Windows 安裝 Clash Verge Rev 完整教學：系統代理、TUN 服務與防火牆問題排解

先確認系統代理正常，再啟用 TUN

首次在 Windows 設定 Clash Verge Rev，建議依序操作：「安裝用戶端 → 匯入設定檔 → 選擇策略 → 確認系統代理正常 → 安裝服務 → 啟用 TUN」。不要一開始就同時調整 DNS、路由和防火牆；每次只變更一項，才能判斷問題出在哪個環節。

Clash Verge Rev 負責管理設定、系統代理與介面操作；mihomo 核心負責解析設定、比對規則及建立代理連線。訂閱提供節點、規則等設定資料。用戶端安裝成功不代表訂閱可用，節點延遲測得數值，也不代表所有應用程式都會經過代理。

選擇安裝檔：確認系統架構，不看 CPU 品牌

1. 開啟 Windows「設定」→「系統」→「系統資訊」，查看「系統類型」。Windows 10 的這個頁面通常稱為「關於」。
2. 若顯示「x64 型處理器」，請選擇 x64 安裝檔。AMD64 是 x64 架構的名稱，Intel x64 處理器也適用。
3. 若顯示「ARM 型處理器」，請優先選擇專案提供的 ARM64 安裝檔。不要只憑裝置品牌判斷架構。
4. 前往用戶端下載頁查看各平台的下載選項。安裝前請正常結束舊版用戶端，避免兩個核心搶用同一個連接埠。

首次啟動與執行環境

依照安裝精靈完成安裝後，先以一般使用者身分開啟用戶端。如果出現明確的 WebView2 執行階段缺失提示，請依安裝程式說明，或透過 Microsoft 官方管道安裝執行階段。視窗空白也可能是圖形顯示或安全軟體攔截所致，不能只憑空白視窗就認定訂閱失效。

如果 Windows 顯示應用程式來源或發行者資訊，請先確認下載來源和安裝檔資訊，不要把關閉系統防護當成安裝前提。安裝完成後，記下用戶端「設定」中的用戶端版本與核心版本；回報問題時提供這兩項資訊，比只寫「最新版」更有幫助。

匯入訂閱並確認規則模式

在用戶端的「訂閱」頁面貼上訂閱網址並匯入，或從本機檔案匯入 YAML。匯入後還要選取該設定檔，讓它成為目前使用的設定；清單中出現設定檔名稱，不代表核心已成功切換。

1. 查看更新結果與執行記錄，確認沒有 YAML 解析錯誤、欄位型別錯誤或節點載入失敗。
2. 前往「代理」頁面，先使用規則模式。檢查常用策略群組目前選取的節點，避免誤選 DIRECT 或 REJECT。
3. 對候選節點進行延遲測試。若逾時，應進一步檢查節點與網路，不要直接歸因於 Windows 防火牆。
4. 開啟一個預期會經過代理的目標，再到「連線」頁面確認命中的規則與策略鏈。

規則模式會依 rules 順序比對；全域模式使用 GLOBAL 策略；直連模式不會因為選取了某個節點就自動使用該節點。排查時可暫時切換至全域模式進行比對，但確認後應恢復預期模式，並檢查個別規則。

系統代理無效：先檢查連接埠與請求路徑

系統代理適合用來初步確認瀏覽器等遵循 Windows 代理設定的應用程式。它不會接管整台電腦的所有流量：部分遊戲、命令列工具及有獨立網路設定的軟體不會自動使用系統代理；一般 HTTP 系統代理也不會接管所有 UDP 流量。

確認 127.0.0.1 與實際混合連接埠

先在用戶端設定頁確認混合連接埠，再開啟「系統代理」。以下以 7897 為診斷範例；如果用戶端顯示的實際連接埠是 7890 或其他數值，請務必替換命令中的數字。不要為了套用範例而任意修改連接埠。

# 在 PowerShell 中檢查本機監聽連接埠
Test-NetConnection 127.0.0.1 -Port 7897

# 檢查目前使用者的 Windows 代理設定
Get-ItemProperty 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' |
  Select-Object ProxyEnable, ProxyServer, AutoConfigURL

