Windows Defender常将Clash核心组件误判为威胁并隔离，导致国际网络加速工具无法启动，本文提供系统级白名单添加方案，涵盖TUN模式驱动与系统代理组件的完整防护策略，确保跨境办公环境稳定运行。
现象诊断：为什么Clash会被安全软件拦截
Windows Defender的实时防护机制会扫描所有可执行文件的行为特征，Clash内核（clash.exe或clash-meta.exe）在建立虚拟网卡、修改系统代理设置时，触发Heuristics检测规则，被标记为HackTool:Win32/ProxyChanger，这导致程序文件被自动隔离，用户启动客户端时提示"找不到核心文件"或"服务启动失败"。
三步完成Clash添加Windows Defender白名单
恢复被隔离的核心组件
打开Windows安全中心 → 病毒和威胁防护 → 保护历史记录，找到"已隔离威胁"列表中Clash相关的条目，选择"操作" → "还原"，若使用Clash Verge Rev，需同时还原"clash-verge-service.exe"。
配置排除项路径
设置 → 隐私和安全性 → Windows安全中心 → 病毒和威胁防护 → 管理设置 → 排除项 → 添加排除项 → 文件夹，将以下路径加入白名单：
C:\Users\[用户名]\.config\clash
C:\Program Files\Clash Verge
%LOCALAPPDATA%\clash-verge允许防火墙通信
控制面板 → 系统和安全 → Windows Defender防火墙 → 允许应用通过防火墙，勾选Clash相关程序的"专用"和"公用"网络权限，确保TUN模式下的虚拟网卡驱动（WinTun）能正常收发UDP流量。
核心概念：代理组与运行模式解析
配置Clash时,理解proxy-groups的三种类型决定流量调度效率：
- select: 手动选择节点，适合固定线路的学术资源访问
- url-test: 自动测速选优，延迟低于阈值自动切换，适合视频流媒体
- fallback: 故障转移模式，主节点超时后按顺序切换，保障跨境办公连续性
TUN模式与系统代理的本质差异：TUN通过虚拟网卡接管系统所有流量（含ICMP、UDP游戏数据），需安装WinTun驱动；系统代理仅修改IE/Edge的HTTP/HTTPS代理设置，不影响全局网络，Windows Defender对TUN模式的拦截概率更高，因其涉及驱动层操作。
分流规则配置示例
合理的rules配置减少不必要的代理跳转：
rules: - DOMAIN-SUFFIX,cn,DIRECT - GEOIP,CN,DIRECT - IP-CIDR,192.168.0.0/16,DIRECT - DOMAIN-KEYWORD,google,Proxy - MATCH,Auto-Select
优先级自上而下：精确DOMAIN匹配 > 后缀匹配 > IP段 > 国家码 > 兜底规则，建议将微软服务（DOMAIN-SUFFIX,microsoft.com）设为DIRECT，避免Windows更新流量经代理传输引发安全软件警觉。
FAQ：常见拦截场景处理
现象：开启TUN模式后Clash进程消失
原因：WinTun驱动数字签名被SmartScreen拦截
解决：设备管理器中手动安装wintun.inf，或在Windows安全中心 → 应用和浏览器控制 → 基于声誉的保护设置中，关闭"检查应用和文件"的实时扫描。
现象：订阅更新时提示"网络错误"
原因：Defender防火墙阻断Clash对外HTTP请求
解决：高级设置 → 出站规则 → 新建规则 → 程序路径选择clash.exe → 允许连接。
对于需要长期稳定国际网络加速的用户,建议选择提供Clash原生YAML订阅的服务商，避免频繁手动转换配置，优质节点应具备IPLC/IEPL专线保障，在url-test模式下延迟波动小于20ms，满足4K视频播放与远程办公的低延迟需求，配置完成后建议开启Clash的"系统托盘静默启动"与"开机自启"，配合Windows Defender白名单实现无感知的后台代理服务。
