应用走Clash。大多数情况下够用，但有局限：

• 只能代理支持系统代理设置的应用
• 某些应用（如命令行工具、游戏）可能不走系统代理
• UDP流量通常无法代理

TUN模式（推荐）

TUN模式通过创建虚拟网卡来接管所有网络流量，包括不支持代理设置的应用：

• 在Clash Verge Rev中，点击设置 > 开启"TUN模式”
• 首次开启可能需要管理员权限
• 开启后，所有应用的流量都会经过Clash处理

TUN模式的优势：

• 真正的全局代理，不遗漏任何应用
• 支持UDP流量（对游戏和视频通话很重要）
• 命令行工具无需单独配置代理

验证它真的生效了（别跳过这一步）

“浏览器能打开 Google"只能说明代理通了，不能说明它配对了。很多人以为自己在翻墙，其实 DNS 请求还在明文走本地网络。三步自查，每步都有对应的在线工具：

再做一次对照测试，才算真的验证过：把 Clash 切到直连模式，重新跑一遍第 1 步。如果两次显示的 IP 一模一样，说明流量压根没走代理——通常是"系统代理"没开，或者配置导入了却没双击生效。

为什么第 2 步最容易出问题：系统代理模式下，部分应用和操作系统的 DNS 查询不经过代理。要彻底解决，开启 TUN 模式，并确认配置里 dns.enable: true、enhanced-mode: fake-ip。原理见《DNS 泄漏是什么，怎么修》。

常见问题排错

屏幕上有一句具体的红字报错？ 按原文查《Clash 报错对照表：订阅导入失败、连不上节点、DNS 出错的日志怎么读》，每条都标了它出自哪个客户端的哪个文件。

连不上节点

可能原因与解决方案：

1. 节点已失效：尝试更新订阅链接（右键订阅 > 更新）
2. 端口被占用：检查7890/7891端口是否被其他程序占用
3. 系统时间不正确：VMess协议对系统时间敏感，确保时间误差在90秒内
4. 防火墙拦截：检查系统防火墙是否放行了Clash
5. DNS解析失败：尝试在Clash的DNS设置中更换nameserver

DNS泄漏

DNS泄漏会导致你的真实DNS请求暴露给ISP。解决方法：

1. 在Clash中开启DNS功能（dns.enable: true）
2. 使用fake-ip模式替代redir-host
3. 开启TUN模式确保所有DNS请求都经过Clash
4. 使用我们的DNS泄漏检测工具验证是否存在泄漏

速度慢

1. 切换节点：使用延迟测试功能，选择延迟最低的节点
2. 更换协议：如果可选，尝试Trojan或VLESS+Reality
3. 调整DNS：确保DNS设置中使用了国内和国外双DNS
4. 关闭不必要的规则：过多的规则会增加处理延迟
5. 检查带宽：确认你的机场套餐带宽是否充足

进阶技巧

自定义分流规则

你可以在Clash Verge Rev的"规则"页面添加自定义规则。例如：

• 让特定应用走特定节点（如Netflix走美国节点）
• 让开发工具（如GitHub、Docker）走专用节点
• 屏蔽广告域名（规则指向REJECT）

订阅转换

如果你的订阅只提供 V2Ray / SS 格式，可以用 subconverter（开源的订阅转换后端）转成 Clash 格式。

但请自己部署一份。 在线转换网站必须拿到你完整的订阅链接才能工作——那串链接就是你的凭证，等于你把它交给了一个你无法审计的后端，而且它同时有机会往转换结果里塞自己的规则。省下的十分钟部署时间，不值这个风险。

配置文件预处理

Clash Verge Rev支持配置文件预处理（Script），你可以用JavaScript脚本在订阅更新后自动修改配置，如添加自定义规则、修改DNS设置等。

安全注意事项

Clash 客户端本身是开源的，代码公开可审；真正的风险不在软件，而在你把谁的配置文件导入了进来。一份订阅给你的不只是节点，还有 DNS 设置、分流规则和若干控制开关——这些全部由订阅提供者决定。

