📖 教程 ⏱ 约 22 分钟阅读

Windows 11 安装 Clash for Windows：下载到订阅导入分步实测（2026）

在 Windows 11 搜「Clash for Windows 安装教程」「订阅导入」「系统代理」，十有八九会把 CFW／Verge／Meta 与新旧系统揉进同一个口令式段落——读起来像玄学，实操却处处错位：菜单名不同、放行路径不同、甚至到底是谁写入了手动代理条目都不清不楚。本文把对象死死钉在 Win11 × 老牌桌面端 CFW：如何下载到你能核对哈希的构建、在安装与首次运行时跟 Defender／Smart Screen／防火墙提示打交道、如何在 Profiles 里HTTPS 订阅导入并最终勾选系统代理打通浏览器链路。它与站内单独拆出的 Windows 10＋CFW 版本、以及主攻 Mihomo／Verge Rev 的 Win11 Verge Rev 首次安装实测刻意三分，专门承接想用熟悉三块式仪表盘、却仍在新系统上从零开始的那一路长尾检索。

为什么登记表里已经出现 Win11 专文，却仍要写一篇「Windows 11＋CFW」

先把话说透：站内已经有一篇把 Win11 × Clash Verge Rev／Mihomo 串成「首配」链路的文章，也有一篇把平台锁在 Win10 × CFW，避免与老 UI 混在一起。但现实检索并不是按「我们是否已有 Verge」来问的——相当一部分读者只记得 Clash for Windows 这个名字，或是在旧机器上养成的肌肉记忆还停留在 General／Profiles／Logs 三块结构上；他们可能已经把系统升到 Windows 11，却暂时没有迁客户端计划，只想把「装好—导入—能上」三件事一次性落地。

于是本文不承担「泛泛 Windows」义务，也不复述 Verge 那套侧边栏用词：它要解决的是搜索框里字面出现的那三件事——Win11／Clash for Windows／订阅导入／系统代理——并在涉及迁到更可维护桌面端时顺手指向 CFW→Verge Rev 迁移指南 与通用 Clash 使用教程，让读者在心智模型升级到「分流／DNS／模式」时不要从零散论坛帖拼装。

立场也必须公开：原版 CFW 的长期维护状态并不比 Win10 CFW 那篇所写的更乐观。这并不妨碍你把它当作过渡期工具——前提是你拿到的构建可追溯、目录可被安全中心放行、并且你清楚自己在用一条旧栈换来的熟悉感。一旦你开始频繁碰「我需要 Meta sniff 例外／需要更细的进程策略／需要仍在合并规则集」，就该认真考虑把那篇 Win11 Verge Rev 实测读进书签栏。

动笔前自检：Win11、网络与时间这类「看起来像玄学」的根因

真正浪费时间的并不是 YAML 太深，而是在安装链路上反复忽视系统层前提。建议开始前过一遍下面四件事，往往能直接砍掉一半的「玄学票」：

  • 系统字面版本：在任务栏搜索「winver」确认条目显示为 Windows 11；如果你在虚拟机／云桌面里跑的是裁剪镜像，还要确认是否真的允许普通用户改写系统代理——企业策略一上来把「手动代理」锁死的话，再好的客户端也只能当摆设。
  • 时间、时区与证书：时间漂移会让HTTPS 订阅与远端 TLS在日志里看起来像随机报错；Win11「日期和时间→自动设置」应保持开启。若你还有手工改过主板时钟的习惯，也请把它当作第一道排障旋钮而不是「玄学开关」。
  • 谁还在抢 Winsock：VPN／游戏加速器／旧版梯子／「所谓全局脚本」若常驻同一台 Win11，经常会出现系统代理条目被最后一写入者覆盖或多套驱动争用内核栈。本文主线只演示 CFW 自带的系统代理路径；你如果坚持让它们并存，就请自觉记录最近一次是谁写入了手动代理字段，否则永远在互相甩锅。
  • 账户与特权边界：日常不必整场管理员启动，但有些安装／释放步骤需要 UAC：DLL／可执行被拦在 Program Files 之外时，别把每个弹框都习惯性地关掉却抱怨托盘「一闪就没」——这类现象与 Defender 记录的「最近一次阻止」往往成对出现。

如果你对「三块式仪表盘」完全不熟，却仍想并行理解策略组语义，可在导入订阅前先扫本站 proxy-groups 指南，再在 CFW Proxies 页逐项对照：AUTO／手动／故障转移三套说法一旦混用，就会把「能上百度」误判成「整体已经通了」。

第一步：从可信路径拿 Clash for Windows 安装包／便携目录（Win11 场景下的下载纪律）

「CFW 下载」这条检索词背后是大量二次封装与劫持页：看起来图标一样，内里却可能被插入浏览器扩展、静默替换内核可执行、或挂上不明证书做 HTTPS 拆解。只建议从你能核验发布者身份的渠道拿文件——作者历史 Archive、可追溯的哈希表、或站内整理的 下载 Clash 客户端页签再跳可追溯来源。

