Clash Linux 使用教程：安装、TUN 权限与开机自启
Linux 上跑 Clash 比 Windows 多一点门道，主要卡在两处：包怎么装（不同发行版方式不同）、TUN 怎么拿到权限。这篇按发行版给出安装命令，再把 TUN 的 setcap 处理和桌面系统代理一次讲清，命令都能直接复制。
按发行版安装客户端
桌面端依然推荐 Clash Verge Rev。它在 Linux 上提供三种分发格式，挑一种就行：
- Debian / Ubuntu 系：下
.deb，直接用包管理器装，依赖会自动处理。 - 任意发行版：下
.AppImage，免安装，加个可执行权限就能跑，适合 Fedora、openSUSE 等。 - Arch 系：用 AUR 里的包（如
clash-verge-rev-bin），交给 AUR 助手管理更新。
命令示意图三种安装方式任选其一。文件名里的 * 用 Tab 键补全成实际版本号。
提示：AppImage 在部分发行版上需要
libfuse2。如果双击没反应，先 sudo apt install libfuse2 再运行。首次运行与导入订阅
启动后界面和 Windows 版几乎一致。先去导入机场订阅，把订阅设为当前配置，再到「代理」页选节点。这部分跨平台通用，不再赘述。
TUN 权限：setcap 与 root
Linux 上开 TUN 需要操作虚拟网卡，普通用户默认没这个权限。Clash Verge Rev 内置了「Service Mode（服务模式）」，开一次它会用 pkexec 申请权限并装一个后台服务，之后开 TUN 就不用每次输密码了。手动管理内核的话，则要给内核二进制赋能：
sudo setcap cap_net_admin,cap_net_bind_service=+ep ./mihomoTUN 是什么、和系统代理怎么取舍，见 TUN 模式怎么开。
桌面系统代理设置
GNOME / KDE 下，客户端打开「系统代理」开关后，会写入桌面环境的代理设置。如果某些应用没生效，可手动在系统设置里把 HTTP/HTTPS/SOCKS 代理指到 127.0.0.1 对应端口（默认混合端口 7897）。终端里的 curl、git 不读桌面代理，需要单独设环境变量，见 让 Git/npm/Docker 走代理。
开机自启
客户端「设置」里勾选「开机自启」即可，它会在 ~/.config/autostart/ 下生成一个 .desktop 文件。配合服务模式，开机后 TUN 也能免确认自动接管。详细说明见 开机自启与后台运行。
⚠️ 免责声明：本文为开源软件使用教程，本站不提供任何节点、VPN 或机场服务。请遵守所在地区法律法规，合理合法使用网络工具。