先确认共享范围：Wi-Fi 手动代理不是全设备接管

手机和平板可以把电脑上的 Clash 当作局域网代理服务器。电脑负责运行客户端、读取订阅并执行分流规则；移动设备只需在当前 Wi-Fi 的代理设置里填写电脑地址和端口。连接期间，电脑必须保持开机、联网，且 Clash 内核处于运行状态。

这套方法适合浏览器以及遵循 Wi-Fi HTTP 代理设置的应用。它不等同于在手机上开启 VPN，也不会自动接管所有游戏、UDP、应用自建连接或系统服务。若目标是移动设备的大范围流量接管，应在设备本机使用支持相应能力的客户端，具体可参考Android 入门步骤。

mixed-port、allow-lan 与监听地址分别管什么

混合端口 mixed-port 在同一个 TCP 监听端口接收 HTTP 代理和 SOCKS 代理请求。手机 Wi-Fi 设置一般填写 HTTP 代理，因此可以直接使用这个混合端口，不需要再找一个“手机专用端口”。下文统一使用 7890 举例；它不是所有客户端都固定采用的值。

配置项 作用 本例取值
mixed-port 提供 HTTP 与 SOCKS 代理入口 7890
allow-lan 允许其他设备访问代理监听端口 true
bind-address 指定监听的本机地址 0.0.0.0，所有 IPv4 接口
mode 决定请求按规则、全局或直连处理 rule，按规则处理

127.0.0.1 只代表设备自身。手机里填写这个地址，请求会回到手机，而不会到达电脑。0.0.0.0 是服务端的监听写法，也不能作为手机的代理服务器地址；手机要填写电脑实际的局域网 IPv4，例如 192.168.1.23。

不要把控制面板的 external-controller 端口当成混合端口。它属于内核管理接口，不是网页代理入口，也不应为了共享网页访问而向局域网开放。

电脑端：开启允许局域网连接并核对有效配置

优先使用客户端设置

  1. 打开客户端的「设置」，查找「允许局域网连接」或「Allow LAN」并开启。
  2. 查找「端口设置」或「混合端口」，记录实际数值。本例是 7890，不是订阅地址中的端口，也不是节点服务器端口。
  3. 如果界面提供「监听地址」，确认它不是只监听 127.0.0.1。可以使用局域网网卡地址，或在防火墙限制来源的前提下监听所有 IPv4 接口。
  4. 应用设置；若界面提示重启内核，按提示完成，再检查配置是否生效。

不同客户端及版本的菜单层级并不一致，上述名称是应查找的功能项，不是一条通用的固定菜单路径。若使用配置文件管理，下面是 Clash 与 Clash Meta（mihomo）常见的相关字段片段：

# 合并到现有配置顶层，不是完整订阅配置
mixed-port: 7890
allow-lan: true
bind-address: '0.0.0.0'
mode: rule

保留现有的 proxies、proxy-groups、rules 和 DNS 配置，不要用这几行替换整份文件。同名字段不要重复定义。部分客户端会通过界面设置覆盖 YAML 值，因此应检查最终运行配置，而不是只看订阅原文件。

找到电脑 IP，并只放行需要的防火墙入口

记录实际联网网卡的 IPv4

Windows 打开终端执行 ipconfig，查看正在联网的「无线局域网适配器 Wi-Fi」或以太网适配器，记录 IPv4 地址。不要复制 TUN 虚拟网卡、已断开的网卡或回环地址。macOS 可进入「系统设置」→「网络」→ 当前连接 →「详细信息」→「TCP/IP」，查看 IP 地址。

例如电脑是 192.168.1.23，手机是 192.168.1.56，两者在家庭路由器的同一普通网络中，通常具备互访条件。但仅看地址相近并不能证明连通；访客 Wi-Fi、AP 隔离或 VLAN 策略仍可能阻断设备互访。电脑使用网线、手机使用 Wi-Fi 也可以共享，前提仍是两端网络允许互访。

Windows 只放行专用网络中的 TCP 7890

  1. 先确认当前网络确实是可信家庭或办公网络，再在 Windows 网络属性中将它设为「专用网络」。不要把公共热点改为专用网络。
  2. 打开「Windows 安全中心」→「防火墙和网络保护」→「高级设置」。
  3. 选择「入站规则」→「新建规则」→「端口」→「TCP」，在特定本地端口中填入 7890。
  4. 选择允许连接，只勾选「专用」配置文件，命名为「Clash LAN TCP 7890」。
  5. 在规则属性的「作用域」中限制远程 IP，优先只允许手机和平板的固定地址；地址会变化时，可按实际情况限制到本地子网。

本例的 Wi-Fi HTTP 代理入口只需 TCP；不要为了尝试连通而放行所有协议和全部端口。如果电脑混合端口是 7897，防火墙和手机端都要同步改成 7897。

macOS 开启应用防火墙时，可在「系统设置」→「网络」→「防火墙」→「选项」检查实际接收连接的客户端或内核程序是否获准。受单位安全软件管理的电脑，应遵循管理员策略，不要通过停用防火墙来绕过限制。

手机和平板：填写电脑地址与混合端口

iPhone 与 iPad 的 Wi-Fi 代理设置

  1. 打开「设置」→「无线局域网」，点当前网络右侧的信息按钮。
  2. 进入「配置代理」，选择「手动」。
  3. 「服务器」填 192.168.1.23，「端口」填 7890，不要添加 http:// 或路径。
  4. 如果电脑端未配置代理认证，保持「鉴定」关闭，然后保存。
  5. 保持连接此 Wi-Fi，打开浏览器验证。

