Clash for Windows ayrıntılı teknik rehberi: yeni başlayan kurulumundan kural yönlendirmeye ve DNS/IP sızıntısı önlemeye

1. Proje durumu: CFW artık geliştirilmiyor

Clash for Windows, Clash proxy çekirdeği için grafik bir istemcidir. Proxy sunucusu sağlamaz ve anonimlik ağı ya da eksiksiz VPN hizmeti değildir. Orijinal proje Kasım 2023'te durduruldu; son genel sürüm 0.20.39 idi ve orijinal GitHub deposu artık yok.

"CFW 2026", "0.20.39.x" veya "Opt build" olarak sunulan paketler resmi Fndroid sürümü sayılmamalıdır. Eski istemci artık bakım almıyor ve orijinal dağıtım kanalı rastgele aynaları doğrulayamıyor. Yeni kurulumlarda bakımı süren mihomo tabanlı bir istemci tercih edilmelidir. Bu rehber öncelikle CFW kullanan veya mevcut yapılandırmayı sürdürenler içindir.

CFW'nin eski Clash/Premium çekirdeği, Clash.Meta, mihomo ve üçüncü taraf çatallarını birbirinden ayır. Yapılandırma alanları tamamen uyumlu değildir; respect-rules, strict-route veya yeni yığınlar gibi daha yeni seçenekleri eski CFW profiline uyumluluğu kontrol etmeden yapıştırma.

2. Birbiriyle karıştırılmaması gereken dört kavram

CFW'deki gerçek yol dört katmandan oluşur: uygulama çekirdeğe nasıl ulaşır, çekirdek hangi çıkışı seçer, DNS nasıl çözülür ve bir arızadan sonra ne olur. Tek bir anahtarı açmak diğer katmanların doğru çalıştığını kanıtlamaz.

• System Proxy, desteklenen uygulamaları yerel uç noktayı kullanacak şekilde ayarlar; bazı terminaller, oyunlar, UDP uygulamaları ve paketlenmiş uygulamalar bunu yok sayabilir.
• TUN daha fazla trafiği yakalar, ancak yönlendirme ve kurallar yine de proxy kullanıp kullanmayacağına karar verir. Tek başına açmak garanti değildir.
• Global yalnızca çekirdeğe ulaşan trafiği işler ve Clash'i atlayan uygulamayı yakalayamaz; GLOBAL'in ayrıca DIRECT değil gerçek düğüm seçmesi gerekir.
• Web trafiği düğümü kullanırken DNS hâlâ ISS'ye, yönlendiriciye, başka bir arayüze veya tarayıcı yönetimli DoH'a gidebilir.

Uygulama
   │
   │  1. System Proxy: uygulama trafiği yerel proxy'ye gönderir
   │  2. TUN: sanal arayüz ağ katmanı trafiğini yakalar
   ▼
Clash çekirdeği
   │
   │  3. Rule / Global / Direct: çıkışı seçer
   │  4. DNS: adların nerede ve nasıl çözüldüğünü belirler
   ▼
DIRECT / proxy düğümü / REJECT
   │
   ▼
Hedef

3. