Clash允许局域网有什么用？手机共享电脑代理与安全设置

更新于 2026-11-02 · peizhibang.com

简答：Clash允许局域网适合让同一网络中的手机、平板或电脑使用本机代理。判断是否开启，要看共享设备、监听地址、代理端口和防火墙是否匹配；它不是 VPN 或 TUN。

定义：Clash 的“允许局域网”是开放本机代理端口，让同一局域网内的其他设备连接并通过本机代理转发流量。

Clash允许局域网有什么用：先看结论和区别

如果你只在当前电脑上使用客户端，通常不需要开启“允许局域网”。如果你想让同一 Wi-Fi 下的手机、平板或另一台电脑使用这台电脑的代理，就需要让客户端监听局域网地址，并在其他设备中填写电脑的局域网 IP 与代理端口。

以 mihomo 文档为准，allow-lan: true表示允许其他设备通过 Clash 代理端口访问互联网；bind-address决定监听哪个地址；mixed-port同时支持 HTTP(S) 与 SOCKS5 客户端。具体字段含义可查看mihomo 全局配置文档和mihomo 代理端口文档。

功能	主要作用	是否等同于允许局域网
允许局域网	让其他设备连接本机代理端口	是，控制局域网设备能否接入
系统代理	让本机支持系统代理的应用使用代理	不是，只影响本机应用
TUN	通过虚拟网卡接管更多本机流量	不是，不能自动替代局域网监听
VPN	建立系统级或应用级的隧道连接	不是，工作方式不同
软路由或网关	让网络中的设备以路由器为统一出口	不是，Clash 只是其中一种代理服务

最容易混淆的一点是：开启允许局域网后，电脑并不会自动变成路由器，也不会让所有设备自动走代理。其他设备仍需手动填写代理服务器地址和端口，而且应用本身必须支持 HTTP、HTTPS 或 SOCKS 代理。

开启前先确认：电脑 IP、端口和监听地址

本文主要覆盖使用 mihomo 内核的桌面客户端；不同客户端的菜单名称、默认端口和可修改字段可能不同，版本与界面应以当前客户端为准。不要把示例端口当成固定值，也不要把订阅链接名称当成代理格式证明。

确认电脑的局域网 IP。在 Windows 中可以打开命令提示符运行ipconfig，查看当前 Wi-Fi 或以太网适配器的 IPv4 地址；在 macOS 中可在网络设置中查看当前连接的 IP。应选择与手机处于同一局域网的地址，而不是回环地址。
确认代理端口。在客户端设置或当前配置中查看port、socks-port或mixed-port。mihomo 文档说明，mixed 端口可供支持 HTTP 或 SOCKS 代理的程序连接，但实际端口仍以当前配置为准。
开启局域网访问。在客户端的设置入口开启“允许局域网”或将配置中的allow-lan设为true。如果客户端拥有自己的图形化开关，优先使用界面修改，避免手动编辑后被客户端覆盖。
检查监听地址。如果bind-address只绑定到127.0.0.1或localhost，其他设备无法连接；mihomo 文档列出的绑定方式包括绑定所有地址，或绑定某个具体 IPv4 地址。为降低暴露范围，优先选择当前局域网网卡地址，而不是无条件监听所有地址。
保存并重新载入。确认配置通过校验后再应用。若客户端提示配置错误，先恢复备份，不要继续叠加字段。

一个仅用于理解字段关系的最小示意如下，端口和地址必须替换为当前客户端实际值：

allow-lan: true

bind-address: 192.168.x.x

mixed-port: <当前混合端口>

这里的192.168.x.x和端口只是占位符，不是可以直接复制的完整配置。mihomo 文档还提供了lan-allowed-ips、lan-disallowed-ips和authentication等访问控制字段，适合在需要限制设备范围时使用。

手机或另一台电脑怎么连接本机代理

完成本机设置后，可以按下面顺序连接。为了便于复测，建议先只使用一台手机连接，不要同时修改 DNS、TUN 和其他网络设置。

让两台设备处于同一网络。电脑和手机应连接同一个家庭 Wi-Fi 或同一局域网。若手机连接的是访客网络，路由器可能启用了客户端隔离，设备之间即使都能上网也可能无法互相访问。
在手机 Wi-Fi 的代理设置中选择手动。服务器或主机填写电脑的局域网 IPv4 地址，例如当前电脑实际显示的地址；不要填写127.0.0.1、localhost或电脑代理软件的控制 API 地址。
填写代理端口。端口必须与客户端当前开放的 HTTP、SOCKS 或 mixed 端口一致。若不确定协议，优先查看客户端对该端口的标注，不要只凭常见示例猜测。
保存后测试。先打开一个普通网页或应用，观察客户端日志中是否出现来自手机局域网 IP 的连接记录，再判断是否成功。只看到电脑本机流量，不代表手机已经接入。
测试完成后关闭共享。如果不再需要手机使用电脑代理，将 Wi-Fi 代理恢复为“关闭”，并关闭客户端的允许局域网开关。