# 檢查監聽程序；最後一欄的輸出是 PID
netstat -ano | findstr LISTENING | findstr :7897

TcpTestSucceeded : True 只表示本機連接埠可連線，不代表遠端節點可用。若結果為 False，請先確認核心是否正在執行、設定是否已載入，以及連接埠是否被其他程式占用。可在工作管理員的「詳細資料」中依 PID 找到程序，不要直接結束不明的系統程序。

使用明確指定代理的請求來區分問題

# 明確指定 HTTP 代理，排除應用程式是否讀取系統設定的差異
curl.exe --proxy http://127.0.0.1:7897 --connect-timeout 10 --max-time 20 -I https://example.com/

這裡使用 curl.exe，避免部分 PowerShell 環境將 curl 解讀為其他命令。此請求仍會遵循核心的規則模式，因此還要查看「連線」頁面，確認目標實際經過代理，而非直接連線。收到 HTTP 回應代表這條請求路徑有回應，不表示所有網站都能連線。

• 明確指定代理後成功，瀏覽器卻失敗：檢查瀏覽器擴充功能、獨立代理設定，以及 Windows「設定」→「網路和網際網路」→「代理」中的設定是否被其他軟體改寫。
• 明確指定代理後失敗，但本機連接埠可連線：檢查策略群組、節點驗證、遠端連線與核心記錄，不要反覆切換系統代理開關。
• 瀏覽器正常，特定應用程式卻失敗：確認該應用程式是否遵循系統代理；必要時在應用程式內設定代理，或進一步測試 TUN。

netsh winhttp show proxy 顯示的是 WinHTTP 代理狀態，與目前使用者瀏覽器使用的 Windows 代理設定不同。顯示「直接存取」不能單獨證明 Clash Verge Rev 的系統代理失效，也不應因此盲目修改整台電腦的 WinHTTP 設定。

安裝 TUN 服務：先確認服務，再檢查路由

TUN 透過虛擬網路介面和路由接管流量，適合處理不遵循系統代理的應用程式。它需要相應權限，也比較容易與其他 VPN、虛擬網卡及企業網路政策衝突。TUN 不是修復節點的工具：若節點在系統代理模式下已無法使用，開啟 TUN 通常也無法讓它恢復。

1. 先關閉其他代理用戶端和第三方 VPN，並記下目前網路是否能正常直接連線。
2. 前往 Clash Verge Rev「設定」，找到「服務模式」及其安裝或管理選項，依提示安裝服務，並確認已在 Windows 使用者帳戶控制視窗中授權。
3. 確認介面顯示服務可用後，再啟用「虛擬網卡模式」或「TUN 模式」。若服務狀態異常，請先處理安裝錯誤，不要連續反覆切換 TUN。
4. 為了排除其他變因，可暫時關閉系統代理，只保留 TUN。開啟目標應用程式，查看「連線」與「記錄」中是否出現相應流量。

認識 TUN 相關欄位

以下是 mihomo 常見 TUN 欄位的設定片段，不是包含節點、策略群組和規則的完整設定。Clash Verge Rev 可能透過執行階段覆寫產生這些欄位，建議優先使用用戶端設定介面，並檢查最終生效的設定。不要將整段內容直接附加到訂閱檔案末尾，以免產生重複的 tun 鍵。

tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

• auto-route 用於自動設定路由；啟用後仍須確認流量確實進入核心。
• auto-detect-interface 用於自動偵測輸出介面。多張網卡、熱點和 VPN 同時使用時，應搭配記錄檢查偵測結果。
• dns-hijack 中的 any:53 用於攔截相應的傳統 DNS 請求，不會自動把所有 HTTPS 加密 DNS 請求轉成一般 DNS。
• stack 的支援狀況與行為取決於核心和平台。若沒有記錄可供判斷，不要反覆更換網路堆疊。

若一啟用 TUN 整台電腦就無法上網，請先關閉 TUN 恢復網路，再檢查輸出介面、DNS 設定和其他 VPN 的路由。從睡眠中喚醒，或從有線網路切換至 Wi-Fi 後發生問題時，也應先重新確認介面與服務狀態，不要直接重灌系統。