Win11 Edge／Chrome 的下载链路通常比 Win10更爱弹「已阻止可能不需要的应用」一类话术：它并不等于自动判定木马，而是声誉与签名链路不足时的保守策略。你应该做的是核验文件哈希是否与公开记录一致／签名链路是否闭环，而不是单凭弹窗语感决定放行——这一点与后来被强推的相关安全特性口吻不同，但核验来源这条纪律不变。

在具体形态选择上，仍然有这三类触点值得提前想清楚：

  • Installer 与 Portable：安装程序更方便出现在 Win11「已安装的应用」里统一卸载或修复；Portable 适合你希望目录随 U 盘或同步盘迁移。**避免**把它解压到超长中文路径或被实时全盘扫描蹂躏的下载临时区——表面现象往往是「双击后很久才出界面」甚至被误判为高 CPU「卡死」，实质只是杀软在每层解压时都要过一遍钩子。
  • 位数匹配：当代 Win11 默认 x64；若你在极端 ARM／虚拟化宿主场景里拿到的并非预期架构的可执行文件，会在启动链路早期就报错——这类「根本进不了 Profiles」的失败与订阅毫无关系。
  • 目录权限：某些公司设备把Downloads或桌面同步目录设成每次注销即清，Portable 放进去等于每次重装；把工具统一挪到C:\Tools\...一类不归每次清理策略蹂躏的稳定路径能减少大量重复劳动。

第二步：首次安装／启动时的放行策略（对齐 Win11 Defender 与防火墙体验）

安装向导若弹出 UAC，属于写入受保护位置的正常现象。放行成功后第一件事还不是导入订阅——而是确认常驻是否成功：托盘里是否出现可被唤起的图标、Dashboard 是否可以稳定打开且在 Portable 模式下没有因为无法在目录落盘配置而悄悄退出。

Windows 11内置安全中心的常见拦路虎仍然落在三类：（1）把 Clash 主程序或可执行劫持代理的核心组件误判为木马并送进隔离区；**（2）对「看起来像下载器」的流量做篡改式 HTTPS 检视，导致订阅链路 TLS 层随机失败；**（3）防火墙在专用／公用网络档案下静默禁止出站／入站交互，直到你第一次看到「仍未允许」提示才意识到问题。**解法不是无脑全关**，而是：为已核验路径添加排除／定向允许规则，并在保护与威胁历史记录里把误报逐项恢复——这条路径在新 UI 用词下依然成立，只是把入口从老式控制面板搬进「隐私和安全性→Windows 安全中心」。

若你以后还打算让同网段的手机／平板共用这台 Win11 的 HTTP 监听，可以在读完本文「系统代理能跑通」之后再对照 局域网代理与防火墙入站写法（Win11 示例）补一块局域网共享心智模型；本篇仍把重心放在本机浏览器首通上。

合规提醒：单位网络若明示禁止改写系统代理或未授权对外信道，技术上的「翻过墙」并不等于政策许可——请先阅读你与所在组织的 IT／合规条款。本文只对你已拥有远端出口前提下的客户端链路负责。

第三步：在 Profiles／Subscription 面板完成HTTPS 订阅导入

打开 CFW Dashboard 后，把注意力放在配置从哪里来这一条：Profiles决定当前激活文件名，**Subscription**决定是否成功把远端 YAML／片段拉取进内核视野。界面上的小版本措辞可能略有出入，但总顺序不会变：先拉取／更新，再激活，再到 Proxies 看叶子节点是不是真的出现。

  1. 粘贴正确的 HTTPS 订阅地址：服务商会给你一个形如https://...的链接。**不要**在聊天软件预览里贸然整段扔进浏览器顶部地址栏试探——轻则触发频次限制／登录页劫持，重则把 Cookie 暴露在不该出现的位置；更稳妥的是把链接直接在 Clash UI 的 Subscription 编辑器里粘贴并让内核自己 fetch。
  2. 命名、分组与多条订阅：若你有「自用／备用／按地区拆分」多套链接，分多条录入没毛病；但最后真正成为当前 Proxies／Rule 数据源的，一定是被选为 Active／Use的那一份 Profiles。空订阅／下载回来却是广告页 HTML／YAML 长度为 0的假成功很常见：远看像「绿了」其实节点组一片空白——务必要在 Proxies 页逐项确认条目确已展开。
  3. 更新频率与用户代理：部分机场限速刷新或要求特定 UA／Token；你看到403、「瞬时失败」「长度异常」时，把同一时间无代理浏览器直达／curl的结果并排对照，再配合 站内订阅 FAQ（2026）判断是服务端共性约束还是本地 TLS／解密干扰。
  4. 切换到正确 Profiles：导入成功并不等于已经激活：**在 Profiles 卡片上选中 Use／激活当前文件**，确认标题栏／状态角标显示的正是含节点的那份。多台设备同步时出现「文件名 A 已更新却仍跑老的 B」的乌龙一点都不罕见。

