Clash 全プラットフォームインストール設定大全:5プラットフォーム別完全ガイド

CH-00 · 共通準備:始める前に用意すべき3つのもの

どのプラットフォームでもインストールの流れは3つの前提の上に成り立っています。デバイスに合ったクライアントのインストールパッケージ、有効なサブスクリプションリンク、そして「クライアント—内核(コア)—設定」の三層関係についての基本理解です。3つのうち1つでも欠けると、後の手順のどこかで詰まってしまうため、まずこの章を読み終えてからプラットフォーム別の章に進んでください。

クライアント、内核(コア)、設定の関係

普段「Clashクライアント」と呼んでいるものはGUIの外殻であり、内部には実際に通信を処理する内核(コア)プログラムが組み込まれています(現在主流のクライアントはほぼMihomo内核を内蔵)。クライアントはUI操作を担当します:サブスクリプションの導入、ノードの切り替え、システムプロキシのオンオフなど。内核は設定ファイルに基づいてプロキシ接続を確立し、ルールをマッチングし、通信を転送する役割を担います。設定ファイル(Profile)はYAML文書で、ノード、ポリシーグループ、ルールの3つの部分から構成され、通常はサブスクリプションリンクから自動生成されるため手書きは不要です。この階層構造を理解しておくと、トラブル対処の考え方がかなり明確になります。UIの異常はクライアントを確認し、接続の異常は設定とノードを確認し、ルールが効かない場合は設定内のrules段を確認します。

サブスクリプションリンクの取得と管理

サブスクリプションリンクはプロキシサービスの提供元が発行するもので、通常はユーザーセンターの「サブスクリプションをコピー」ボタンから取得でき、コピーすると完全なhttpsアドレスが得られます。クライアントに導入する際はこのアドレスを貼り付ければ、クライアントが定期的にそこから最新のノードとルールを取得します。管理上の注意点は2つあります。1つ目は、サブスクリプションリンクには識別情報が含まれ、アカウント認証情報と同等に扱うべきものなので、チャットグループに貼ったりスクリーンショットに写り込ませたりしないこと。2つ目は、リンクが失効または期限切れになるとクライアントの更新が失敗するため、その場合はまずサービス提供元のユーザーセンターで再取得することを先に試し、クライアントの故障を疑うのは後にすること——サブスクリプション失効の完全な判断手順はサブスクリプションリンク失効チェックリストの記事を参照してください。

プラットフォームとクライアントの対応関係

5つのプラットフォームで利用できるクライアントは異なります。以下の表は本サイトダウンロードページに掲載しているリストの要約で、各プラットフォームの第一候補はすべてClash Plusに統一されています(iOSはApp Store経由での配布、その他のプラットフォームはインストールパッケージ)。

メンテナンスが終了したClash for WindowsとClashX Metaはダウンロードページにアーカイブとして残されており、既存ユーザーは引き続き入手できますが、新規導入時にはおすすめしません——今後の内核・プロトコル対応が更新されないためです。

↑ 目次に戻る

CH-01 · Windows:インストール、サービスモードとUWPループバック

ダウンロードとインストール

ダウンロードページのWindowsタブからインストーラーを取得します。第一候補はClash Plus、代替はClash Verge Rev、FlClash、Clash Nyanpasuで、いずれもx64アーキテクチャの.exeインストーラーであり、Windows 10とWindows 11に対応しています。インストーラーをダブルクリックし、インストールパスはデフォルトのままにしておくことを推奨します(日本語やスペースを含む独自パスは避けてください。一部のコンポーネントがこれに敏感です)。新しくダウンロードしたインストーラーを初めて実行すると、SmartScreenが「Windows によって PC が保護されました」という表示を出すことがあります。これはダウンロード数の少ないファイルに対する一般的な警告で、「詳細情報」をクリックし、「実行」をクリックすれば続行できます。インストール完了後の初回起動時には、システムファイアウォールがネットワークアクセス許可を確認してくるので、プライベートネットワークにチェックを入れて許可してください。

