Clash 手机端第一次安装:安卓 APK 与 iOS 安装后的初始设置清单

安装前：分清客户端、订阅与系统接管

首次使用 Clash 手机端，需要分别完成三件事：安装客户端、载入可用配置、允许客户端接管网络。安装成功只表示应用可以打开；导入成功表示配置可以读取；系统出现 VPN 标识，也只表示隧道已经建立。这三个状态都不能单独证明代理出站可用。

Android 可以安装 APK；iOS 不能安装 APK，需要使用适配 iOS 的客户端及其对应分发方式。Clash 是内核与配置生态中的名称，并不代表存在一个跨平台、同名的官方手机应用。使用 Clash Meta（现称 mihomo）内核的安卓客户端，与支持部分 Clash 配置格式的 iOS 客户端，功能边界也可能不同。

• 客户端：提供配置管理、策略组选择、连接日志和系统网络接管入口。
• 订阅：提供配置或节点信息。订阅链接通常包含身份凭据，应按账户密码级别保管。
• 规则与策略组：规则决定请求交给哪个策略，策略组再决定使用哪个出站。
• VPN/TUN：用于接收设备流量。它是接管方式，不是节点，也不是连接成功的保证。

安卓 APK 安装：授权给实际打开安装包的应用

1. 选择架构，再允许安装来源

从下载页查看客户端与安装说明。多数近年的安卓手机使用 ARM64，通常对应 arm64-v8a；较旧设备可能需要 armeabi-v7a。不确定时先查设备处理器信息，或选择项目提供的通用包。不要把面向 x86 模拟器的包当成手机通用包。

1. 下载 APK 后，使用浏览器下载列表或文件管理器打开文件。
2. 若系统拦截安装，进入提示中的“设置”，为当前来源开启“允许来自此来源的应用”。
3. 返回安装界面完成安装，再打开客户端。
4. 若后续不再从该来源安装应用，可回到同一入口关闭这项授权。

常见系统路径是「设置」→「应用」→「特殊应用权限」→「安装未知应用」。厂商可能将它放在「安全」或「隐私」中，可在系统设置搜索“安装未知应用”。关键是授权对象：通过文件管理器打开 APK，就应授权文件管理器，而不是只给浏览器授权。

2. 安装失败时先看错误类型

不要一遇到冲突就清空应用数据。卸载可能删除本地订阅、覆写规则和策略组选择。工作手机还可能有组织策略限制，普通应用设置无法绕过这些限制。

iOS 安装：确认客户端来源与格式支持

iOS 应按客户端项目说明使用 App Store、TestFlight 或其支持的其他安装方式。商店可见性受账户地区和应用上架状态影响，测试名额与测试构建也可能到期。不能因为某个应用支持代理，就推断它能完整读取 mihomo 配置。

1. 先在选型指南确认客户端平台、配置格式和安装方式。
2. 打开应用后，查看订阅导入入口，确认它接受完整 Clash 配置还是仅提取节点。
3. 首次启动连接时，阅读系统“添加 VPN 配置”提示，确认发起请求的是刚安装的客户端，再完成授权。
4. 需要核对配置时，进入「设置」→「通用」→「VPN 与设备管理」查看相关项目。

如果导入后只有节点、没有原来的策略组和规则，先查客户端文档。这可能是导入方式只保留了节点，并非配置已经按原样生效。此时应使用该客户端支持的规则配置方式，而不是重复粘贴同一个链接。

首个订阅导入：下载、选中、确认策略组

不同客户端入口可能叫“配置”“Profiles”或“订阅”。下面按动作说明，不把某一款应用的菜单名称当成所有客户端的统一路径。首次设置建议只导入一个来源明确的订阅，避免多个配置之间来回切换。

1. 复制完整地址。从账户后台复制订阅 URL，保留问号后的参数。聊天软件附带的空格、换行或句末标点都可能导致失败。
2. 新增远程配置。在配置管理中选择通过 URL 添加，填写便于辨认的本地名称，然后执行下载或更新。
3. 确认解析结果。查看是否出现语法错误、未知字段或不支持的协议提示。下载成功与解析成功是两个步骤。
4. 选中配置。部分客户端新增配置后不会自动启用，需要点选它，再执行载入或重载。
5. 检查策略组。找到规则实际引用的组，选择一个可用节点或合适的自动选择组。

订阅导入后仍无法连接，先区分两种情况：节点列表为空，多半需要检查地址、账户状态和格式；节点存在但请求失败，则继续检查策略组、节点可用性和接管状态。HTTP 401 或 403 通常应先查身份凭据、访问限制与账户状态，不要靠连续刷新解决。

订阅 URL 能在浏览器打开，也不代表应用一定能导入。浏览器可能显示登录页、错误页或 HTML 内容，而客户端需要的是配置数据。诊断时查看返回类型和错误信息，不要把完整订阅链接贴到公开截图里。

