主流科学上网客户端配置与订阅导入速查（Windows / macOS / iOS / Android）

核心结论与 Answer Block#

系统代理与 TUN 模式的区别是什么？何时必须开启 TUN 模式？ 系统代理仅是向操作系统注册一个 HTTP/SOCKS 端口，只有自愿读取该配置的应用（如浏览器）才会走代理，终端命令行（CMD/PowerShell/Git）、游戏客户端及大部分后台服务默认忽略系统代理。当需要让命令行开发工具、无代理设置选项的桌面应用或外服游戏全局走节点，或者为了彻底防止 DNS 泄漏引发 ChatGPT / Netflix 风控时，必须开启 TUN 模式。

1. 安装与初始化#

1. 从官方 GitHub 仓库下载最新的 .exe 安装包（推荐下载 x64-setup.exe）。如需下载链接与历史归档，可访问本站 全平台科学上网客户端与规则导航 与 在线工具与资源导航。
2. 双击安装并启动程序。首次运行时，建议在左侧“设置（Settings）”中将语言切换为“简体中文”。

2. 导入与激活机场订阅链接#

1. 登录你的机场后台，复制 Clash / Clash Meta 格式 的订阅链接。
2. 打开 Clash Verge Rev，点击左侧菜单栏的 “订阅（Profiles）”。
3. 在顶部输入框粘贴订阅 URL，点击右侧的 “导入（Import）” 按钮。
4. 导入成功后，列表中会出现该机场的配置卡片。右键点击卡片，选择“使用（Use）”将其设为激活状态。
5. 设置自动定时更新：右键点击卡片选择“编辑（Edit）”，设置更新间隔为 1440 分钟（24 小时），确保节点列表与最新域名分流规则自动同步。

3. 分流模式选择与启动系统代理#

1. 点击左侧 “代理（Proxies）” 页面。在顶部模式切换栏中，有三种模式：
   • 规则模式（Rule - 强烈推荐）：根据预设规则，自动识别国内与海外流量。国内域名与 IP 直连，海外受限网站走代理，两不耽误。
   • 全局模式（Global）：所有流量强制走所选节点。仅在规则分流失效或排查特定网络时临时使用。
   • 直连模式（Direct）：所有流量不走代理，相当于关闭软件。
2. 展开节点策略组，根据测速延迟选择一个低延迟节点（如香港 IPLC 专线或日本高速节点）。
3. 返回主界面或任务栏托盘，打开 “系统代理（System Proxy）” 开关，此时浏览器即可正常访问海外互联网。

4. 进阶核心：开启 TUN 模式与服务模式#

要让整机所有非浏览器软件（如 Git、Telegram、Steam 游戏）均享受代理分流，需开启 TUN 虚拟网卡：

1. 进入左侧 “设置” 页面。
2. 找到 “服务模式（Service Mode）”，点击右侧安装按钮。系统会弹出 UAC 管理员提权弹窗，点击“是”。安装成功后服务模式右侧图标会变为激活状态。
3. 找到 “TUN 模式（TUN Mode）”，开启右侧开关。此时 Windows 网络连接中会自动新增一张名为 Mihomo 或 Wintun 的虚拟网络适配器，实现整机网络流量的透明接管。

5. 解决 Windows 顽疾：解除 UWP 应用环回隔离（Loopback）#

Windows 系统出于安全考量，对应用商店（Microsoft Store）下载的现代应用（UWP 应用，如 Xbox、Minecraft、Netflix 客户端）实施了“网络隔离机制”，默认禁止 UWP 应用访问本地回环地址（127.0.0.1），导致这些应用在开启系统代理时提示断网。

解决方法：

• 方案 A（图形化一键操作）：在 Clash Verge Rev 的“设置”中，找到并点击 “Windows 工具 - 解除系统 UWP 环回隔离”，在弹出的窗口中勾选全部应用并点击“保存修改”。
• 方案 B（PowerShell 命令行一键解除全部 UWP 限制）：以管理员身份运行 PowerShell，执行以下命令：

  1
  Get-AppxPackage | ForEach-Object { CheckNetIsolation.exe LoopbackExempt -a -p="$($_.PackageFamilyName)" }

1. Clash Verge Rev for Mac 配置流程#

1. 下载对应芯片架构的安装包：
   • 搭载 Apple Silicon 芯片（M1/M2/M3/M4 系列）：下载 aarch64.dmg。
   • 搭载 Intel 芯片：下载 x64.dmg。
2. 将应用程序拖入 Applications 文件夹并打开。若 macOS 提示“无法打开，因为无法验证开发者”，前往系统“设置 $\to$ 隐私与安全性”，点击“仍要打开”。
3. 导入订阅：与 Windows 端一致，在 Profiles 界面粘贴订阅并激活。
4. 授予网络扩展权限：开启 TUN 模式时，macOS 会弹出系统提示“Clash Verge 想添加代理网卡配置”，点击“允许”并在系统设置中输入开机密码授权。

