Clash Verge Rev安装到首次启动：前提、权限与完成检查 ​

一、答案与选型边界声明 ​

在网络代理工具的使用链条中，“从下载完成到第一次成功打开目标网站”是绝大多数新手用户遭遇挫折最密集、心理挫败感最强烈的阶段。根据梯子参考实验室的长期用户支持采样统计，超过 60% 的新人在首次配置时，并非卡在复杂的密码学原理上，而是卡在了一系列看似微小但致命的操作细节上：例如防火墙弹窗时随手点击了取消导致本地端口被静默拦截、订阅下载时因为网络抖动报出红字错误不知如何重试、误开了全局模式导致微信钉钉掉线、或者在开启虚拟网卡时因为权限不足导致整个系统网络协议栈瞬间瘫痪。

本指南存在的唯一目的，就是为所有准备使用 Clash Verge Rev 的用户，建立一套确定性极高、零试错成本、步骤高度可复现的标准作业程序（SOP）。只要您严格按照本指南规划的六大核心阶段按图索骥，无论您此前是否具备网络工程知识，都能在 15 分钟内顺利建立起一套长期免维护、对本地系统零污染的高弹性网络环境。

1.1 明确适用对象与实施前置条件 ​

本教程的操作规范适用于满足以下环境条件的终端设备：

第一，操作系统版本基准：

• Windows 用户：运行 Windows 10（1809 及以上大版本）或全系列 Windows 11；当前登录账户拥有本地管理员权限（即右键菜单能够看到“以管理员身份运行”并能成功通过 UAC 弹窗提权）。
• macOS 用户：运行 macOS Monterey (12.0) 及更高版本系统；知晓当前 Mac 的开机解锁管理员密码。
• Linux 用户：运行基于 systemd 的主流发行版（如 Ubuntu 20.04+、Debian 11+、Fedora 36+ 等），具备 sudo 提权指令执行权限。

第二，网络资料与资产准备：

• 已经按照本站上一专题（/clients/verge-rev-official-release/）的指导，从官方 Release 页面下载了与自己机器架构完全匹配的安装包，并通过了 SHA256 完整性哈希校验。
• 已经从合规网络服务商的用户后台获取了完整的通用订阅链接（通常以 https:// 开头，链接内包含用于节点鉴权的加密 Token）。

1.2 严格的操作边界与免责声明 ​

在开始动手之前，我们在此明确以下安全与职责边界：

首先，本指南以开源社区原版功能为准，不指导使用任何针对 Clash Verge Rev 进行逆向反编译或内嵌广告脚本的修改版客户端。使用非官方修改版产生的配置泄露或系统不稳定，不在本指南排障覆盖范围之内。

其次，本教程强调“最小权限与可逆验证”原则。在教程推进过程中，凡是涉及需要向操作系统申请核心驱动权限或修改系统网络路由表的高级操作，本指南均会提供明确的验证方法与反向还原撤销步骤。严禁在未理解原理的前提下随意修改底层的内核高级参数。

二、概念定义与核心调度实体剖析 ​

在动手点击界面之前，必须花三分钟时间建立起对 Clash Verge Rev 内部关键术语的心智模型。只有理解了这些按钮背后代表的网络实体，您才能在日常使用中游刃有余地进行调度。

2.1 核心分流三大模式的物理本质区别 ​

在 Clash Verge Rev 主界面顶部的最显眼位置，永远存在三个互斥的单选按钮：Rule（规则）、Global（全局）与Direct（直连）。理解它们的物理分流路径至关重要：

[发起网络请求 (目标: baidu.com 或 google.com)]
                 ↓
      [当前选择的分流模式判断]
    ┌────────────┼────────────┐
    ↓            ↓            ↓
[Rule 规则模式] [Global 全局] [Direct 直连]
    ↓            ↓            ↓
查阅本地规则集  强制全走代理  强制全走物理网卡
 ┌──┴──┐         ↓            ↓
国内  海外    远端海外节点  本地物理宽带
 ↓     ↓         ↓            ↓
直连  代理     目标网站     目标网站

1. Rule（规则分流模式，日常使用的唯一正确推荐）： 在规则模式下，客户端扮演着极其聪明的“智能网络分流交警”。当您的计算机发出任何网络连接请求时，代理核心会瞬间提取出目标网址的域名（Domain）、目标服务器的 IP 地址、以及目标进程的名称，并在内置的上万条分流规则中进行毫秒级的顺序比对：
   • 目标是百度、淘宝、知乎、腾讯视频或属于中国大陆的 IP？—— 判定命中 GEOIP, CN 或内置国内直连名单，数据包完全不走代理，直接通过您本地物理网卡发出，速度拉满且完全不消耗您的套餐流量；
   • 目标是 Google、GitHub、维基百科或国外服务器？—— 判定命中代理名单，数据包送入加密隧道发往远端服务器完成访问。
2. Global（全局代理模式，除极端测试外坚决不要使用）： 在全局模式下，核心彻底关闭了所有智能规则判定。您的电脑产生的所有网络流量（包括微信打字、QQ 发图、在线网银支付甚至局域网传输），全部被毫无差别地强行打包扔给远端的海外节点。这不仅会导致您看国内视频变得奇慢无比、瞬间耗尽昂贵的境外流量套餐，更会直接触发境内各大软件的风控系统报警。全局模式唯一的合理用途，是在遇到特定疑难杂症时，用于临时测试某个节点本身物理链路是否彻底通畅。
3. Direct（全局直连模式）： 在直连模式下，所有流量被强制绕过所有节点，直接由本地网络发出，相当于临时完全关闭了代理功能。通常用于在不退出软件界面的情况下，快速验证本地原生网络是否依然完好。

