Windows Defender常将Clash内核误判为威胁并自动隔离，导致国际网络加速工具无法正常运行，本文详解Windows安全中心添加白名单的完整流程，涵盖TUN模式与系统代理的区别，以及代理组配置技巧,确保跨境办公环境稳定连接。
为什么需要添加白名单
Clash内核（clash.exe或mihomo.exe）在运行时会修改系统网络栈以实现流量转发，这一行为常被Windows Defender的实时保护机制识别为"潜在有害程序"，特别是开启TUN模式时，驱动级网络接管更容易触发安全警报,导致配置文件被自动删除或程序无法启动。
添加白名单操作步骤
-
打开Windows安全中心
按Win+I进入设置，选择"隐私和安全性" > "Windows安全中心" > "病毒和威胁防护"。 -
管理排除项
在"病毒和威胁防护"设置下，点击"管理设置"，滚动至"排除项"区域，选择"添加或删除排除项"。 -
添加Clash目录
点击"添加排除项" > "文件夹"，选择Clash安装目录（通常为C:\Users\[用户名]\.config\clash或Clash Verge Rev的安装路径）,建议同时添加订阅文件下载目录。 -
还原被隔离文件
若内核已被删除，进入"保护历史记录"，找到被隔离的Clash相关文件，选择"还原"并确认"允许在设备上存在"。
Clash核心配置概念
代理组类型选择
配置文件中proxy-groups决定流量分配逻辑：
proxy-groups:
- name: "手动选择"
type: select
proxies:
- 节点A
- 节点B
- name: "自动测速"
type: url-test
url: http://www.gstatic.com/generate_204
interval: 300
proxies:
- 节点A
- 节点B
- name: "故障转移"
type: fallback
url: http://www.gstatic.com/generate_204
interval: 300
proxies:
- 节点A
- 节点B
- select：手动切换节点，适合需要固定IP的学术资源访问场景
- url-test：自动选择延迟最低节点，适合日常浏览
- fallback：主节点失效时自动切换，适合跨境办公等高稳定性需求
TUN模式与系统代理区别
系统代理：仅代理HTTP/HTTPS流量，浏览器和大部分应用自动识别，但UDP流量（如游戏、视频通话）无法转发。
TUN模式：通过虚拟网卡接管所有流量（TCP+UDP），实现全局代理，此模式需要管理员权限，且更容易被Windows Defender拦截,必须提前添加白名单。
分流规则优先级
规则匹配遵循从上到下顺序：
rules: - DOMAIN,clash.download,DIRECT - DOMAIN-SUFFIX,google.com,Proxy - IP-CIDR,142.250.0.0/16,Proxy - GEOIP,CN,DIRECT - MATCH,Proxy
- DOMAIN：精确匹配单个域名
- DOMAIN-SUFFIX：匹配域名后缀（如
google.com匹配mail.google.com） - IP-CIDR：IP段匹配，适合处理DNS解析后的直连优化
- GEOIP：基于地理位置分流，国内流量直连可提升访问速度
常见问题排查
现象：Clash Verge Rev启动后进程自动消失，安装目录下exe文件缺失
原因：Windows Defender实时保护将内核识别为Trojan:Win32/Wacatac.B!ml并自动删除
解决方法：暂停实时保护后重新安装，立即添加白名单，并在"保护历史记录"中彻底删除隔离记录
现象：开启TUN模式后提示"Start TUN interface error: Access is denied"
原因：Defender阻止了网卡驱动安装或权限提升
解决方法：以管理员身份运行Clash，检查排除项是否包含wintun.dll和clash-meta.exe
现象：订阅更新失败，提示"Network Error"或证书错误
原因：系统时间不同步或Defender拦截了出站连接
解决方法：校准系统时间，在防火墙设置中允许Clash通过，并检查订阅链接是否被误加入黑名单
对于需要长期稳定使用的用户，建议选择提供Clash YAML格式订阅的服务商，避免频繁手动转换配置，优质节点应具备低延迟的url-test自动切换能力，确保跨境办公时视频会议不卡顿、学术数据库访问流畅，配置完成后建议备份config.yaml文件,防止系统重置后重复设置。