サブスクリプションの導入

クライアントを開き、設定(Profiles)ページに進み、アドレス入力欄にサブスクリプションリンクを貼り付けて「インポート/ダウンロード」をクリックします。クライアントが設定を取得して設定カードを生成するので、そのカードをクリックして現在の有効項目に設定します。続いてプロキシ(Proxies)ページでノード一覧が読み込まれていることを確認してください——一覧が空の場合はサブスクリプションの取得に失敗しているので、本ページ第7章のエラー対照表を参照して原因を調べます。

システムプロキシとTUNモード

Windowsには2種類の通信の引き受け方式があります。1つ目はシステムプロキシです:クライアントのホーム画面で「システムプロキシ」を有効にすると、システムのインターネット設定を書き換え、その設定に従うアプリ(ブラウザや大半のデスクトップソフト)の通信をクライアントが監視するローカルポート(デフォルト7890)に渡すという仕組みです。2つ目はTUNモードです:クライアントが仮想ネットワークカードを作成し、ネットワーク層で全アウトバウンド通信を引き受けます。これにはシステムプロキシ設定を読まないコマンドラインプログラムやゲームクライアントも含まれます。TUNを有効にする前に、設定でサービスモード(Service Mode)をインストールする必要があり、その際にUAC承認ウィンドウが表示されます。同意するとサービスが常駐し、その後TUNのスイッチをオンにするだけです。2つの方式を同時に併用しないでください:通常はシステムプロキシだけで十分で、特定のプログラムがプロキシを通らない場合にTUNへ切り替えます。

プラットフォーム特有の問題

UWPアプリのループバック制限。Microsoft Storeで配布されるUWPアプリは、デフォルトでローカルループバックアドレス(127.0.0.1)へのアクセスがシステムによって禁止されているため、システムプロキシモードではストア系アプリが全くプロキシを通らないことがあります。一部のクライアントの設定には「UWPループバック除外」ツールがあり、ワンクリックで許可できます。システム標準のコマンドを使って個別のアプリを手動で許可することもできます。例えばストア本体を許可する場合:

CheckNetIsolation.exe LoopbackExempt -a -n="Microsoft.WindowsStore_8wekyb3d8bbwe"

1つずつ対処したくない場合は、TUNモードに切り替えれば、ネットワーク層での引き受けはループバック制限の影響を受けません。

ポートの競合。クライアント起動時にポートエラーが出る場合、多くは7890ポートが他のプログラム(または前回正常終了しなかったクライアントのプロセス)によって占有されています。以下のコマンドで占有しているプロセスのPIDを調べ、タスクマネージャーでそれを終了させます:

netstat -ano | findstr "7890"

スタートアップ起動。クライアントの設定でスタートアップ起動とサイレント起動を有効にすれば、システム起動と同時にプロキシが準備されます。TUNも同時に有効化する場合はサービスモードがインストール済みである必要があり、そうでないと起動時にTUNが自動的に有効になりません。

↑ 目次に戻る

CH-02 · macOS:チップアーキテクチャ、セキュリティ確認とEnhanced Mode

まずチップアーキテクチャを確認

macOSのインストールパッケージはApple Silicon(M系チップ、arm64)とIntel(x64)の2バージョンに分かれており、アーキテクチャを間違えると起動できないか、非効率な変換処理を経由することになります。確認方法は、画面左上のAppleメニュー→「このMacについて」をクリックし、チップの項目に「Apple M…」と表示されればApple Silicon版を、「Intel…」と表示されればIntel版を選びます。確認後はダウンロードページのmacOSタブで対応する.dmgファイルを選択してください。第一候補はClash Plus、代替はClash Verge RevとFlClashです。