2.2 策略组（Proxy Groups）的技术含义与调度机制 ​

在导入订阅后，点击进入“代理（Proxies）”面板，用户通常会看到诸如 PROXY、AUTO、FALLBACK、节点选择、国外媒体、漏网之鱼 等层层嵌套的卡片。这些卡片在技术规范中被称为策略组（Proxy Groups）。

策略组的本质是一个节点的逻辑调度容器。它定义了当某一条分流规则被触发后，流量应该按照什么样的策略派发给具体的底层节点：

• Selector（手动选择组）：最直观的模式。允许用户在组内的几十个节点中，用鼠标手动勾选某一个具体的节点（例如“香港 01”）。只要用户不手动更改，所有分配给该策略组的规则将永远固定通过该节点发出。
• URL-Test（自动测速优选组，通常标为 AUTO）：核心会在后台按照设定的时间间隔（例如每隔 10 分钟），静默向 Google 或 Cloudflare 的测试接口发送一个极小的探测包，自动测量组内所有节点的往返延迟，并自动将流量切换至当前物理延迟最低的节点。
• Fallback（故障转移容灾组）：按照列表自上而下的顺序，永远优先使用排在第一位的节点；当且仅当第一位节点发生物理故障、彻底无法连接时，核心才会在毫秒级内自动将连接平滑顺延给列表中的第二个备用节点。一旦首选节点恢复健康，流量又会自动切回。这是追求极端业务连续性的高级用户最钟爱的策略形式。

2.3 代理客户端与操作系统网络栈交互的双重架构 ​

Clash Verge Rev 接管流量的技术实现分为两个完全不同的物理层级：系统代理（System Proxy）与TUN 模式（Virtual Network Adapter）。

系统代理（四层应用层端口转发） ​

这是最轻量、最安全的接入方式。开启后，软件在操作系统设置中写入 127.0.0.1:7890 的 HTTP/SOCKS 代理地址。现代主流浏览器（Chrome、Edge、Safari）会自动读取该设置并将流量送入客户端。此模式不向系统加载任何内核驱动，不破坏网络底层结构，退出即彻底复原，是初次上手时的首选调试基准。

TUN 模式与 Service Mode 服务模式（三层网络层全局接管） ​

对于需要接管终端命令行（CMD / PowerShell / Bash）、Python 开发环境、在线网络游戏或不支持系统代理设置的老旧软件，必须使用 TUN 模式。

• 在 Windows 平台上，由于普通进程无权在系统底层注册网络接口，Clash Verge Rev 引入了 Service Mode（服务模式）。
• 服务模式会在 Windows 后台注册一个名为 clash_verge_service 的本地系统服务，以最高的 LocalSystem 权限常驻后台。
• 当用户在图形界面上点击开启 TUN 模式时，客户端主界面通过本地命名管道（Named Pipe）向后台服务发送指令，由该高权限服务调用 wintun.dll 驱动动态创建虚拟网卡并接管操作系统默认路由表。理解这一架构，有助于用户在 TUN 启动失败时，准确判断到底是前端界面通信故障，还是后台服务提权失败。

三、端到端安装与配置完整决策树 ​

为了确保不同操作系统的用户在面对各种权限弹窗与选项时能够做出唯一正确的操作，以下决策树提供了无死角的端到端执行路线：

四、核心参数大表与可量化指标解读 ​

在配置客户端的各项设置时，许多初学者往往对各项技术参数的取值感到困惑。以下参数大表系统化整理了 Clash Verge Rev 内部关键运行参数的官方默认值、推荐生产值以及修改该参数所带来的技术影响，供用户调优时对照参考：

4.1 参数大表关键字段与核心调优策略解读 ​

1. 混合端口（Mixed Port）与传统分离端口的区别： 在早期的网络工具中，HTTP 代理端口（通常为 7890）与 SOCKS5 代理端口（通常为 7891）是严格分立的。用户在配置不同应用程序时，经常需要反复核对目标程序究竟支持哪种协议。现代 Mihomo 核心采用了高度集成的**混合端口（Mixed Port）**技术：客户端仅对外开放一个标准的 7890 端口，当应用程序建立连接时，核心会通过前导握手字节自动嗅探该请求是 HTTP CONNECT 还是 SOCKS5 握手，并自适应进行协议应答。这极大地简化了用户的配置负担。
2. TUN 堆栈模式（Stack Mode）的三大流派：System、gVisor 与 Mixed： 当开启 TUN 模式时，虚拟网卡抓取到的是原始的三层 IP 数据包。为了与上层的应用程序进行通信，核心必须在用户态重新实现一套完整的 TCP/IP 协议栈，这就是堆栈模式：
   • System 堆栈：直接调用操作系统内核的原生网络栈逻辑。在 Windows 上吞吐量极高，但对特定复杂路由和异常状态包的容错度稍逊。
   • gVisor 堆栈：由 Google 开源的用户态网络协议栈。其完全在用户空间运行，拥有极高的安全性与隔离性，对异常报文的容错能力极佳，但在超大吞吐量持续下载时对 CPU 和内存的消耗相对较高。
   • Mixed 混合堆栈：目前社区广泛推荐的最佳折中方案。它将 TCP 流量交由高效的原生通道调度，而将容易丢包和结构复杂的 UDP 流量交由高韧性的用户态引擎处理，既保证了看视频跑满带宽的高吞吐，又兼顾了游戏和实时通话的抗网络抖动能力。

