Windows Defender会将Clash核心程序误判为潜在威胁，导致代理功能失效，本文详解在Windows系统中将Clash添加至Windows Defender白名单的完整步骤，并介绍代理组配置、TUN模式与系统代理的区别等核心概念，帮助用户解决跨境办公、国际网络加速场景下的连接问题。
问题现象：Clash无法启动或频繁断连
使用Clash Verge或Clash for Windows时，部分用户会遇到程序无法启动、节点测试失败或连接后立即断开的情况，打开Windows安全中心查看保护历史，常会发现Clash的可执行文件（clash-verge.exe、clash-meta.exe）被隔离或阻止运行。
这是因为Windows Defender的实时保护功能会将代理工具的流量检测机制识别为可疑行为，从安全角度看，代理软件确实会修改系统网络设置，但这种拦截会影响正常的跨境办公、学术资源访问等需求。
添加Windows Defender白名单步骤
打开Windows安全中心
点击任务栏右下角的Windows安全中心图标,或在开始菜单中搜索“Windows 安全中心”并打开。
进入病毒和威胁防护设置
在Windows安全中心左侧菜单中找到“病毒和威胁防护”，点击进入后滚动至“管理设置”区域。
添加排除项
找到“排除项”部分，点击“添加或删除排除项”，在弹出的窗口中点击“添加排除项”，选择“文件夹”，然后定位到Clash的安装目录。
默认安装路径为：C:\Program Files\Clash Verge 或 C:\Users\你的用户名\AppData\Local\Clash Verge，如果自定义安装过Clash，需选择实际存放目录。
验证排除成功
返回Windows安全中心主页,点击“保护历史”，确认Clash相关文件不再出现在隔离列表中，重新启动Clash客户端，测试节点连接是否正常。
Clash核心概念详解
代理组类型选择
Clash配置中的代理组（Proxy Group）决定了流量如何分配到不同节点：
- select（手动选择）：列出所有可用节点，用户手动切换，适合对节点有明确偏好的场景，如特定节点看视频更流畅。
- url-test（自动测速）：定期对节点发起HTTP请求，根据延迟自动选择最优节点，适合需要持续保持最佳连接的场景。
- fallback（故障转移）：按顺序尝试节点列表，第一个可用的节点生效，适合对稳定性要求高的办公场景。
配置示例：
proxy-groups:
- name: 手动选择
type: select
proxies:
- 节点A
- 节点B
- 节点C
- name: 自动测速
type: url-test
url: http://www.gstatic.com/generate_204
interval: 300
proxies:
- 节点A
- 节点B
- name: 故障转移
type: fallback
url: http://www.gstatic.com/generate_204
interval: 300
proxies:
- 节点A
- 节点B
TUN模式与系统代理的区别
系统代理模式通过修改系统代理设置（HTTP/HTTPS代理）工作，仅处理浏览器和部分应用的HTTP/HTTPS流量，配置简单，但无法代理游戏客户端、UDP流量（如VoIP、视频通话）。
TUN模式创建一个虚拟网卡（TAP/TUN接口），拦截所有经过网卡的网络流量，包括UDP和TCP，适合需要代理游戏、直播、远程桌面等场景，开启TUN模式需要在Clash配置中启用：
dns:
enable: true
listen: 0.0.0.0:53
enhanced-mode: fake-ip
nameserver:
- 223.5.5.5
- 119.29.29.29
tun:
enable: true
stack: system
dns-hijack:
- 8.8.8.8
- 8.8.4.4
auto-route: true
分流规则写法与优先级
Clash规则按从上到下的顺序匹配,匹配到第一条规则后生效，常用规则类型：
- DOMAIN：精确匹配域名，如
DOMAIN,google.com。 - DOMAIN-SUFFIX：匹配域名后缀，如
DOMAIN-SUFFIX,google.com会匹配mail.google.com、drive.google.com等。 - IP-CIDR：匹配IP段，如
IP-CIDR,10.0.0.0/8,no-resolve。 - GEOIP：匹配国家/地区代码，如
GEOIP,US。
规则示例：
rules: - DOMAIN-SUFFIX,google.com,自动测速 - DOMAIN-SUFFIX,youtube.com,手动选择 - IP-CIDR,192.168.0.0/16,DIRECT - GEOIP,CN,DIRECT - MATCH,自动测速
建议将常用网站放在规则列表顶部,GEOIP规则放在中间，末尾用MATCH捕获剩余流量。
常见问题FAQ
Q1：添加白名单后Clash仍然无法连接
现象：按照上述步骤操作后，Clash仍提示连接失败或节点超时。
原因：可能是Windows防火墙同时阻止了Clash的网络访问权限，或代理规则配置错误导致流量被劫持。
解决方法：打开“Windows 防火墙和网络保护”，检查Clash.exe是否在“允许的应用”中，确认后重新编辑配置文件，检查rules部分是否包含正确的节点组名称。
Q2：开启TUN模式后其他应用无法上网
现象：启用TUN模式后，浏览器无法打开任何网页，但Clash显示已连接。
原因：TUN模式的fake-ip功能与本地网络服务冲突，或DNS配置不当导致域名解析失败。
解决方法：在配置中关闭fake-ip模式，改用redir-host模式，或在tun配置中排除本地网段：
tun:
enable: true
stack: system
auto-route: true
exclude-ip:
- 192.168.0.0/16
- 10.0.0.0/8
- 172.16.0.0/12
Q3：节点测试延迟正常但无法访问目标网站
现象：在Clash面板中节点延迟显示正常（如50ms），但访问Google、YouTube等网站提示超时。
原因：节点本身可用性差，或目标网站已被节点服务商阻断；也可能是规则中MATCH指向了不可用的代理组。
解决方法：切换至其他节点测试，确认为节点问题后联系服务商更换，检查配置文件中MATCH对应的代理组是否包含可用节点。
节点选择建议
不同使用场景对节点性能要求差异明显：4K视频流畅播放需要高带宽专线；竞技游戏需要低延迟（<100ms）和稳定连接；跨境办公则需要持续稳定且不被频繁换IP。
判断节点服务商是否靠谱,可以观察其是否提供测试带宽、是否有SLA保障、节点更新频率是否正常，避免选择过于便宜的套餐，跨境网络质量与价格通常成正比。