当你开始感觉「RULE 像在猜谜」并希望进阶掌握GEOIP／FINAL／域名后缀的书写节律，可把 自定义规则教程与 站内总教程骨架串起来——CFW Logs 仍然是最好的反馈屏幕，问题在于你是否愿意为它付出从 GUI 跳进 YAML的注意力切换成本。

第四步：在 Proxies／General 勾选节点并把系统代理真正写进 Win11「手动代理」

很多人导入订阅后在 Proxies／策略面板里玩得不亦乐乎，却仍感觉「上不了外网」——因为最后一公里没有完成：要让 Win11真正把 HTTP／HTTPS／部分 SOCKS 会话交给 Loopback 上那个监听端口。经典 CFW 布局里可以这样理解链路：

  • 测速并不等于「能上目标站」：Latency／UrlTest／健康检查只能说明探针那一瞬间看起来还活着——若你在同一时间仍遭遇握手超时／EOF，十有八九是链路质量或 QUIC／HTTP3 干扰与探针所选路径不一致，请回到 Logs 字面而不是无脑狂点刷新。
  • 「设为系统代理」才是写注册表链路的关键动作：界面可能是中文「设为系统代理」也可能是英文Set as system proxy——无论措辞如何，核心是它会往操作系统「手动代理服务器」字段写入127.0.0.1:<port>这一事实；没点它，除非你手动去设置里填，不然认系统代理的浏览器与普通 Win32仍可能长时间根本不碰 Clash。
  • 记下 mixed-port 与各分项监听：不同构建可能同时展示mixed-port／HTTP／SOCKS 数值；你给其它软件填 SOCKS5／HTTP／HTTPS 时要与真实监听一致，而不是人云亦云写死7890。如果你打算长期在终端里HTTPS_PROXY，同样要把变量指向确实存在的本地 HTTP 监听——这一点对 Win11／Win10完全一致。
  • Rule／Global／Direct 三角二分：Global能粗暴验证「链路是不是整体还活着」；Direct能验证是不是「其实只是规则送错出站」；（长期）常驻 Global 并不等于高级玩法，只会让国内不必要流量也去握手一遍——懂行的读者会用它来二分排障后立即回到 Rule。

若你期待游戏机／更多非浏览器进程也被统一接管却不愿配置每个应用，往往要评估TUN或透明代理链路；经典 CFW 时期社区确实存在大量分叉讨论，但现实维护参差。更系统的接管哲学集中写在TUN 模式深度解析里——你可以边读边问自己：现阶段是否真的需要跨过系统代理这层壳，还是只是把浏览器首通做到极致就已经足够。

第五步：用 Win11「设置／代理／浏览器」三件事做硬核交叉验证

建议你按固定顺序留下证据截图，而不要只看「能打开百度搜索」这一种弱信号：

  1. Dashboard 连接／日志视图：刷新测试站点时在 Logs 中出现对应域名、策略命中、Outbound 名字是最直接证据；如果连一行像样的会话都没有产生，十有八九仍是没接管／浏览器绕过系统代理／走了插件独立信道。
  2. Win11「设置 → 网络和 Internet → 代理」页：确认手动代理开关为开启、地址条目为本机 Loopback、端口字面一致于 Dashboard。被其它套件偷偷清空或指向随机外网地址并不罕见——这时继续换节点地区只是在浪费机场额度。
  3. 无痕窗口与不扰动插件环境：某些「隐身／广告拦截／隐私盾牌」会与系统链路叠加后出现间歇性玄学；请务必用对等干净环境跑一次 A／B。UWP／商店容器若异常而 Edge／Chrome OK，往往不是「梯子坏了」，而是流量没进代理栈或受 Loopback 限制，可并联阅读UWP／Store 与系统代理分流做定性——虽然标题写明 Win11，但对新旧应用容器共存的解释仍可比照到不少 Win11 自带的 WebView／商店场景。

若你在同时使用 WSL／Docker／开发容器，并希望把 Git／npm 一类流量「写对命名空间」，可平行阅读WSL2 与本机 Git／npm／cargo专文：**名字里带 WSL2，并不等于只对子系统有价值**——其中「宿主 Loopback／子系统地址」那一节往往能救回大量误写localhost导致的假失败。