インストールと初回起動

.dmgファイルをダブルクリックしてマウントし、アプリアイコンをApplicationsフォルダにドラッグしてから、イメージを取り出します。ネットワークからダウンロードしたアプリを初めて開く際、Gatekeeperが確認ダイアログを表示するので「開く」をクリックします。「開発者を確認できないため開けません」と表示された場合は、アプリアイコンを右クリック→開く、を選んで再度確認してください。「ファイルが破損しているため、ゴミ箱に入れる必要があります」と表示された場合、これは隔離属性による警告でファイルが実際に破損しているわけではありません。ターミナルで以下のコマンドを実行して隔離マークを除去してから再度開いてください(パスは実際のアプリ名に合わせて調整):

xattr -dr com.apple.quarantine /Applications/Clash\ Plus.app

サブスクリプションの導入

手順はWindowsと同じです:設定ページにサブスクリプションリンクを貼り付け→インポート→生成された設定を有効化→プロキシページでノード一覧が空でないことを確認。macOS版のクライアントは通常メニューバーに常駐し、メインウィンドウを閉じてもメニューバーのアイコンから再度呼び出せます。

システムプロキシとTUN(Enhanced Mode)

「システムプロキシ」をオンにすると、クライアントはシステムのネットワーク環境設定を変更する必要があり、初回はヘルパーツールのインストールと管理者パスワードの入力を求められます。これは一度限りの承認です。有効化後、システム設定→ネットワーク→現在のネットワーク→詳細→プロキシで、HTTP/HTTPSプロキシがローカルポートを指していることが確認できます。TUNモード(一部のクライアントでは「Enhanced Mode」と呼ばれます)は仮想ネットワークインターフェースを作成して全通信を引き受けます。初回有効化時も同様に管理者権限の承認が必要です。システムがネットワーク拡張機能やバックグラウンド項目の許可を確認してきた場合は、必ず許可してください。許可しないと仮想ネットワークカードが作成できません。

プラットフォーム特有の問題

ターミナルはシステムプロキシを通らない。コマンドラインプログラムはデフォルトでシステムプロキシ設定を読み取らないため、ターミナルのセッション内で手動で環境変数をエクスポートします(ポート番号はクライアントが実際にリスニングしている値に合わせてください):

export https_proxy=http://127.0.0.1:7890
export http_proxy=http://127.0.0.1:7890
export all_proxy=socks5://127.0.0.1:7890

スタートアップ起動。システム設定→一般→ログイン項目で、クライアントを「ログイン時に開く」に追加します。クライアント自身の設定にある自動起動スイッチも同等の機能なので、どちらか一方だけを使ってください。両方を追加すると2つのインスタンスが起動してしまいます。

ClashX Metaユーザーへ。このクライアントはメンテナンスが終了しており、ダウンロードページにはアーカイブとして残されています。既存の設定は引き続き使用できますが、上記の手順に沿ってClash PlusまたはClash Verge Revへ移行することを推奨します。サブスクリプションを再導入するだけで完了します。

↑ 目次に戻る

CH-03 · Android:ABIによるパッケージ選択、VPN承認とバックグラウンド維持

ABIアーキテクチャに応じたパッケージ選択

AndroidのインストールパッケージはCPU命令セット(ABI)別に分かれており、選び間違えるとインストールに失敗するか動作しません。対照表は以下の通りです:

インストールパッケージはダウンロードページのAndroidタブから取得します。第一候補はClash Plus、代替はClash Meta for Android、FlClash、Surfboardです。デバイスのアーキテクチャがわからない場合はuniversalパッケージを選んでください。

インストールと承認

ブラウザで.apkをダウンロードしてインストールをタップすると、システムが「不明なアプリのインストールは許可されていません」と表示することがあります。表示に従って設定に進み、現在使用しているブラウザ(またはファイル管理アプリ)で「不明なアプリのインストールを許可」をオンにし、戻ってインストールを続けます。これはAndroidにおけるサイドロードアプリの標準的な手順で、アプリごとに1回承認すれば済みます。

サブスクリプションの導入

クライアントを開き、設定ページに進み、新規設定を作成→「URL/サブスクリプションリンク」タイプを選択→リンクを貼り付け→保存します。クライアントがリモートの設定を取得すると設定項目が生成されるので、それを選択して有効化します。一部のクライアントはクリップボードからサブスクリプションリンクを自動検出でき、コピーしてからアプリを開くとインポートの確認ダイアログが表示されます。