UWP 應用程式無法連網：分辨迴圈存取限制與代理繞過

Microsoft Store 等採用應用程式容器網路模型的程式，可能受到本機迴圈存取限制。當它嘗試透過 127.0.0.1:7897 使用本機代理時，即使一般瀏覽器運作正常，也可能連線失敗。並非所有從 Microsoft Store 安裝的應用程式都使用相同的網路模型，不能一律視為 UWP 處理。

兩種排查方式

• 繼續使用系統代理：如果目前版本提供 UWP 迴圈存取豁免工具，只授權需要的應用程式。若沒有此選項，可使用 Windows 內建工具檢查；不要下載來源不明的批次修改指令碼。
• 改用 TUN 接管流量：關閉系統代理，單獨測試並確認應用程式連線是否進入核心。TUN 可以改變流量接管路徑，但不能取代對應用程式驗證、DNS 和伺服器錯誤的檢查。

# 在系統管理員終端機中查看現有的應用程式容器迴圈存取豁免
CheckNetIsolation.exe LoopbackExempt -s

這個命令只會列出現有豁免，不會自動解除所有應用程式的限制。若要新增豁免，請先使用 Get-AppxPackage 確認目標應用程式的套件系列名稱，再依工具說明精確操作。只處理受影響的應用程式，不要把「全部豁免」當成通用最佳化。

若使用 TUN 仍然失敗，請查看用戶端是否出現該應用程式的連線。完全沒有連線時，優先檢查流量接管路徑；若已有連線，但收到驗證或地區錯誤，則應進一步檢查帳戶、出口和服務需求，不要再簡單歸因於迴圈存取限制。

防火牆排查：維持防護，只調整必要規則

一般的本機代理會監聽 127.0.0.1，不需要為了連上網際網路而將混合連接埠開放給整個區域網路。只有確實需要其他裝置連接本機代理時，才考慮「允許區域網路連線」、監聽位址與輸入規則，並限制來源網路。

按 Win + R，輸入 wf.msc 開啟「進階安全性 Windows Defender 防火牆」。先檢查「輸出規則」中是否有封鎖目前用戶端或核心的規則，再查看安全軟體的攔截記錄。Windows 的常見預設政策允許輸出連線，但由組織管理的電腦可能採用不同政策，請聯絡管理員處理。

若出現「允許此應用程式通過防火牆」提示，不要不加判斷地勾選所有網路類型。應依實際用途授權；在本機使用代理，不代表需要在公共 Wi-Fi 上允許其他裝置連入。也不要為了解決一般網頁瀏覽問題而開放核心控制介面。

完成後的驗證與退出後恢復網路

安裝完成後，依固定順序驗收，比只看系統匣圖示更可靠。建議先保留一個已知可用的節點和一種流量接管方式，確認穩定後再加入複雜規則或其他覆寫設定。

1. 確認設定：已選取目前的訂閱；核心記錄沒有持續報錯；策略群組沒有誤選直連或拒絕。
2. 確認流量：開啟預期會經過代理的目標，在「連線」頁面確認規則和策略鏈。查詢出口 IP 只能作為輔助，因為查詢請求本身也可能命中直連規則。
3. 確認應用程式：分別測試瀏覽器和先前無法使用的應用程式，不要因為瀏覽器正常就認定全部通過。
4. 確認退出：先關閉系統代理和 TUN，再正常結束用戶端，確認一般網路連線已恢復。

用戶端已結束，Windows 仍指向本機代理

用戶端異常結束後，如果 Windows 仍保留 127.0.0.1 代理設定，而對應連接埠已停止監聽，遵循系統代理的應用程式就會發生錯誤。開啟 Windows「設定」→「網路和網際網路」→「代理」，檢查「手動設定代理」中的「使用代理伺服器」。確認該位址確實屬於已結束的用戶端後再關閉；企業要求使用的代理或設定指令碼，請勿自行刪除。

如果只有 TUN 結束後出現異常，請重新啟動用戶端並正常關閉 TUN，再檢查虛擬網卡和路由是否已恢復。不要直接大量刪除網卡、清空路由表或重設所有網路設定，這些操作可能影響其他 VPN 和企業網路。

若要繼續調整欄位，可參閱YAML 設定手冊。先讓最精簡的設定和單一流量接管方式正常運作，再逐步還原自訂 DNS、分流規則及其他網路工具，通常比一次開啟所有選項更容易找出問題。