排障分叉：订阅层／节点握手层／看起来像连上却仍直连不要搅成一团

遇到异常时请先在心里画三条平行线：

  • 分叉甲——配置文件都没拿到：下载报错、长度为 0、日志前缀出现 HTML。先查链路 TLS／时间／HTTPS 检视，再用订阅 FAQ 做共性划减；别把症状误判成「全场节点暴毙」。
  • 分叉乙——远端握手链路：延迟一片红握手超时多数是地区／出口／QoS／封锁特征与本地不匹配，但也有本机出站被防火墙一刀切拒绝这种「近在咫尺」的假信号——可先临时允许 Clash专用网络出站跑一次验证后再收敛规则。
  • 分叉丙——接管层：Dashboard 忙得不行，浏览器却岁月静好地打不开外站：多半是系统代理条目没写上／写完又被第三方重写／端口抄错位数。此时退回前一节三件验证闭环，而不要疯狂刷机场列表。

若你已读完本文却仍觉得另一条 Win11 Verge Rev 路线图更顺眼，不妨诚实地承认：不是你的问题——是Mihomo／Verge 这一活跃分支在模式粒度、内核版本节奏与社区文档密度上已经把「长期桌面主力」重新定义了一遍。可把 Win11×Verge Rev 首次安装实测当作对照阅读，用它来理解：同一条远端线路为什么在新 UI 下发条「健康检查」「TUN／系统代理二选一」「Mixin」等概念会显著降低摸索成本——并不是老 CFW 必然「上不了」，而是你愿不愿意为旧界面支付维护税。

何时应该认真地把「离开 Clash for Windows」写进日历

当你在 Win11 上已经能稳定复述三块式仪表盘里每一步在做什么却仍然频繁遇到：想要 Meta sniff 例外、想要与新规则集／Provider 粒度对齐、想要社区示例大部分默认假设你在 Mihomo／Verge 语境……这时继续硬撑原版 CFW 往往意味着把越来越多的心智负担转嫁给 YAML／手工合并，而GUI 能帮你的面积却在萎缩。

这不是劝退稿：本文尊重仍要在 Win11 上跑一阵子老界面的真实约束——可能只是 weekend 重装、可能只是临时顶替公司电脑、也可能只是你不想在同一周同时换系统和客户端两件事。但一旦硬件与软件许可允许，就请把「迁栈」视作风险摊薄而不是「崇新」：迁移指南里如何把 Profiles／订阅与工作流相对平滑地对齐到新 GUI，比在论坛搜碎片口令要可靠得多。

常见问题（把高频玄学收成短问答）

Q：Win11 Smart App Control 一开，双击安装包直接被挡？
A：这是更激进的应用信誉策略与「老式未签名／低声誉构建」相撞时的典型产物——要么换可验证的渠道与签名链路，要么在执行安装动作前短时间调整策略粒度并在完成后恢复到你的安全基线，而不是长期在「全开／全关」两个极端弹跳。

Q：浏览器能上外站但 Windows 自带「小组件」「商店」「某些内置 WebView」看起来仍像直连？
A：多半是容器与 Loopback／系统代理组合的老问题——请回到本节前面「UWP／Store Loopback」内链那一段，别把症状误判成全盘代理失效。

Q：我已经按每一步做了，却仍觉得比不上同事那篇 Verge 教程顺滑？
A：因为那条路线面对的是Mihomo／仍在合并规则集的生态，其菜单与健康检查用词天然更贴近当下的网络演进；本文刻意错位给仍在搜「Clash for Windows」的人，不是要否认生态整体早已迁移这一事实。

小结：把「Windows 11＋CFW」这条链路写成可检索闭环

当你在 Windows 11 真正把 Clash for Windows 从下载跑通到订阅导入，再勾选系统代理并在设置页留下可追溯证据，体验上决定性的事实只有三条：来源可信的安装包／可重复的 Profiles 激活／与实际监听字面一致的 Loopback 端口。任何一环偷工减料，你都会得到「能上国内却不能稳定出访」的假连接体感。

与此同时，也的确存在大量传统代理外壳要么长期停更、要么把规则的复杂度完全丢给用户却对观测与一致性体验置之不理——当你在 YAML／订阅劫持／杀软钩子之间疲于奔命时，往往不是你「学不会」，而是工具链生命周期已追不上HTTPS／QUIC／SNI／DoH／分应用容器叠加后的现实世界。反观围绕 Clash／Mihomo 仍在演进的那一整套可视化策略、健康检查、社区 Provider 与工作良好的文档颗粒度，反而更容易把翻墙这件事从「玄学试错」拉回「可解释的连接路径」。如果你在读完 Win11＋CFW 这条过渡期路线后打算换到更可长期维护的方案，可从本站统一的 下载 Clash 索引补齐构建来源，再按需串上新 GUI 实测与分流／DNS／TUN专文——往往比漫无目的地翻论坛更能把时间花在真正能改善出口质量的地方。