五、从解压到首连跑通的标准化六步实操流程 ​

接下来，我们以一套绝不漏掉任何关键弹窗的标准实操工作流，带您一步步完成全流程配置：

步骤一：创建纯英文专属工作目录并解压 ​

1. 严禁在系统临时目录或带空格中文目录下解压：
   • 打开您的电脑磁盘分区（例如 D: 盘）；
   • 新建一个全英文、无空格的目录，例如命名为 D:\Network\ClashVerge\；
   • 将下载的便携压缩包（如 Clash.Verge_1.7.7_x64-portable.zip）内的全部内容，完整解压到该目录中。
2. 确认文件树结构的完整性：
   • 解压完成后，进入该文件夹，确认包含以下几个关键实体：
     • Clash Verge.exe（主程序）
     • resources 文件夹（内含核心与 Webview 静态资源）
     • 相关动态库支持文件

步骤二：首次运行与操作系统权限授信 ​

1. 以管理员身份完成首发引导：
   • 鼠标右键点击 Clash Verge.exe，选择**“以管理员身份运行”**；
   • 系统弹出 UAC 提权弹窗，点击“是”。
2. 处置 Windows Defender 防火墙拦截弹窗（致命关键点！）：
   • 首次启动时，Windows 防火墙会弹出一个显性的安全报警对话框，提示“Windows Defender 防火墙已阻止此应用的部分功能”。
   • 请务必停下手中的动作，仔细核对两个复选框：
     • 必须勾选专用网络（例如家庭或工作网络）；
     • 必须勾选公用网络（例如机场、咖啡店等）。
   • 点击“允许访问（Allow access）”。如果您在此处误点了“取消”，Windows 防火墙就会在底层将客户端的核心监听端口永久封锁，后续会导致任何应用程序都无法将流量送入客户端！

步骤三：导入订阅链接与首轮节点同步 ​

1. 进入订阅管理面板：
   • 在客户端主界面左侧导航栏中，点击进入**“订阅（Profiles）”**；
   • 在右侧顶部的输入框中，将从正规服务商后台复制的订阅 URL 粘贴进去。
2. 执行下载与格式解析：
   • 点击输入框右侧的**“保存并下载（Save & Import）”**按钮；
   • 界面上方会短暂滑过一个下载进度条，正常情况下，2 到 5 秒内便会提示“下载成功”，并在下方生成一个带有服务商名称的配置卡片；
   • 如果卡片右侧出现黄色或红色叹号，点击卡片右上角的三点菜单，选择“编辑（Edit）”，检查 URL 是否包含不可见的非法空格，修改 User-Agent 为 clash.meta 后重新尝试刷新。
3. 激活目标配置文件：
   • 鼠标左键单击该配置卡片，卡片周围会出现明显的选中高亮框（通常为蓝色或加粗边框），表明该配置已经作为当前系统正在调度的活跃主配置。

步骤四：核对核心分流模式并精选物理节点 ​

1. 核验顶部模式单选框：
   • 观察主界面顶部的模式切换区，确认当前处于选中的是 Rule（规则） 单选按钮；
   • 坚决不要在日常状态下点击 Global。
2. 手动精选测试节点：
   • 点击左侧导航栏的**“代理（Proxies）”**面板；
   • 在展开的策略组中，通常会看到一个名为 PROXY 或 节点选择 的顶层策略组；
   • 在其下属展开的数十个节点卡片中，先点击右上角的“闪电”测速图标，执行一次全员物理延迟探测；
   • 在列表中挑选一个标称延迟较低（例如绿色数字显示 35ms 至 65ms 之间）的香港（HK）或日本（JP）优质节点，鼠标单击选中它。

步骤五：开启系统代理并完成业务验收四步曲 ​

现在我们进入最重要的业务交付验证环节：

1. 唤醒系统代理开关：
   • 在软件主界面左下角或常规面板中，找到**“系统代理（System Proxy）”开关，将其拨动至开启（ON）**状态；
   • 观察电脑屏幕右下角任务栏的系统托盘图标，客户端图标应当变为明亮的工作态颜色。
2. 第一步验收：公网出口归属地核验：
   • 打开浏览器，进入一个全新的隐私无痕窗口，在地址栏输入权威的公网 IP 诊断地址；
   • 页面应当秒级返回一个境外的公网 IP 地址，且地理归属地必须与您在第四步中所选的海外节点（如 Hong Kong 或 Tokyo）完全一致！
3. 第二步验收：国内网站直连秒开与免代理验证：
   • 紧接着在浏览器中打开国内主流门户网站（如百度或新华网）；
   • 页面应当如同平时一样秒级渲染打开；在百度搜索框输入“IP”，搜索结果显示的必须是您本地真实的物理宽带归属地（例如上海电信、广东移动等）。这标志着规则分流完美生效，国内请求 100% 绕过了代理。
4. 第三步验收：目标海外网站深度交互验收：
   • 访问您日常的核心工作目标网站（例如登录 Google 账号、搜索技术文档、打开维基百科或调用大模型界面）；
   • 确认文字加载流畅、图片完整展示、无持续的白屏等待或安全证书报错。

步骤六：可逆退出测试与系统网络恢复验收 ​

任何一套合格的系统配置，必须做到“挥之即来，去之即退”：

1. 执行标准关停操作：
   • 在客户端主界面上，将“系统代理”开关拨回**关闭（OFF）**状态；
   • 鼠标右键点击系统托盘的客户端图标，选择“退出（Quit）”。
2. 物理验证操作系统网络自愈能力：
   • 退出软件后，立即在浏览器中刷新刚刚打开的国内网页；
   • 如果国内网页能够丝滑顺畅地继续刷新浏览，恭喜您！这证明客户端在退出时已经完整、干净地清理了所有写入系统注册表的代理配置，您的电脑拥有了一套极其健康且随时可用的网络环境。

六、底层机制、官方证据与技术局限 ​

理解客户端在操作系统底层的实际接管逻辑，有助于用户在遭遇复杂环境时从原理出发定位故障。

6.1 Windows 注册表 API 与 WinINet 动态通知机制 ​

当您在 Clash Verge Rev 主界面点击开启或关闭“系统代理”时，软件在 Windows 底层实际上调用了微软原生的 WinINet（Windows Internet）API 接口中的 InternetSetOption 函数。

该函数直接对 Windows 注册表执行了以下原子操作：

1. 向 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings 写入 ProxyEnable = 1；
2. 写入 ProxyServer = 127.0.0.1:7890；
3. 广播系统级设置变更通知（WM_SETTINGCHANGE）：这一步至关重要，WinINet 会向当前正在桌面上运行的所有窗口线程广播一个全局 Windows 消息，通知所有遵循系统设置的应用程序（如浏览器）“代理配置已更新，请立即重新读取注册表”。 正规客户端之所以退出时非常平稳，正是因为其在退出钩子（Exit Hook）函数中，严格调用了这一 API 将 ProxyEnable 还原为 0 并再次发送全局广播。如果用户直接使用任务管理器“强制结束任务（End Task）”暴力杀死客户端进程，软件来不及执行退出钩子，注册表就会被锁定在开启状态，从而造成前文所描述的断网故障。

6.2 规则分流引擎的 Trie 树算法与域名匹配性能 ​

很多用户在查看配置文件时，发现规则集动辄包含三万到五万条复杂的域名与 IP 规则，常常担心这会不会让电脑变得极其卡顿？

答案是：在现代 Mihomo 核心面前，这几万条规则的判定耗时几乎可以忽略不计（通常在几十微秒级别）。 这是因为 Mihomo 内部彻底放弃了低效的逐行线性文本正则比对，而是采用了计算机科学中经典的**双数组字典树（Double-Array Trie, DAT）**以及基于基数树（Radix Tree）的 CIDR 路由查找算法：

• 核心在初始化时，会将所有的域名规则（如 *.google.com、+.github.com）编译成一棵常驻内存的高效前缀树。
• 当一个网络请求到来时，核心将目标域名倒序切片，在字典树中进行指针寻址跳转，整个判定过程的时间复杂度仅与域名的字符长度成正比（通常不超过 5 次指针运算），而与规则库中到底包含一万条还是十万条规则完全无关。 这种高效的数据结构设计，确保了即便在极其复杂的企业级分流规则面前，您的电脑 CPU 占用率依然能够保持在绝对的零点几百分比水平。

6.3 Mihomo 内核相较于原版 Clash 的架构升级与演进优势 ​

原版 Clash 开源项目于 2023 年底停更后，社区核心维护力量全面转移至由开源极客维护的 Mihomo（原名 Clash.Meta） 分支。Clash Verge Rev 之所以能在众多二次开发客户端中脱颖而出，根本原因就在于其原生深度绑嵌了 Mihomo 内核。理解这一内核代际差异，能帮助使用者更清晰地认识各项高级功能的技术底层：

首先是现代新型抗封锁传输协议的全面内生支持。原版 Clash 仅支持传统的 VMess、Shadowsocks、Trojan 和早期的 VLESS 协议。而在现代复杂的网络拓扑下，基于 UDP 的多路复用流控协议成为了应对高丢包、大延迟跨洋信道的利器。Mihomo 原生集成了 Hysteria 2 与 TUIC v5 协议栈，借助 QUIC 拥塞控制算法（如 BBR），能够在丢包率高达 20% 的极端移动蜂窝热点环境下依然保持极高的吞吐性能。此外，Mihomo 还内建支持了 WireGuard 接口与基于 Reality 架构的端到端伪装体系，彻底摆脱了过去必须通过第三方外挂核心中转的臃肿架构。

其次是高级规则提供者（Rule Providers）与行为匹配引擎。在传统客户端中，所有分流规则必须硬编码嵌入在主订阅 YAML 文件中，每次规则更新都需要重新拉取包含几千行节点的庞大文件。Mihomo 引入了分层解耦的 Rule Providers 架构：客户端可以将广告拦截（AD-Block）、国内直连白名单（China-Direct）、海外流媒体清单（Media-Global）以及 AI 智能体集群（AI-Services）拆分为独立的远程规则源，由核心在后台以极轻量的二进制缓存（MRS 格式）定期差量同步。这不仅将订阅配置文件的体积从数兆字节缩减到几十千字节，更赋予了分流系统毫秒级的热更新能力。

第三是内核级域名嗅探与元数据提取能力（Sniffing）。在过去的代理实现中，如果一个客户端应用程序（例如微信内置浏览器、Telegram 桌面端或某款联网游戏）直接绕过本地 DNS 解析，向目标海外 IP 发送原始的 TLS 握手数据包，传统代理核心只能根据目的 IP 判定走默认兜底规则（MATCH），导致规则分流彻底失效。Mihomo 的域名嗅探模块可以在 TCP 握手阶段，对应用程序发出的 Client Hello 数据包进行微秒级的非侵入式协议透视，精准提取出该连接所请求的真实主机名（Server Name Indication, 简称 SNI），进而立即重定向至正确的规则决策树，消除了“域名无法捕获导致误走代理或误走直连”的传统系统顽疾。

七、进阶覆写与脚本引擎：高级自动化配置实践 ​

对于有深度工作流定制需求的用户，Clash Verge Rev 提供了同类软件中最为强大的两大定制武器：扩展配置（Merge Configuration）与脚本覆写（Script Engine）。掌握这两大工具，能够让您在服务商更新订阅时，完全保留自己的本地定制习惯，彻底避免“每次更新订阅都需要手动改一遍参数”的繁琐操作。

7.1 为什么不要直接修改订阅主文件 ​

绝大多数新手在拿到服务商的订阅后，如果想要添加一条自定义规则，往往习惯于直接打开订阅 YAML 文本文件进行编辑。这是一种极其脆弱且不可持续的错误做法：

1. 自动覆盖丢失：只要您点击了“更新订阅”，或者客户端执行了定时自动同步，服务商远端推送的最全文件就会毫无悬念地将您本地手工修改的所有内容彻底抹除覆盖；
2. 格式损坏风险：YAML 语法对于缩进空格的要求极其严苛，手工在数千行复杂的节点定义中编辑，极容易因为误触一个空格或制表符，导致整个订阅文件解析瘫痪，出现大面积红字报错。

Clash Verge Rev 倡导的现代工作流是：订阅源文件保持只读，所有个性化修改通过覆写层（Override Layer）在运行时动态热注入。

7.2 扩展配置（Merge）实战：无损注入本地 DNS 与专用直连名单 ​

扩展配置基于 YAML 字典的递归合并原则。当客户端启动核心时，会将您在扩展配置中定义的字段，与从服务商拉取的原始配置进行深度对象合并。

举例说明：如果您希望无论服务商提供什么规则，本地的网易云音乐、公司内部专用域名、以及本地局域网服务都必须绝对走直连，同时希望强制指定国内最稳健的 DNS 解析服务商，您可以打开 Clash Verge Rev 的“配置”面板，在“扩展配置”中输入以下纯净片段：

# 扩展配置：本地安全加固与强制直连白名单
prepend-rules:
  # 优先强制直连公司内网与协同服务
  - DOMAIN-SUFFIX, internal.corp, DIRECT
  - DOMAIN-KEYWORD, oa.company, DIRECT
  - IP-CIDR, 10.0.0.0/8, DIRECT, no-resolve
  - IP-CIDR, 172.16.0.0/12, DIRECT, no-resolve
  - IP-CIDR, 192.168.0.0/16, DIRECT, no-resolve
  # 常见国内流媒体与音乐服务直连
  - DOMAIN-SUFFIX, music.163.com, DIRECT
  - DOMAIN-SUFFIX, 126.net, DIRECT

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  # 排除部分对虚拟IP敏感的特定系统服务
  fake-ip-filter:
    - "*.lan"
    - "*.local"
    - "*.msftconnecttest.com"
    - "*.msftncsi.com"
    - "time.*.com"
    - "ntp.*.com"
  nameserver:
    - 223.5.5.5
    - 119.29.29.29
    - https://dns.alidns.com/dns-query

在此片段中，prepend-rules 语法明确告知内核：“将以下这几条规则，强制置顶插入到服务商所有规则的最上方优先执行”。如此一来，只要访问公司内网或音乐平台，请求会在第一微秒命中 DIRECT 规则，而后续成千上万条海外规则根本无需再行计算。

7.3 脚本引擎（Scripting Engine）实战：基于 JavaScript 的动态策略调度 ​

当单纯的静态 YAML 合并无法满足复杂的条件逻辑判断时（例如“自动将所有香港和日本节点提取出来新建一个专用低延迟组，同时按节点倍率过滤节点”），Clash Verge Rev 内置的 JavaScript 脚本引擎便可发挥真正的威力。