首次连接：VPN 权限、规则模式与 DNS

系统授权只需按当前客户端的请求确认

安卓客户端通常借助系统 VPN 服务接收设备流量；使用 TUN 接管的实现可能由界面自动管理相关参数。点击启动后，确认系统授权框中的应用名称。若手机已经运行另一个代理、企业 VPN 或使用 VPN 接口的过滤工具，先停止它，再测试当前客户端。

iOS 的常见个人 VPN 使用场景也可能与其他隧道配置产生冲突。连接失败时，先查看系统 VPN 状态和客户端日志，不要在两个应用中反复开启自动连接。受管理设备的网络策略需另行遵循组织要求。

首次使用优先选规则模式

• 规则模式：按当前配置的规则决定出站，适合检查订阅是否按预期工作。
• 全局模式：通常让被客户端接管的连接交给全局策略，仍需选择该策略使用的出站。
• 直连模式：通常让接管到的流量直接连接，不能用它验证代理节点是否可用。

模式只影响已经进入客户端的流量。应用被排除在 VPN 之外时，切换规则或全局模式不会让它自动加入。第一次测试不要启用复杂的按应用分流，先完成一次简单、可重复的连通检查。

端口与 DNS 不要照抄桌面教程

手机使用 VPN 接管时，通常不需要再到 Wi-Fi 设置中填写手动代理。教程里常见的 127.0.0.1:7890 只是本机代理地址示例，实际端口以当前配置为准；127.0.0.1 始终指当前设备，不能用来指向另一台电脑。

首次保留订阅或客户端推荐的 DNS 设置。若网页提示域名解析失败，再检查 DNS 日志、安卓“私人 DNS”及浏览器安全 DNS 设置。不要把关闭证书验证当作通用修复方法，也不要仅凭 VPN 图标判断 DNS 请求已走预期路径。需要理解配置字段时，可查看DNS 技术参考。

安卓后台常驻与 iOS 自动连接：分别设置

安卓：先确认前台服务，再调整省电限制

连接后回到桌面，查看客户端是否按设计保留运行通知。通知权限影响状态提示是否可见，但“有通知”与“不会被系统终止”不是同一件事。若锁屏后连接中断，再检查应用的后台运行权限。

• 常见路径为「设置」→「应用」→选择客户端→「电池」，将后台使用调整为“允许”或“不受限制”；具体名称由系统决定。
• 部分厂商另有「自启动管理」或「后台耗电管理」，需要分别允许；最近任务中的锁定功能只能作为补充。
• 先关闭整机省电模式进行一次对照测试，再决定是否保留长期白名单。
• 开机自启、应用启动后自动连接、系统始终开启 VPN 是不同设置，按实际需要逐项启用。

安卓的“始终开启 VPN”和“阻止未使用 VPN 的连接”也不是一项功能。后者会在隧道不可用时阻断相应网络访问。首次配置尚未验证前，先不要启用阻断选项，以免订阅更新或故障排查也被一并影响。

iOS：不要套用安卓白名单方法

iOS 的隧道扩展与普通应用前台界面有不同的生命周期。不要把打开“后台 App 刷新”当作维持隧道的必要条件，也不需要照搬安卓的最近任务锁定操作。按客户端说明检查按需连接、网络切换重连等选项，并通过系统 VPN 状态确认连接。

安装完成验收：按前台、锁屏、切网顺序测试

下面是一组可自行执行的检查步骤，时间用于统一测试过程，不代表性能承诺。每次只改变一个条件，记录失败发生在哪一步，比同时改动十个开关更容易定位问题。

节点延迟测试只能说明特定探测请求的结果。探测成功不等于每个网站、每种协议都可用；网页能打开也不等于命中了预期规则。排查时结合连接日志，至少确认请求域名、命中规则和最终出站。分享日志前，遮住订阅令牌、账户信息与不必要的访问记录。

首次设置容易漏掉的四项检查

1. 系统时间：开启自动日期与时间。明显错误的时间可能引发 HTTPS 证书验证失败，表现为订阅下载或节点连接异常。
2. 配置选中状态：新增订阅之后，确认它是当前活动配置，而不是仍在使用应用附带的空配置。
3. 自动更新：先完成一次手动更新，再按提供方建议设置间隔。更新配置不会延长订阅有效期，也不会自动修复失效账户。
4. 本地备份：在重装或清理数据前，保存必要的配置、覆写内容和设置记录。含凭据的备份应放在受保护的位置。

首次安装的完成标准是：配置能解析、活动策略有可用出站、VPN 接管已授权、规则命中符合预期，且锁屏与切换网络后仍能恢复访问。达到这一步后，再逐项添加按应用分流、自定义规则或自动连接设置。后续操作可继续参考手机端安装与使用教程。