Clash for Windows 连接失败怎么办？按现象排查代理、节点与 TUN
简答：Clash for Windows 连接失败时，先关闭 System Proxy，确认 Windows 本机网络正常；随后按“本地代理端口 → 节点 → 订阅 → 日志 → TUN/防火墙”的顺序排查。常见端口 127.0.0.1:7890 只是示例，必须以 General 页面实际显示值为准。本站是第三方使用指南，不是 Clash for Windows 官方站。
定义：Clash for Windows 连接失败，通常是客户端没有正确接管系统代理、当前节点不可用、订阅配置未更新、DNS/TUN 冲突，或 Windows 防火墙阻止核心程序通信。
先做 3 分钟分流：不要先重装
先退出浏览器中额外安装的代理扩展，并在 Clash for Windows 的 General 页面关闭 System Proxy。如果关闭后普通网页仍打不开，先处理 Windows 本机网络、Wi-Fi、网卡或 DNS；如果关闭后本机正常，而开启后才断网，重点检查本地代理端口、模式、节点和订阅。
| 你看到的现象 | 先检查的位置 | 第一步动作 |
|---|---|---|
| 所有网站都打不开 | General、Windows 代理、防火墙 | 关闭 System Proxy，确认本机直连是否正常，再核对代理地址和端口 |
| 只有某个网站打不开 | Proxies、模式、Logs | 切换另一个节点，查看该请求是否命中代理或被目标站点拒绝 |
| 所有节点都是超时 | Profiles、节点、系统时间和网络 | 先更新配置，再测试多个节点；不要只凭一个节点判断客户端故障 |
| 订阅更新失败 | Profiles | 检查链接是否过期、返回内容是否为空、配置格式是否能被当前版本解析 |
| 软件无法启动或核心失败 | Windows 安全中心、安装目录、日志 | 检查是否被安全软件拦截，不要从来路不明的安装包重新覆盖安装 |
| 开启 TUN 后断网 | Service Mode、TUN Mode、防火墙 | 先关闭 TUN 恢复连接，再按权限、虚拟网卡和核心程序放行顺序排查 |
检查 General：代理模式、端口和 Windows 手动代理
打开 Clash for Windows 的 General 页面，记录当前显示的 HTTP、SOCKS 或混合端口。历史设置文档说明，System Proxy 用于设置 Windows 系统代理，代理主机默认可能是 127.0.0.1，但端口会随配置变化，不能直接假定为 7890。可参考历史设置文档核对字段含义。
- 在 General 中确认 Clash 核心已运行，并记下实际端口。
- 点击 System Proxy 关闭，再重新开启一次；观察 Windows 代理是否随之变化。
- 打开“设置 → 网络和 Internet → 代理”，检查“手动设置代理”是否指向当前地址和端口。
- 如果手动代理仍指向旧端口，关闭“使用代理服务器”或改成 General 页面显示的值，然后保存。
Windows 的应用代理并不一定等同于 WinHTTP 代理。若命令行、更新程序或某个后台程序不走 Clash，可在管理员命令提示符中查看：
netsh winhttp show proxy
如确认存在不需要的 WinHTTP 代理，可执行：
netsh winhttp reset proxy
Microsoft 文档说明，netsh winhttp 用于查看、设置或重置 WinHTTP 代理；这不会替代 Clash 的 System Proxy 设置，二者需要分别核对。详见Microsoft 的 netsh winhttp 文档。
检查 Proxies：先测节点，再判断是节点问题还是客户端问题
进入 Proxies，先确认策略组中确实选中了一个节点，再执行延迟测试或切换多个节点。某个节点超时，只能说明该节点、线路或当前网络路径存在问题，不能直接证明整个客户端失效。
- 先选择一个节点，等待连接状态更新。
- 再切换第二、第三个节点，观察是否全部出现超时。
- 如果只有一个节点失败，暂时使用其他节点，并记录失败节点名称和日志关键词。
- 如果所有节点都失败，转到 Profiles 更新订阅，并检查本机时间、网络和防火墙。