在客户端的“脚本”面板中，用户可以编写一个接收完整配置对象的 main 入口函数：

/**
 * Clash Verge Rev 动态配置处理函数
 * @param {Object} config - 服务商拉取合并后的原始 YAML 对象
 * @param {string} profileName - 当前订阅配置文件的名称
 * @returns {Object} 处理后的最终生效配置对象
 */
function main(config, profileName) {
  // 1. 提取所有有效节点
  const allProxies = config.proxies || [];

  // 2. 正则筛选出所有香港与日本的优质节点名称
  const fastProxies = allProxies
    .filter(p => /(香港|HK|Hong Kong|日本|JP|Japan)/i.test(p.name))
    .map(p => p.name);

  // 3. 动态注入一个专用的低延迟优选策略组
  if (fastProxies.length > 0) {
    const customGroup = {
      name: "亚太极速优选",
      type: "url-test",
      proxies: fastProxies,
      url: "https://www.gstatic.com/generate_204",
      interval: 300,
      tolerance: 50
    };

    // 插入到策略组列表的首位
    config["proxy-groups"].unshift(customGroup);

    // 将默认的顶层代理组的默认选择指向该极速组
    const defaultGroup = config["proxy-groups"].find(g => g.name === "PROXY" || g.name === "节点选择");
    if (defaultGroup && Array.isArray(defaultGroup.proxies)) {
      defaultGroup.proxies.unshift("亚太极速优选");
    }
  }

  // 4. 返回处理完成的纯净对象
  return config;
}

通过这一段轻量而精准的 JavaScript 逻辑，每次拉取订阅时，客户端都会在内存中自动帮您筛选出最适合办公的高速节点并建立自动容灾测速组，免去了人工逐个翻找节点的劳顿。

八、TUN 深度运作机制与虚拟网卡冲突实操排障 ​

TUN（Network Tunnel）模式是现代桌面代理工具技术含金量最高的模块，也是引起系统级故障最为集中的重灾区。为了在遇到网络底层故障时能够镇定自若，必须从网络三层协议栈深度剖析其工作机制。

8.1 虚拟网卡与系统默认路由抢占机制 ​

当我们在 Windows 上成功开启 TUN 模式时，操作系统底层实际上发生了三步剧烈的底层重构：

1. 驱动挂载：高权限后台服务调用 wintun.dll，在 Windows 内核中创建了一个虚拟适配器设备（通常名为 wintun 或 Meta），并为其分配了一个私有网段 IP（例如 198.18.0.1）；
2. 修改默认路由表：客户端会向 Windows TCP/IP 协议栈写入一条具有极高优先级的默认路由项（0.0.0.0/1 与 128.0.0.0/1）。这两条特殊的子网掩码恰好覆盖了全球所有的 IPv4 地址，并且由于其前缀长度（/1）长于系统物理网卡默认的 0.0.0.0/0，根据路由协议经典的最长前缀匹配原则（Longest Prefix Match），操作系统产生的所有网络数据包都会被无条件派发给虚拟网卡驱动；
3. 闭环防回环保护（Strict Route）：为了防止“代理客户端向海外服务器发出的真实加密流量，又被虚拟网卡拦截回来送给自己”而形成死循环，内核会自动嗅探出物理网卡的真实默认网关，并为所有远端代理节点的 IP 单独绑定静态直连路由。

8.2 与企业级 VPN 及虚拟机环境的并存共生指南 ​

在专业技术人员的工作机上，往往同时运行着多种具有深层网络接管特性的工业软件。以下是三类最典型的冲突场景及权威处置对策：

场景 A：与企业办公 VPN（如 Cisco AnyConnect / GlobalProtect / EasyConnect）冲突 ​

• 冲突根源：企业内网 VPN 客户端为了防泄密，通常会在底层开启“强制隧道（Force Tunneling）”与防分流保护，强行将本地路由表完全锁定在企业网关上，与 Clash 的 TUN 驱动产生生死争夺，导致两款软件双双断网或闪退。
• 正解方案：
  1. 在办公期间，坚决不要开启 Clash Verge Rev 的 TUN 模式，仅开启轻量级的“系统代理（System Proxy）”；
  2. 在 Clash 的设置中将系统代理监听地址设为标准回环，在办公 VPN 客户端的配置中放行本地环回路由（127.0.0.1/32）；
  3. 通过浏览器的代理分流插件（或通过设置环境变量 HTTP_PROXY），将需要查阅外网资料的浏览器与内网协同办公软件物理剥离。

场景 B：与 WSL2（Windows Subsystem for Linux）及 Docker Desktop 冲突 ​

• 冲突根源：WSL2 采用轻量 Hyper-V 虚拟机架构运行，其虚拟交换机发出的数据包往往带有特定的虚拟网桥标签。如果 Clash 的 DNS 模式配置为默认的 Fake-IP，WSL2 内部在尝试解析域名时，可能会因为无法与宿主机虚拟 DNS 端口握手而导致网络超时报错（例如在终端执行 apt update 或 docker pull 时卡在握手阶段）。
• 正解方案：
  1. 在 Windows 宿主机创建并编辑 %USERPROFILE%\.wslconfig 文件，将 WSL2 网络模式切换为最新的镜像模式（Mirrored Mode）：
     ini