2. 高端专业之选：Surge for Mac 配置要点#

如果追求极限稳定性与原生性能，Surge for Mac 是苹果生态中最具统治力的网络开发调试与代理工具：

• 采用原生 Swift 开发，常驻内存仅数十兆。
• 具备业内最强大的 增强模式（Enhanced Mode），通过驱动级网络捕获接管系统网络流量，无需单独配置系统代理即可接管所有终端进程。
• 支持高度定制化的路由规则集与按应用名称精准分流。

1. 准备工作与订阅添加#

1. 在 App Store 中退出国区 Apple ID，登录一个美区、港区或日区已购 Shadowrocket 的账号，搜索下载。
2. 打开 Shadowrocket，点击首页右上角的 “+” 加号。
3. 点击第一项“类型（Type）”，在下拉列表中选择 “Subscribe”。
4. 在 “URL” 栏中粘贴机场后台提供的 Shadowrocket 专用订阅链接，在“备注”中填写机场名称。
5. 点击右上角“完成”。客户端会自动联网拉取订阅，首页即会展示全部线路列表。

2. 模式选择与安全连接#

1. 全局路由选择“配置（Config）”：位于首页中央，务必勾选“配置”模式（相当于规则分流）。切勿选择“代理”模式（全局代理）。
2. 节点测速与选择：点击“连通性测试”，列表中会以毫秒显示各节点的实际握手延迟。点击选中一个低延迟的专线节点。
3. 建立连接：打开顶部第一行的总连接开关。初次使用时，iOS 系统会弹窗提示“Shadowrocket 想要添加 VPN 配置”，点击“允许”并输入锁屏密码完成系统网络扩展（PacketTunnelProvider）的部署。

1. 订阅导入与分流配置#

1. 下载并安装最新版 Sing-box 或 CMFA。
2. 在“Profiles / 配置文件”菜单中，点击添加新配置，选择“从 URL 下载”。
3. 粘贴订阅链接并完成拉取。
4. 在设置中将路由模式设为“规则模式（Rule）”。

2. 关键系统优化：防止后台被系统省电机制杀进程#

国内手机厂商（小米 MIUI/HyperOS、华为 HarmonyOS、vivo OriginOS、OPPO ColorOS 等）的后台管理机制极其严苛，客户端常驻后台很容易被无情清理，导致网络瞬间断开。

必须完成的三项设置：

1. 自启动权限：在系统应用信息中，允许客户端开启“自启动”与“关联启动”。
2. 后台电池优化：进入“电池优化”设置，将客户端设置为 “无限制”（不要开启“智能限制后台运行”）。
3. 多任务卡片加锁：在系统的多任务切换后台，长按客户端卡片并点击“小锁”图标锁定后台。
4. 分应用代理（Per-App Proxy）：如果担心某些国产金融或政务 App 误走代理，可在客户端高级设置中启用“分应用代理”，勾选仅让海外浏览器、Twitter、YouTube、Telegram 等指定软件走代理通道，其余全部直连。

故障 1：电脑关机或软件崩溃后，开机打不开任何网页，提示“代理服务器拒绝连接”#

电脑开机后没有任何网络，浏览器提示“代理服务器未响应”，最核心原因是什么？如何修复？ 这是因为电脑在上次关机或重启前，代理软件尚未正常退出或发生闪崩，导致 Windows 注册表中的系统代理开关仍处于“开启（ProxyEnable=1）”状态，而本地代理核心已停止监听 7890 端口。 修复步骤：

1. 打开 Windows 设置 $\to$ “网络和 Internet” $\to$ “代理”。
2. 将“使用代理服务器”开关手动切换为 “关（Off）” 并保存。
3. 或在 PowerShell 中执行一键清理命令：

1
Set-ItemProperty -Path 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' -Name ProxyEnable -Value 0

故障 2：客户端启动提示“端口被占用（Port 7890 occupied）”#

• 诱因：旧版代理进程在后台僵死，或者 Clash 与其他软件（如 Fiddler、本地开发服务）冲突占用了默认的 7890 混合端口。
• 排查与释放命令： 打开管理员 CMD，执行：