模式方面，可暂时用 Global 做单一变量测试；如果 Global 能访问而 Rule 不能，问题更可能在规则、策略组或域名匹配；如果 Direct 能访问普通网站而代理节点全部失败，重点转向节点、订阅或出口路径。测试完成后应恢复适合自己的模式，避免长期保持不必要的全局代理。
Profiles 订阅更新失败：超时、空内容和 YAML 解析错误分开处理
进入 Profiles，对对应配置执行更新。历史文档将 Profiles 用于下载远端配置文件和切换本地配置；如果更新失败，不要反复粘贴完整订阅链接到公开求助帖，因为订阅 URL 中的 token 通常承担识别账户或授权获取配置的作用，泄露后可能被他人使用。具体重置方式应以订阅服务商官方说明为准。
| 现象 | 可能位置 | 可执行处理 |
|---|---|---|
| 下载超时 | 网络、当前代理、远端服务 | 先关闭 System Proxy 测试普通网络，再开启代理后重试；必要时切换节点 |
| 返回内容为空 | 订阅链接、权限或服务端返回 | 确认链接未被截断、未多出空格，并在服务商后台重新复制；不要公开链接内容 |
| YAML 或配置解析失败 | 返回格式、旧核心兼容性 | 保存错误提示，确认返回的是配置文本而不是登录页、错误页或 HTML |
| 更新后节点消失 | 配置文件、策略组或解析规则 | 切换回此前可用的本地配置，保留错误时间和日志，避免覆盖唯一可用配置 |
看 Logs：用关键词决定下一步，不要凭感觉重装
进入 Logs，把报错发生的时间、目标域名和关键词记下来；日志中的具体文字以你的版本实际显示为准，下面是诊断方向，不是固定报错原文。
- connection refused：通常先检查本地端口是否有程序监听、端口是否填错，以及核心是否启动。
- connect timeout：切换节点并测试多个节点；若全部超时，再检查本机网络、防火墙和订阅。
- DNS resolve error：检查 DNS、规则和 TUN 是否同时接管；先关闭 TUN 做对照测试。
- parse config 或 YAML 错误：重点检查订阅返回内容是否为空、被截断或不是兼容的配置格式。
- failed to clash core：检查核心文件是否被安全软件隔离、安装目录权限是否异常，以及配置是否损坏。
- TUN interface 启动失败：关闭 TUN，确认 Service Mode、管理员权限、虚拟网卡和防火墙规则。
建议每次只改一个变量：先换节点，再改模式，再处理系统代理或 TUN。这样才能知道是哪一步恢复了连接。
Windows 防火墙放行：核对 CFW 和核心程序，不要直接关闭防火墙
如果 System Proxy 能打开但连接仍失败，尤其是启用 TUN 后失败，可检查 Windows 防火墙。微软建议优先将需要通信的应用加入允许列表，而不是直接关闭防火墙；专用网络通常用于可信的家庭或办公网络，公用网络用于咖啡店等不可信网络，公用网络的安全限制通常更严格。来源见Microsoft 防火墙和网络保护说明。
- 打开“Windows 安全中心”。
- 进入“防火墙和网络保护”。
- 点击“允许应用通过防火墙”。
- 点击“更改设置”，检查 Clash for Windows 和 Clash 核心程序是否存在。
- 在当前实际使用的网络类型下勾选允许；家庭或可信办公网络通常对应“专用”，公共 Wi-Fi 通常对应“公用”。
- 如果列表中没有核心程序，先确认安装路径，再使用“允许其他应用”添加可信的核心程序文件。
不要把来源不明的可执行文件加入允许列表，也不要为了测试长期关闭防火墙。微软明确提醒，允许应用或开放端口都会增加风险，其中直接开放端口通常比允许单个应用更宽泛。可参考Microsoft 关于允许应用通过防火墙风险的说明。
TUN 启动失败：先做对照测试，再处理 Service Mode
如果不开 TUN 时 System Proxy 可以正常使用，而开启 TUN 后断网，先关闭 TUN，确认故障确实由 TUN 路径触发。历史 CFW 设置资料显示，Windows 下启用 TUN 通常需要先在 General 中安装 Service Mode，再开启 TUN Mode；使用 system TUN stack 时还需要允许 Clash 核心通过防火墙，具体步骤可参考历史 TUN 模式文档。
- 打开 General，找到 Service Mode，点击 Manage。
