Clash 混合連接埠與 allow-lan 區域網路分享：手機、平板連接電腦代理設定

準備用戶端與訂閱

要分享區域網路代理，電腦上的 Clash 用戶端必須先能正常代理連線。請前往Clash 用戶端下載頁，依 Windows、macOS 或 Linux 選擇用戶端。安裝後，在用戶端的「訂閱」或「設定檔」頁面加入服務商提供的訂閱網址，下載設定檔並設為目前使用的設定檔。各用戶端的選單名稱不盡相同，安裝與匯入方式請參考快速入門教學。

匯入後，先使用規則模式，在實際命中的代理群組中選擇可用節點，並在電腦上確認連線結果。訂閱提供節點與規則，用戶端則負責執行核心；開啟區域網路分享不會新增節點，也無法解決訂閱到期、節點失效或規則選錯等問題。

確認目前設定檔已啟用，而不只是下載完成。
記下用戶端顯示的混合連接埠。本文以 7890 為例；若實際連接埠不同，請一併替換。
讓電腦與手機連上同一個可信任的區域網路。電腦使用有線網路、手機使用 Wi-Fi 也沒問題，只要路由器允許兩台裝置彼此連線。
暫時關閉手機上的其他 VPN 或代理 App，避免測試流量經由其他連線傳送。

mixed-port、HTTP 與 SOCKS5

mixed-port 是同時接收 HTTP 代理與 SOCKS5 代理連線的監聽連接埠。核心會根據連線開始時的協定交握辨識請求，因此兩種協定不必分別使用不同連接埠。它也不是將所有流量混在一起隨機轉送：請求進入核心後，仍由規則、策略群組與節點選擇決定出口。

三種代理連接埠的用途
設定欄位	接收協定	使用情境
`port`	HTTP 代理	瀏覽器、系統 Wi-Fi 手動代理
`socks-port`	SOCKS5 代理	支援 SOCKS5 的 App 或命令列工具
`mixed-port`	HTTP 與 SOCKS5	多台裝置共用同一個代理連接埠

手機 Wi-Fi 的「手動代理」通常設定的是 HTTP 代理，而不是 SOCKS5。輸入混合連接埠即可接收這類請求。瀏覽 HTTPS 網站時，用戶端通常會透過 HTTP 代理的 CONNECT 方法建立通道，因此不必將代理位址寫成 https://192.168.50.23，一般代理分享也不需要安裝憑證。

allow-lan 與監聽位址

allow-lan: true 用來允許區域網路裝置連線；監聽位址則決定服務在哪些本機位址接收連線。如果核心仍只監聽 127.0.0.1，電腦本身可以使用，手機卻無法連線。以下是常見 Clash 與 mihomo 設定中的分享片段，請合併至現有設定檔的最上層，不要用它取代整份訂閱內容：

mixed-port: 7890
allow-lan: true
bind-address: "*"
mode: rule

"*" 代表監聽所有網路介面，方便示範，但開放範圍也更大。電腦若有多張網卡或連上不可信任的網路，應搭配防火牆限制連線範圍；也可依核心支援情況綁定指定的區域網路位址。訂閱更新可能覆蓋手動修改，建議優先使用用戶端提供的「允許區域網路連線」、「混合連接埠」設定，或透過覆寫、合併功能保留這些欄位。修改後重新載入設定檔，並查看記錄是否出現連接埠占用或欄位錯誤。

確認電腦的區域網路 IP 與連接埠

手機應填入電腦的區域網路位址，而不是電腦的公網位址，也不是 127.0.0.1；後者在手機上代表手機本身。本文假設電腦位址為 192.168.50.23、手機位址為 192.168.50.80，子網路遮罩為 255.255.255.0。這些僅供設定示範，請以裝置實際顯示的位址為準。

Windows

前往「設定」→「網路和網際網路」→目前連線的「Wi-Fi」或「乙太網路」→網路內容，查看 IPv4 位址。也可以在終端機執行以下命令，找出目前使用中的實體網卡，避免選到 VPN、虛擬機或 TUN 虛擬網卡：

ipconfig
netstat -ano | findstr :7890

監聽結果通常應包含 0.0.0.0:7890 或指定的區域網路位址，並顯示 LISTENING。如果只看到 127.0.0.1:7890，請檢查區域網路開關與監聽設定；如果完全沒有監聽記錄，先確認核心已啟動及實際使用的連接埠。

macOS 與 Linux

macOS 可前往「系統設定」→「網路」→目前使用的連線→「詳細資訊」→「TCP/IP」查看位址。Linux 可在網路設定中查看 IPv4，也可以使用以下命令檢查網路介面與監聽狀態：

ip -4 addr
ss -lntp 'sport = :7890'