手机连接后，流量路径通常可以理解为：手机应用发起请求 → 手机连接电脑的局域网 IP 和代理端口 → Clash 根据规则选择直连或代理 → 返回结果。这个过程不会自动接管不支持代理的应用，也不会自动处理所有 UDP、局域网发现或系统级流量。

如果使用的是 Clash Verge Rev 等图形化客户端，字段可能由客户端设置面板管理。其公开代码中的配置类型包含allow-lan、mixed-port和 TUN 相关字段，但具体菜单位置仍应以当前版本界面为准，可参考Clash Verge Rev 配置类型文件核对字段名称。

连接不上时按这个顺序排查

不要一开始就切换节点、修改 DNS 或打开 TUN。局域网共享失败时，先分清是“端口没有监听”“网络不通”“防火墙拦截”还是“代理协议不匹配”。

现象	优先检查	处理方式
手机提示无法连接代理	电脑 IP、端口、两台设备是否同网	重新查看电脑局域网 IP，确认没有填 127.0.0.1，并核对端口
电脑本机正常，手机完全无日志	allow-lan、bind-address、客户端隔离	开启局域网访问，确认监听地址不是仅回环地址，关闭路由器客户端隔离后复测
手机能连接但网页打不开	代理类型与端口是否匹配	确认手机选择的是 HTTP 代理还是 SOCKS 代理；支持情况以客户端和应用为准
偶尔能用，切换网络后失效	电脑局域网 IP 是否变化	重新查看当前 IP，必要时在家庭网络中为电脑设置地址保留
Windows 上其他设备连接超时	入站防火墙规则	仅为当前私有网络和实际代理端口创建允许规则，不要直接关闭防火墙
公共 Wi-Fi 中无法共享	网络隔离和安全策略	不要绕过网络管理员策略；改用受信任的家庭或办公网络进行测试

Windows 防火墙默认会阻止部分入站连接，微软文档建议针对可信场景创建范围明确的入站例外，并尽量限制为本地子网，而不是放开所有来源。可查看Windows 防火墙规则说明和创建入站防火墙规则的官方步骤。

如果主机是 macOS，系统防火墙也可能要求允许对应应用或服务接收入站连接。Apple 支持文档说明，可以在系统设置的防火墙选项中管理应用的入站权限；不要为了测试而长期关闭防火墙，可参考Apple 的 Mac 防火墙说明。

复测方法：先在电脑上确认代理端口处于监听状态，再让手机连接；观察客户端日志是否出现手机 IP；最后只测试一个支持代理的应用。如果日志有请求但应用失败，继续检查规则和代理协议；如果日志完全没有请求，回到 IP、端口、监听地址、防火墙和网络隔离五项。

回滚方法：关闭“允许局域网”，恢复原配置备份；手机 Wi-Fi 代理改回“关闭”；如果曾创建防火墙例外，删除仅用于本次测试的规则。回滚后本机仍无法联网，再单独检查系统代理、DNS 或 TUN，不要把多个变量混在一起。

安全边界：什么时候不建议开启

允许局域网的本质是增加一个可被其他设备访问的代理入口。mihomo 文档显示，绑定所有地址会监听所有 IP，默认允许的地址范围也可能覆盖较宽范围，因此不应在公共 Wi-Fi、陌生网络或无法确认设备成员的环境中长期开启。

家庭或可信办公网络：可以按需开启，优先绑定当前局域网地址，并限制允许的 IP 范围。
公共 Wi-Fi：不建议开启，尤其不要把监听地址设置为所有地址；网络隔离和陌生设备访问风险无法由 Clash 单独消除。
多人共享网络：启用认证，并根据客户端支持情况配置允许或拒绝的 IP 段。认证字段的写法必须以当前内核文档为准。
不再使用时：关闭开关、撤销手机手动代理，并检查防火墙例外是否仍然存在。

“允许局域网”只解决设备到代理端口的连接问题，不等于加密所有局域网通信，也不等于让所有应用都经过代理。对企业网络、办公系统或敏感数据，应同时遵守组织的网络安全要求。

常见问题