- 按系统提示完成安装；如果应用没有自动重启，手动退出并重新打开。
- 确认 Service Mode 状态已显示为可用，再开启 TUN Mode。
- 若仍失败，检查 Windows 是否有其他 VPN、虚拟网卡、加速器或安全软件同时接管网络。
- 暂时只保留一种接管方式：先使用 System Proxy，确认可用后再单独测试 TUN。
浏览器开启安全 DNS、其他代理扩展或企业网络策略，也可能让 TUN 的 DNS 接管结果与预期不同。无法确认具体原因时，优先保留 Logs 中的错误时间和关键词，不要公开完整订阅链接。
Clash for Windows 已停止维护：什么时候应该考虑迁移
截至 2026 年 10 月 19 日，公开的 Flathub 项目记录已将 Clash for Windows 标记为 EOL，并显示相关仓库已归档为只读；其应用元数据记录的最后版本为 0.20.39，日期为 2023 年 10 月 20 日。这里引用的是公开项目归档信息，不代表本站提供官方下载或推荐某个第三方安装包。可查看Flathub 的归档记录。
因此，遇到一次端口填错或节点超时，不必立即迁移；但出现以下情况时，可以把迁移列入计划：
- 新订阅格式或新核心特性无法被当前版本识别。
- Service Mode、TUN、DNS 或 Windows 更新后反复出现兼容问题。
- 只能从来源不明的网站获取安装包，无法核对发布者、校验值或文件来源。
- 当前客户端已经影响日常工作，而你又需要持续维护的客户端和明确的发布渠道。
迁移前先导出或记录节点、策略组、规则和 DNS 设置；不要直接运行来源不明的“修复版”“增强版”安装包。迁移到其他客户端时，应按新客户端的官方文档重新导入配置，并逐项验证 System Proxy、DNS、TUN 和防火墙，不要假设字段名称或默认端口完全相同。
最后的自查顺序
- 关闭 System Proxy，确认 Windows 本机网络正常。
- 核对 General 中实际端口，并检查“设置 → 网络和 Internet → 代理”。
- 在 Proxies 中切换多个节点，区分单节点故障和全局故障。
- 在 Profiles 中更新订阅，区分超时、空内容和配置解析错误。
- 在 Logs 中记录关键词和发生时间。
- 按“Windows 安全中心 → 防火墙和网络保护 → 允许应用通过防火墙”核对客户端和核心程序。
- 最后再单独测试 Service Mode 和 TUN，避免多个网络接管组件同时运行。
如果按上述顺序仍无法定位，求助时只提供脱敏后的错误关键词、客户端界面版本信息和复现步骤，不要粘贴完整订阅 URL、访问令牌或个人网络信息。
常见问题
Clash for Windows 连接失败，先开 System Proxy 还是先换节点？
先关闭 System Proxy，确认 Windows 本机网络正常；然后核对 General 中实际端口，再到 Proxies 切换多个节点。这样可以先排除系统代理配置错误，再判断节点是否全部不可用。
为什么 Clash for Windows 显示连接失败，但浏览器关闭代理后可以上网？
这通常说明本机网络基本正常，问题集中在 Clash 的本地代理端口、System Proxy、节点、订阅或 TUN。依次核对 General 端口、Windows“设置 → 网络和 Internet → 代理”、Proxies 节点和 Logs 关键词。
订阅更新失败时，可以把完整订阅链接发到论坛求助吗？
不建议。订阅 URL 中可能包含用于识别或获取配置的 token，公开后可能被他人使用。求助时应只提供脱敏后的错误类型和时间；如果怀疑泄露，应按服务商官方说明重置订阅链接。
Clash for Windows 的 TUN 一开就断网怎么办？
先关闭 TUN，确认 System Proxy 是否可以正常工作；然后在 General 中检查 Service Mode，排查其他 VPN、虚拟网卡和安全软件冲突，并在 Windows 安全中心的防火墙允许列表中核对 Clash 核心程序。
Clash for Windows 已停止维护，还能继续使用吗？
已安装且配置稳定时，可以先用于定位当前故障；但公开项目记录已标记为 EOL，若遇到新系统兼容、订阅格式或 TUN/DNS 问题反复出现，应考虑迁移到有明确维护渠道的客户端，并避免从来源不明的网站下载所谓修复版。