筆記型電腦切換 Wi-Fi 後，位址可能會改變。若要長期使用，可在路由器的 DHCP 位址保留功能中，為電腦保留固定位址，免得一直在手機上修改代理主機。電腦進入睡眠、闔上上蓋或結束用戶端後，分享入口也可能停止運作。

防火牆與可信任網路範圍

啟用 allow-lan 只會讓核心接受外部連線，作業系統防火牆仍可能封鎖連線。請放行電腦的代理監聽連接埠，不要關閉整個防火牆；也不要在路由器上將 7890 轉送至公網。

Windows 入站規則

開啟「Windows 安全性」→「防火牆與網路保護」→「進階設定」。
選擇「輸入規則」→「新增規則」→「連接埠」，通訊協定選 TCP，特定本機連接埠填入 7890。
選擇「允許連線」，在可信任的家庭網路中只勾選「私人」設定檔，並確認目前網路確實設為私人網路。
建立規則後，開啟其「內容」→「範圍」，將遠端 IP 限制為手機的實際 IP，或可信任的子網路，例如 192.168.50.0/24。

以上 TCP 放行設定適用於本文的 HTTP 瀏覽測試，不代表所有 SOCKS5 UDP 情境都已設定完成。辦公室網路、公寓共用網路或訪客 Wi-Fi 不適合直接放行整個子網路，應進一步限制連線裝置來源。

macOS 與 Linux 放行連線

較新版本的 macOS 可前往「系統設定」→「網路」→「防火牆」→「選項」，確認相關用戶端或核心程序是否允許傳入連線；不同系統版本的路徑可能略有差異。Linux 若使用 UFW，可依範例子網路新增規則，並檢查現有政策：

sudo ufw allow from 192.168.50.0/24 to any port 7890 proto tcp
sudo ufw status numbered

手機、平板與電視代理設定

iPhone 與 iPad

開啟「設定」→「Wi-Fi」，點選目前 Wi-Fi 右側的資訊按鈕。
在「HTTP 代理伺服器」區塊中進入「設定代理伺服器」，選擇「手動」。
伺服器填入電腦的實際位址，例如 192.168.50.23；連接埠填入 7890，伺服器欄位不要加上通訊協定前綴。
本文範例未設定連入帳號與密碼，因此請關閉「認證」，儲存後使用瀏覽器測試。

這項設定只適用於目前的 Wi-Fi，不會自動套用到行動網路。切換至其他 Wi-Fi 時，也需要分別設定。並非所有 App 都會遵循系統 HTTP 代理設定；瀏覽器能開啟網站，不代表所有 App 都會透過電腦連線。

Android 手機與平板

常見路徑為「設定」→「網路和網際網路」→「網際網路」→目前的 Wi-Fi→編輯網路→「進階選項」→「代理伺服器」→「手動」。部分廠牌的系統需長按網路或進入網路詳細資料，選單也可能標示為「WLAN」。代理主機名稱填入 192.168.50.23，代理連接埠填入 7890；初次排查時，先讓略過清單保持空白。

Android 的 Wi-Fi HTTP 代理同樣不等於透過 VpnService 接管所有流量。遊戲、即時通訊及使用自訂網路堆疊的 App 可能不遵循這項設定。若目標 App 不支援 HTTP 代理，通常較適合在手機上安裝相容用戶端並設定 VPN 接管，而不是反覆更換電腦端的連接埠。

電視與機上盒

部分 Android TV 裝置可前往「設定」→「網路和網際網路」→目前使用的網路→「代理伺服器設定」，選擇手動代理；實際路徑依廠牌韌體而異。若裝置沒有這個選項，請確認目標 App 是否提供自己的代理設定。一般 HTTP 代理無法保證電視上的所有 App 與 UDP 流量都經過電腦；必要時應使用裝置支援的用戶端，或另外規劃路由器代理方案。