Android 的 Wi-Fi 代理设置

常见入口是「设置」→「网络和互联网」→「互联网」→ 当前 Wi-Fi 的设置按钮 →「修改」→「高级选项」→「代理」→「手动」。部分厂商把入口放在「WLAN」→ 当前网络详情内，应以实际界面为准。

  • 代理主机名：192.168.1.23。
  • 代理端口：7890。
  • 绕过代理的地址：初次测试保留默认值，不要把目标站点加入绕过列表。
  • IP 设置：通常继续使用 DHCP，不必为了填写代理而改成静态 IP。

这些设置绑定当前 Wi-Fi，不会自动成为蜂窝网络代理。更换网络后需要重新确认。Android 的系统 Wi-Fi 代理通常不提供通用的用户名和密码输入框；若电脑端启用了代理认证，应先确认设备与应用支持相应认证方式，不能仅填写地址和端口就认为配置完成。

验证是否经过电脑：先看连接，再看规则

保存后，在手机浏览器打开一个已知可访问的 HTTPS 页面，同时打开电脑客户端的「连接」或「日志」页面。查看是否出现手机发起的请求、目标域名、匹配规则及所用代理组。部分客户端会显示来源 IP，可据此区分电脑自身与手机的请求。

  1. 先确认请求到达。手机连续打开两个不同页面，观察电脑连接列表是否同步新增记录。
  2. 再确认分流结果。Rule 模式下，命中 DIRECT 的请求仍然直连；经过电脑入口不代表一定使用远程节点。
  3. 最后测试目标应用。浏览器可用后再测试其他应用。若只有个别应用失败，应优先考虑它是否遵循系统 HTTP 代理。

如果有另一台可运行终端的局域网设备，可执行下面的命令查看代理握手。请从另一台设备测试，而不是只在代理电脑本机测试：

curl -I -v --connect-timeout 5 --max-time 15 --proxy http://192.168.1.23:7890 https://example.com/

这里的 example.com 是用于演示的实际域名。出现连接超时，先查手机到电脑的网络和防火墙；立即拒绝连接，优先检查端口是否监听。看到 CONNECT 成功后仍有上游错误，再查代理组、节点和规则。HTTP 状态码本身不等于共享失败，还要结合握手及目标站点响应判断。

常见故障：按连接链路逐层检查

电脑能用，手机一直连接超时

  • 确认手机没有填写 127.0.0.1、0.0.0.0 或电脑的旧 IP。
  • 确认 allow-lan 已开启，混合端口不是仅监听回环地址。
  • 检查防火墙规则是否匹配当前网络配置文件，端口是否与客户端一致。
  • 检查访客网络隔离、路由器 AP 隔离，以及其他 VPN 对本地网络访问的限制。

Windows 可运行下面的命令核对本地监听。结果中的 0.0.0.0:7890 或实际网卡地址表示存在相应 IPv4 监听；只有 127.0.0.1:7890 时，其他设备不能通过该监听访问。若没有输出，检查内核是否运行以及端口是否填错。

netstat -ano | findstr LISTENING | findstr :7890

浏览器能用，游戏或视频应用不走代理

这通常是应用未遵循 Wi-Fi HTTP 代理，或使用了当前方式未覆盖的连接机制。不要仅为此反复切换混合端口。电脑开启 TUN，也不会自动接管手机未发送给电脑的流量；本机 TUN 接管与把电脑配置成网络网关是两件事。可继续阅读TUN 使用说明，选择适合设备本机的接管方式。

网页提示认证失败或证书错误

HTTP 407 通常提示代理需要认证，应核对电脑端认证设置和设备支持情况。普通 HTTP 代理通过 CONNECT 转发 HTTPS，并不要求为本教程安装根证书。遇到证书警告，应检查设备时间、目标站点证书以及网络环境，不要直接忽略警告或安装来源不明的证书。

电脑休眠后，手机连普通网页也失败

手动代理仍指向已经停止服务的电脑，遵循该设置的应用便无法建立连接。结束共享后，把手机当前 Wi-Fi 的代理改回「关闭」或「无」。电脑 IP 因 DHCP 变化时，更新手机中的地址；长期使用可在路由器中为电脑设置 DHCP 地址保留。

共享安全与收尾：限制来源，不开放公网

allow-lan: true 配合所有接口监听，会扩大可访问代理服务的范围。它不是访问控制本身，仍需由防火墙限制来源。不要在路由器上为 7890 添加公网端口映射，也不要开放内核控制接口来解决手机连不上代理的问题。

  • 只在可信网络开启。连接酒店、机场或其他公共 Wi-Fi 前，关闭局域网共享。
  • 只允许必要设备。优先限制到手机和平板的具体 IP；采用本地子网范围时，需接受同子网其他设备也可能连接的风险。
  • 核对订阅使用条件。共享设备产生的流量会计入电脑所用订阅，服务方也可能限制并发或设备使用方式。
  • 认证按兼容性配置。需要认证时使用独立强密码，并确认移动端支持；不要把订阅链接、管理接口密钥当作代理密码。
  • 结束后恢复设置。关闭手机手动代理、关闭电脑局域网共享，并禁用不再使用的入站规则。