导入一份新配置后，检查这五个字段

在客户端里打开配置文件的原始内容（Clash Verge Rev：订阅卡片 → 编辑文件），对照着看：

其余五条

1. 只从官方渠道下载：各项目的 GitHub Releases，域名必须是 github.com；不用"破解版"“绿色版"“汉化增强版”。
2. 保护订阅链接：它等同于账号凭证，不截图分享、不贴进在线转换工具、不提交到代码仓库。
3. 注意日志脱敏：Clash 的日志包含你访问过的域名，向别人求助排错时先删干净。
4. 定期更新：内核和客户端都在持续修漏洞，停更三年的老客户端不要再用。
5. 明白代理能保护什么、不能保护什么：代理改变的是流量的路径，不是流量的内容。HTTPS 之外的明文流量，节点运营者看得一清二楚；你登录的账号，代理也一样保护不了。

一句话总结：Clash 的安全性 = 客户端的来源 × 订阅提供者的可信度。前者你能完全控制（只用 GitHub），后者你只能选择（这就是为什么不建议用免费节点）。

常见问题

Clash和VPN有什么区别？

VPN（虚拟私人网络）会创建一条加密隧道，将你的所有网络流量都转发到VPN服务器。而Clash是一个规则代理工具，它可以根据你配置的规则，智能分流——需要翻墙的流量走代理，不需要的流量直接连接。这意味着使用Clash时，你访问国内网站的速度不会受到影响。另外，VPN是一个完整的服务（包含客户端和服务器），而Clash只是客户端，你需要自备代理节点（通常来自机场订阅）。

Clash安全吗？

分两层看。软件层面：mihomo、Clash Verge Rev、FlClash 等都是开源项目，代码公开可审，本身没有问题——前提是你从各项目的 GitHub Releases 下载，而不是从第三方下载站。使用层面：安全性最终取决于你导入了谁的配置。节点提供者能看到你的流量元数据，配置文件还能改写你的 DNS 和分流规则。所以"Clash 安全吗"的真实答案是：Clash 安全，但你的节点未必。

Clash Core停止维护了，现在用什么？

原始内核 Dreamacro/clash 的仓库在 2023 年被作者删除，2026 年 9 月访问仍然返回 404；同期停摆的还有 Clash for Windows、ClashX 和 Clash for Android，它们的仓库同样已经不存在。社区接手后，主流内核变成 mihomo（原名 Clash Meta，v1.19.31 / 2026-09-14），它兼容原版配置，并支持 VLESS、Reality、Hysteria2 等新协议。桌面端用 Clash Verge Rev（v2.5.4 / 2026-09-20，内置 mihomo），Android 用 FlClash 或 Clash Meta for Android，macOS 也可以用 ClashX Meta，iOS 只能买 Shadowrocket 或 Stash。

Clash 装好了，为什么还是上不了网？

因为 Clash 不自带节点。它是客户端，不是服务。你需要先有节点（自建或付费订阅），把订阅导入"订阅/Profiles"页面，双击让它生效，再到"代理"页面选一个节点，最后打开系统代理或 TUN 模式。四步缺一步都会表现为"装了但没用”。

免费的 clash 节点能用吗？

能连上，但代价是你看不见的。节点运营者掌握经过它的全部流量元数据，对明文流量还能读取和改写；免费订阅同时还替你决定了 DNS 和分流规则。公开分享的免费节点列表是已知的凭证窃取与恶意投放渠道之一。如果预算有限，更稳妥的顺序是：先用信誉服务商的免费试用或退款期 → 再考虑入门级付费订阅 → 技术上做得到就自建 VPS。详见《免费机场节点的风险与安全替代方案》。

相关阅读

• 免费机场节点的风险与安全替代方案 — 搜"clash免费节点"之前，先看这篇
• Shadowsocks vs V2Ray vs Trojan：我应该如何选择？ — 了解Clash背后运行的代理协议
• IP 归属地检测 · DNS 泄漏检测 — 验证你的Clash配置真的生效了
• 翻墙浏览器推荐：最佳隐私浏览器 — 配合Clash使用，进一步保护隐私
• Cloudflare WARP中国实测 — 另一种免费的网络加速方案
• 2026 年 4 月的「断线潮」：为什么「专线最稳」不再是安全假设 — 你的节点在那一周集体变红的话，原因可能不在配置里