プロキシの起動:VpnServiceによる引き受け

AndroidにはデスクトップOSのような「システムプロキシスイッチ」はなく、クライアントはシステムのVpnServiceインターフェースを通じてローカルVPNトンネルを確立し通信を引き受けます。これはデスクトップ版のTUNモードと同等の効果です。起動ボタンを初めてタップすると、システムが「接続のリクエスト」ダイアログを表示するので、確認するとステータスバーに鍵アイコンが表示され、プロキシが有効になります。クライアント設定内の「アクセス制御(Access Control)」で、どのアプリをプロキシ経由にし、どれを直接接続にするかを指定でき、必要に応じてアプリ単位のプロキシ設定が可能です。

プラットフォーム特有の問題

バックグラウンドで強制終了される。各メーカーのカスタムシステムの省電力ポリシーがバックグラウンド常駐プロセスを掃除し、しばらくするとプロキシが自動的に切断されることがあります。対処法:システムのバッテリー/バックグラウンド管理設定でクライアントを「制限なし」に設定するかホワイトリストに追加し、最近のタスク画面でロックしてください。メーカーごとに設定項目の名称は異なりますが、キーワードは「バッテリー最適化」と「自動起動管理」です。

プライベートDNSとの競合。システム設定内の「プライベートDNS(Private DNS)」で暗号化DNSプロバイダーを指定している場合、クライアントのDNS引き受け(特にfake-ipモード)と干渉し合い、一部のドメイン名解決が異常になることがあります。プロキシ使用中はプライベートDNSを「自動」に設定するか、オフにすることを推奨します。

ノードは選択済みなのに一部のアプリだけプロキシを通らない。まずアクセス制御リストでそのアプリが除外されていないかを確認し、次にそのアプリ自体に独自のプロキシバイパス処理が組み込まれていないかを確認してください。

↑ 目次に戻る

CH-04 · iOS:App StoreインストールとVPN構成の承認

クライアントの入手

iOSプラットフォームではApp Store経由で配布され、クライアントはClash Plusです。ストアへのリンクはダウンロードページのiOSタブにあり、開発元の公式サイトはclashplus.ioで、アプリ情報を確認する際の第一の参照先として使えます。App Storeで検索するか、ダウンロードページのリンクから詳細ページに直接アクセスし、通常のアプリと同じ流れでインストールします。iPhoneとiPadの両方に対応しています。

初回起動:VPN構成の追加を許可

iOSでのプロキシ引き受けはシステムのネットワーク拡張機能によって実現されており、クライアントを初めて接続する際、システムは「"Clash Plus"がVPN構成の追加を求めています」という確認ダイアログを表示します——これは必ず通過する手順で、「許可」をタップし、画面の指示に従ってロック画面パスコードまたはFace IDで認証してください。承認が完了すると、システム設定→一般→VPNとデバイス管理に対応する項目が表示され、その状態はクライアント内の接続スイッチと同期しているため、どちらからでも現在の接続状態を確認できます。

サブスクリプションの導入

クライアントを開いて設定ページに進み、URLから追加を選択し、サブスクリプションリンクを貼り付けて保存すると、クライアントが取得して設定を生成するので、それを選択して有効化します。SafariやX他のアプリで既にサブスクリプションリンクをコピーしている場合、クライアントに戻った際に通常クリップボードからのインポート確認が表示されるので、確認するだけで済みます。導入後はノードページで一覧が読み込まれていることを確認し、メイン画面に戻って接続スイッチをオンにします。

利用時のポイントとよくある問題

設定とノードの切り替え。設定やノードを変更すると、クライアントは自動的に接続を再構築します。ステータスバーのVPNアイコンが一瞬消えてから再表示されるのは正常な現象で、手動での再接続は不要です。