  1
  netstat -ano | findstr 7890

  查看最后一列显示的 PID 进程号（例如 14280），然后强制终止该进程：

  1
  taskkill /F /PID 14280

故障 3：订阅更新提示“403 Forbidden”或“Invalid Base64 / 无法解析 YAML”#

• 诱因：机场防火墙拦截了带有特定 User-Agent 的请求，或者订阅链接中的流量已耗尽被服务商停机。
• 解决办法：
  1. 登录机场官网确认套餐与账户余额是否正常。
  2. 在客户端订阅设置中，修改“User-Agent”为 clash-verge/v1.7.0 或 ClashMeta。
  3. 若格式不兼容，可通过本站 全平台科学上网客户端与规则导航 介绍的 Sub-Store 订阅聚合转换工具，将原始节点链接无损转换为原生 Mihomo / Sing-box 标准格式。

故障 4：客户端显示连通正常、Google 秒开，但打开 ChatGPT 报 1020 或 Netflix 仅能看自制剧#

• 诱因：此类问题与客户端软件本身无关，而是当前节点的出口 IP 纯净度不达标、触发了平台反作弊风控，或者本地发生了 DNS 泄漏。
• 专项解决方案：详细排查决策树、双 ISP 原生节点验证与专用策略组配置代码，请跳转阅读本站专项指南：ChatGPT 与海外流媒体（Netflix/Disney+/YouTube 4K）解锁节点常见报错与解决方案。

Q1：老旧的 Clash for Windows (CFW) 还能继续使用吗？为什么要换 Clash Verge Rev？#

答：不推荐继续使用。Clash for Windows 的开发者已在 2023 年底停止维护并删除仓库，其内置的 Clash 内核不再支持诸如 VLESS、Reality 等新一代抗封锁协议，也无法修补潜在的系统安全漏洞。现代的 Clash Verge Rev 采用开源且活跃维护的 Mihomo 核心，完美兼容新协议，且对 Windows 11 Fluent 界面和 TUN 模式具有原生优化。

Q2：为什么开启 TUN 模式后，电脑风扇狂转或部分局域网打印机搜不到？#

答：

• CPU 负载：如果启用了高强度的加密算法或日志级别设为了 debug，密集流量会导致解包负载增加。在设置中将日志级别调至 info 或 silent 即可平复。
• 局域网设备断联：在 TUN 模式配置中，必须确保开启了“绕过局域网（Bypass Private / LAN Networks）”选项，将 192.168.0.0/16、10.0.0.0/8 等内网私网地址直接放行，避免内网打印机和 NAS 流量被卷入虚拟网卡。

Q3：规则模式（Rule）下访问百度、淘宝，会消耗机场的订阅流量吗？#

答：绝对不会。规则模式的核心原理就是“精准分流”。当你的请求目标是国内域名（在 ChinaMax 域名列表中）或国内 IP（在 GeoIP: CN 数据库中）时，客户端会直接将数据包交由本地宽带网卡直连发出，完全不经过海外代理服务器，因此既不会产生额外延迟，也绝不会消耗任何机场套餐流量。

Q4：为什么手机开了热点给电脑用，电脑端无法直接走手机上的代理？#

答：手机上的 VPN/代理扩展默认只接管手机自身安装的应用流量，并不会自动将网络共享接口（Hotspot AP）的转发流量纳入代理隧道。如果需要让热点设备共享代理，必须在手机客户端中开启“允许来自局域网的连接（Allow LAN）”，并在电脑网络设置中手动将代理服务器 IP 指向手机的局域网 IP（如 192.168.43.1:7890）。

Q5：专线节点在客户端中点击“延迟测试”只有 20ms，看 4K 依然卡顿是为什么？#

答：客户端中的测速按钮通常只是向目标服务器发送了一个轻量级的 TCP Ping 或 HTTP HEAD 握手包，它反映的只是单次握手的往返时延（RTT），并不等同于持续的大流量带宽吞吐能力。如果遇到白天延迟极低、晚高峰卡顿严重的情况，往往是因为服务商使用了普通公网中转而非真正的端到端物理专线，详细原理可参阅本站 IPLC 与 IEPL 专线深度科普。

Q6：多个机场的订阅可以同时导入到一个客户端里吗？#

答：完全可以。通过客户端的订阅聚合功能，或者配合 Sub-Store 工具，你可以同时导入多家服务商的订阅。在节点选择列表中，各家服务商的节点会并列呈现，你可以将主力专线机场设为主力，同时将便宜的按量付费机场作为紧急灾备节点，实现无缝切换。