     [wsl2]
     networkingMode=mirrored
     dnsTunneling=true
     autoProxy=true

  2. 在 Clash Verge Rev 的 TUN 设置中，确保开启 Strict Route（严格路由） 并且将 DNS 模式设置为 Mixed。在此架构下，WSL2 会与 Windows 宿主机共享完全相同的网络命名空间，终端无需执行任何额外的代理导出命令即可自动畅享透明代理。

九、DNS 泄露防护原理与防污染深度验证 ​

“我已经开启了代理，为什么访问某些私密论坛或技术社区时，依然会被本地运营商捕获到我正在查询的域名？”这是很多注重隐私安全的用户最常提出的尖锐问题。这一现象在信息安全领域被称为 DNS 泄露（DNS Leaking）。

9.1 什么是 DNS 泄露及其产生机理 ​

当您在浏览器中输入目标网站域名时，计算机必须先向 DNS 服务器询问该域名对应的 IP 地址。 如果您的客户端分流规则虽然将该域名的 HTTP 数据包通过海外节点代理了，但在连接建立之前，您的操作系统依然调用了本地运营商分配的公共 DNS 服务器或本地光猫路由器进行域名解析，那么：

1. 本地运营商的日志服务器会以明文形式完整记录下您的机器在什么时间点查询了什么域名；
2. 本地 DNS 可能会对查询结果进行故意污染（DNS 劫持），返回一个虚假或不可达的 IP，导致客户端后续即便想走代理，也因为拿到了错误的目标 IP 而连接失败。

9.2 Mihomo 核心防泄露的 Fake-IP 架构防线 ​

为了彻底根除 DNS 泄露，Clash Verge Rev 默认采用了极其精妙的 Fake-IP（虚拟 IP 映射）技术：

[浏览器发起查询目标域名]
             ↓
[Clash 内核拦截该 DNS 请求]
             ↓
[直接在 198.18.0.0/16 保留网段随机分配一个虚拟假 IP]
             ↓ (仅耗时微秒级，根本不向本地外网发出任何查询！)
[浏览器拿到假 IP，立即向该 IP 发起 TCP 连接]
             ↓
[Clash TUN 虚拟网卡捕获该连接]
             ↓
[在本地内存映射表中还原出原始目标域名]
             ↓
[将目标域名原样封装进加密代理通道发往远端海外节点]
             ↓
[远端节点在其当地机房发起真实的纯净 DNS 查询并建立访问]

在整个 Fake-IP 链路中，您本地的物理网卡、光猫网关以及本地运营商的任何设备，从头到尾连一个包含目标域名的 DNS 查询数据包都抓不到。这在协议层彻底掐死了本地 DNS 泄露的所有可能性。

9.3 终极防泄露端到端在线验证流程 ​

为了确信自己的配置已经达到高标准的隐私防护，请按照以下步骤执行真实验证：

1. 保持客户端处于正常运行状态（确保开启 Rule 规则模式与系统代理/TUN 模式）；
2. 打开浏览器无痕模式，访问全球公认的权威 DNS 泄露检测站点（如 https://browserleaks.com/dns 或 https://dnsleaktest.com）；
3. 点击“Extended Test（深度扩展测试）”，系统会向几十个随机生成的子域名发送探测请求，并列出解析这些域名的所有 DNS 服务器公网 IP 与服务商名称；
4. 合格判定基准：
   • 列表中列出的所有 DNS 服务器归属地，必须全部位于海外（如 Cloudflare、Google、Quad9 或节点所在机房的本地提供商）；
   • 列表中绝对不能出现任何包含 China Telecom、China Unicom、China Mobile 或境内网络运营商字样的条目！
   • 一旦发现有任何一条国内 IP 出现在检测结果中，说明客户端的 DNS 分流规则存在疏漏，必须检查扩展配置中的 fake-ip-filter 是否误将该域名放行到了本地直连解析。

十、使用教程高频实操疑难解答 (FAQ) ​

Q1：为什么我点击开启了系统代理，但浏览器依然打不开任何海外网站？ ​

解答：按照以下三步极简排查清单进行故障定位：

1. 检查混合端口是否被误改：进入软件设置，确认“混合代理端口（Mixed Port）”依然是默认的 7890，没有被误输入为其他随机数字；
2. 检查节点本身是否存活：进入“代理”面板，点击右上角闪电图标。如果所有节点测速结果全部显示为红色数字或“Timeout（超时）”，说明问题出在远端服务方（例如订阅已欠费、或者当前节点正在进行机房维护），而不是您本地软件的问题；
3. 检查浏览器第三方代理插件冲突：如果您在 Chrome 或 Edge 浏览器中安装了类似于 SwitchyOmega 的代理扩展，扩展如果被设置为了“直接连接”或指定了其他旧端口，会强行覆盖操作系统的系统代理设置。此时只需在浏览器扩展图标上，将模式临时切换为“系统代理（System Proxy）”即可。