連線測試與規則命中

建議依照「連接埠可連線 → 代理請求成功 → 規則出口正確」的順序測試。瀏覽失敗可能出在區域網路連線、防火牆、節點或規則等任一環節，不宜直接判定為訂閱失效。

從另一台電腦測試

如果區域網路中有另一台 Windows 電腦，可以先測試 TCP 連接埠，再明確指定 HTTP 代理送出請求。以下命令使用範例主機位址，目標網站僅用來確認 HTTP 回應：

Test-NetConnection 192.168.50.23 -Port 7890
curl.exe -I --connect-timeout 5 --max-time 20 --proxy http://192.168.50.23:7890 https://example.com/

TcpTestSucceeded: True 只能證明 TCP 連線成功，無法證明節點或規則正常。收到目標網站的回應標頭，才表示請求路徑大致暢通。連接埠無法連線時，先檢查位址、監聽狀態與防火牆；連接埠可通但請求失敗時，再查看核心記錄與代理群組狀態。

SOCKS5 與網域名稱解析

curl --head --connect-timeout 5 --max-time 20 --proxy socks5h://192.168.50.23:7890 https://example.com/

socks5h 代表將目標網域名稱交由代理端解析；socks5 則可能由工具先在本機解析。這項測試只會確認 SOCKS5 的 TCP 請求正常，不能據此判定 UDP 轉送也已正常。

測試時也請開啟用戶端的「連線」頁面，查看手機來源 IP、目標網域、命中規則與策略鏈。規則模式下，請求可能命中 DIRECT，也可能進入某個代理群組；確認實際命中的群組已選取預期節點，才能判斷流量出口。暫時切換至全域模式可協助釐清是否為規則問題；測試完成後，請切回日常使用模式。

常見問題與分享限制

區域網路代理故障排查順序
狀況	優先檢查項目	處理方式
電腦可用，手機連線逾時	監聽位址、防火牆、AP 隔離	確認區域網路位址與 TCP 7890 可連線
重新啟動電腦後失效	DHCP 位址變更、核心未啟動	保留固定位址並確認啟動狀態
訂閱更新後無法分享	區域網路欄位遭到覆蓋	使用用戶端覆寫設定，並核對目前使用的設定檔
瀏覽器可用，遊戲無法連線	App 是否遵循 HTTP 代理設定	確認 App 的代理支援，或改用本機 VPN 方案
手機螢幕關閉後連線中斷	電腦睡眠、Wi-Fi 狀態	分別檢查代理主機與連線裝置

電腦一定要開啟系統代理或 TUN 模式嗎？

不需要。只要核心正在執行，並在區域網路位址上監聽代理連接埠，手機就能主動連線。電腦的系統代理主要影響遵循系統設定的程式；電腦的 TUN 則主要接管電腦本身的流量，不會自動接管手機的所有流量。手機必須明確設定代理，或另外規劃閘道與路由方案。

開啟分享後，需要開放外部控制連接埠嗎？

不需要。代理入口與 external-controller 是兩種不同的服務。不要將儀表板控制介面當作手機代理位址，也不必為了分享代理而開放控制介面。常見的控制連接埠與本文的 7890 混合代理連接埠用途不同。

分享代理可以設定密碼嗎？

支援相關欄位的核心可透過 authentication 設定 HTTP、SOCKS 入站認證，但部分裝置與 App 對代理認證的支援有限，啟用後務必逐一測試。認證只能提供額外保護，不能取代防火牆的來源限制，更不能成為將代理連接埠暴露於公網的理由。

停止分享後的清理

在手機或平板目前使用的 Wi-Fi 設定中，將代理恢復為關閉；否則電腦離線後，裝置可能持續等待代理回應。
關閉用戶端的區域網路分享開關，並刪除不再使用的防火牆輸入規則。
在用戶端的連線清單中確認連入裝置來源，避免長期向不熟悉的裝置開放代理入口。

穩定分享代理需要同時符合四項條件：電腦代理本身可正常使用、監聽設定允許區域網路連線、網路與防火牆允許裝置互連，以及終端 App 支援所選的代理方式。依序檢查這四個環節，比同時更改連接埠、節點與規則更容易找出問題。