ネットワーク切り替え後の一時的な中断。Wi-Fiとモバイルデータの間で切り替わる際、ネットワーク拡張機能はトンネルを再構築する必要があり、数秒間利用できない状態になった後自然に復旧します。長時間復旧しない場合は、クライアント内で接続スイッチを一度オフにしてから再度オンにしてください。

低データモードとVPNの併用。システムの低データモードはバックグラウンド通信を制限することがあり、サブスクリプションの自動更新のタイミングに影響します。重要な更新は、クライアントをフォアグラウンドで開いて手動で実行することを推奨します。

サブスクリプション更新の失敗。他のプラットフォームと同様です。まずサブスクリプションリンク自体が有効かどうかを確認し(第7章のエラー対照表とサブスクリプション失効チェックリストを参照)、次に現在のネットワークからサブスクリプションのアドレスに直接アクセスできるかを確認します。

↑ 目次に戻る

CH-05 · Linux:デスクトップクライアント、環境変数と内核単体実行

クライアントの選択とインストール

Linuxデスクトップ環境ではClash Verge Revを推奨、代替はFlClashです。インストールパッケージはダウンロードページのLinuxタブで.deb(Debian/Ubuntu系)と.rpm(Fedora/RHEL系)の2形式が提供されているので、使用しているディストリビューションに応じて選択します。GUI環境ではダブルクリックしてソフトウェアセンターに任せるか、ターミナルでパッケージマネージャーを使ってインストールします(ファイル名は実際のダウンロード内容に合わせてください):

# Debian / Ubuntu 系
sudo apt install ./clash-verge-rev_amd64.deb

# Fedora / RHEL 系
sudo dnf install ./clash-verge-rev_x86_64.rpm

パッケージマネージャーでインストールする利点は、依存関係が自動的に補完される点と、失敗時のエラーメッセージが読みやすい点です。インストール完了後はアプリケーションメニューから起動し、サブスクリプションの導入手順はWindowsの章と完全に同じです:設定ページにリンクを貼り付け→インポート→有効化→ノードの読み込みを確認。

システムプロキシ:デスクトップ環境とコマンドラインは別扱い

クライアントの「システムプロキシ」スイッチは、GNOME/KDE環境ではデスクトップ環境のプロキシ設定に書き込まれ、ブラウザや大半のGUIアプリはそれに従って動作します。しかしコマンドラインプログラムはデスクトップのプロキシ設定を読み取らないため、シェルで環境変数をエクスポートする必要があります:

export http_proxy=http://127.0.0.1:7890
export https_proxy=http://127.0.0.1:7890
export all_proxy=socks5://127.0.0.1:7890

常時有効にしたい場合は~/.bashrcや~/.zshrcに記述してください。一時的に取り消す場合はunsetで1つずつ解除します。一部のデスクトップ環境(またはウィンドウマネージャーのみの構成)には統一的なプロキシ設定の入口がなく、その場合は環境変数が唯一の汎用的な手段となるか、直接TUNを使用してください。

TUNモードと権限

Linuxで仮想ネットワークカードを作成するにはCAP_NET_ADMIN権限が必要です。Clash Verge RevはTUNを有効化する前に権限昇格を要求します(pkexecの承認ダイアログが表示される)。同意すると、クライアントが内核に必要なcapabilityを付与します。承認プロセスが失敗する場合は、内核の実行ファイルに手動でcapabilityビットを付与できます(パスは実際のクライアントのインストール位置に合わせてください):

sudo setcap cap_net_admin,cap_net_bind_service=+ep /usr/bin/mihomo

TUNを有効にした後は、システムプロキシのスイッチをオフにすることを推奨します。二重の引き受けが重なってループが発生することを避けるためです。

デスクトップ環境なし:Mihomo内核の単体実行

サーバーやソフトウェアルーターの用途ではGUIクライアントを入れず、Mihomo内核を直接実行します(ダウンロードページの内核タブで各アーキテクチャ向けパッケージを提供)。バイナリを/usr/local/binに置き、設定ファイルを/etc/mihomo/config.yamlに置いて、systemdで常駐させます:

[Unit]
Description=mihomo daemon
After=network.target

[Service]
Type=simple
ExecStart=/usr/local/bin/mihomo -d /etc/mihomo
Restart=on-failure

[Install]
WantedBy=multi-user.target

/etc/systemd/system/mihomo.serviceとして保存し、sudo systemctl enable --now mihomoで有効化します。設定内容はサブスクリプションアドレスが返すYAMLをそのまま使用でき、external-controllerを設定しておけばWebパネルと組み合わせて遠隔管理できます。

↑ 目次に戻る

CH-06 · 設定トラブル対処:最小構成、主要フィールドとエラー対照

動作する最小構成の設定例

サブスクリプションから配信される設定は数百行に及ぶことも珍しくありません。トラブル対処の際はまず最小構成と照らし合わせて骨格を理解しましょう。以下はそのまま動作する最小構成です(ノード段は空欄で構造の説明のみ):

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info
external-controller: 127.0.0.1:9090

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - https://223.5.5.5/dns-query

proxies: []

proxy-groups:
  - name: ノード選択
    type: select
    proxies:
      - DIRECT

rules:
  - GEOIP,CN,DIRECT
  - MATCH,ノード選択

上から順に:共通フィールド(ポート、LAN許可、動作モード、ログレベル、コントロールインターフェース)→DNS段→ノード一覧→ポリシーグループ→ルール、という構成です。各段のフィールド詳細はYAML構造逐次解説の記事を、ポリシーグループの4種類の選択ロジックはポリシーグループ選択ガイドを参照してください。

主要フィールドクイックリファレンス

mixed-port:HTTPとSOCKSを1つにまとめたリスニングポートで、システムプロキシはここを指します。変更後はシステムプロキシ設定も合わせて更新してください。allow-lan:LAN内の他デバイスが本機をプロキシゲートウェイとして使えるようにするかどうかの設定です。有効にする際はネットワーク環境が信頼できるかどうかに注意してください。mode:rule(ルールに基づく振り分け)/ global(すべてプロキシ経由)/ direct(すべて直接接続)で、通常はruleのままにしておきます。log-level:トラブル対処時はdebugに切り替えて詳細ログを確認し、通常時はinfoで十分です。external-controller:RESTfulコントロールインターフェースのアドレスで、GUIクライアントやWebパネルはこれを通じて内核の状態を読み書きします。

DNSとfake-ipのトラブル対処のポイント

fake-ipモードでは、内核が各ドメイン名に対して予約セグメントの仮アドレスを返し、接続確立時に実際の対象へマッピングします。利点は解決が速く漏洩を防げることですが、代償として実際のIPに依存する一部のシナリオ(LAN内サービスの発見、一部のオンライン対戦ゲーム)で異常が起きることがあります。この場合は該当ドメインをfake-ip-filterに追加するか、全体をredir-hostモードに戻してください。もう1つよくある誤判定として、プロキシを有効にした後にブラウザがHTTPS証明書エラーを報告するケースがありますが、多くはDNSやプロキシ自体とは関係なく、システム時刻やポータルによる通信の乗っ取りなどが原因です。判定の手順はHTTPS証明書エラーの分析の記事を参照してください。

よくあるエラー対照表

トラブル対処の固定手順

どのプラットフォームでも、設定関連の不具合は同じ順序で収束させます:まずサブスクリプションが正常に取得できているか確認(設定ページにエラーがなく、ノード一覧が空でない)→次に内核が動作しているか確認(ログに起動エラーがなく、ポートがリスニング中)→次に引き受け方式が有効になっているか確認(システムプロキシが書き込まれているか、またはTUNネットワークカードが確立されているか)→最後にルールとノード自体を確認する、という順番です。手順を飛ばして調べることが時間の浪費の主な原因です。単発の質問への簡単な回答はトラブル対処ページにカテゴリー別で収録されています。設定ファイルとサブスクリプション、ノードの概念的な関係がわからない場合は、まずProfileの基本概念の記事を読んでから操作に戻ってください。

↑ 目次に戻る