Q2：我不想让所有软件都走代理，怎样精准排除某个特定的程序？ ​

解答：这属于典型的“进阶分流定制”需求。Clash Verge Rev 提供了极其强大的**进程名称匹配规则（PROCESS-NAME）**支持： 例如，如果您希望完全禁止某个特定的国产网盘、或者是某个特定的办公会议软件（如 Zoom.exe 或特定公司程序）走任何代理，可以在客户端的“扩展配置（Merge）”中，插入一行规则：

prepend-rules:
  - PROCESS-NAME, 目标程序可执行文件名.exe, DIRECT

核心在捕获到由该进程发起的数据包时，无论其访问的目标 IP 位于国内还是海外，都会强制直接走本地物理网卡直连发出，实现像素级的应用程序流量隔离。

Q3：开启 TUN 模式时提示“服务未安装（Service Not Installed）”该如何处理？ ​

解答：在 Windows 平台上，TUN 模式依赖本地高权限后台服务（Clash Verge Service）。 出现该提示的标准修复流程为：

1. 在客户端左侧导航栏点击进入**“设置（Settings）”**；
2. 在核心设置区域，找到**“服务模式（Service Mode）”**选项；
3. 点击右侧的“管理（Manage）”或“安装（Install）”按钮；
4. 系统会弹出 Windows UAC 管理员提权确认框，点击“是”允许；
5. 稍等两秒钟，当服务模式图标右侧显现出绿色的“运行中（Active）”状态后，再次返回主界面开启 TUN 模式开关即可成功就绪。

Q4：为什么电脑重启之后，原本配置好的节点和规则全部消失不见了？ ​

解答：这通常是因为您使用的是绿色便携版，但解压路径不当所致。 如果您直接在 Windows 的临时压缩包预览窗口中双击运行程序，Windows 会在系统的 AppData\Local\Temp\ 目录下创建一个临时随机文件夹运行软件。当您重启电脑后，操作系统会自动将 Temp 临时文件夹内的所有内容全量清空抹除，导致配置随之蒸发。 彻底的杜绝方案：请务必按照本文第五节第一步的指引，将压缩包完整解压到一个固定存在的永久非系统盘目录（如 D:\Network\ClashVerge\）中运行。便携版在固定目录下生成的配置数据永远不会被系统自动删除。

Q5：手机热点共享给电脑使用时，客户端连接极其不稳定怎么解决？ ​

解答：手机开启移动热点时，运营商蜂窝网络（4G/5G）具有极其激进的休眠省电策略和较高的 NAT 超时机制。 当电脑连接手机热点使用代理时，建议在客户端设置中进行两项微调： 第一，在节点列表中优先挑选支持 **Hysteria 2 或 TUIC v5（基于 UDP 协议）**的节点。这类基于 QUIC 的协议具备原生抗蜂窝网络丢包与快速会话恢复能力； 第二，在客户端设置中将 TCP 空闲保活心跳时间缩短，防止手机热点网关在空闲两分钟后强行切断长连接套接字。

Q6：订阅链接更新频率应该如何合理设置，频繁更新会被机场封禁吗？ ​

解答：许多初学者出于“追求最新节点”的心理，在客户端中将自动更新间隔设置为“每 15 分钟”甚至“每 5 分钟”。这是严重的误区，并且极具风险：

1. 触发防刷风控被直接拉黑：商业服务商为了保护 API 接口不被高并发 DDOS 打垮，普遍在入口处部署了 Cloudflare 或 Nginx 限流策略。单 IP 过于频繁的高频拉取，会被防火墙直接判定为爬虫恶意攻击，轻则封禁 IP 24 小时，重则直接导致订阅 Token 被系统自动作废吊销；
2. 消耗无意义的计算与流量：服务商后台节点的物理 IP 与密码参数通常数周甚至数月都不会变更，频繁更新毫无业务收益。 科学推荐标准：将自动更新间隔设置为 24 小时（1 天）或 48 小时。日常挂机办公无需开启高频轮询；仅当某天发现大面积节点超时失联时，再手动点击一次卡片右上角的刷新图标即可。

Q7：使用在线订阅转换工具安全吗，我的节点凭据是否会被盗取？ ​

解答：我们梯子参考实验室在此给出最严肃的安全警告：除非是您自己在本地受信任服务器上私有搭建的 Subconverter 实例，否则严禁使用互联网上任何公共的免费在线“订阅转换平台”！ 其安全风险在于： 当您把包含服务商 Token 的完整订阅 URL 粘贴进公共网页并点击转换时，该网页后端的服务器程序会立即向您的服务商发送请求，将您名下的所有节点连接协议、服务器地址、加密密钥、甚至您的剩余套餐流量与到期时间完完全全、一览无余地保存在该网站后端的数据库或访问日志中。 恶意站点运营者可以随时将这些窃取来的节点密钥打包转卖，或者利用您的流量配额进行恶意爬虫活动，导致您的账号在不知不觉中被服务商永久封禁。 Clash Verge Rev 本身基于高度现代化的 Mihomo 核心，其原生就能完美解析 Shadowsocks、VMess、VLESS、Trojan、Hysteria 2 等全套协议，根本不需要借助任何第三方在线转换工具。请直接将服务商提供的原始订阅地址填入客户端，享受原生的端到端解析保障。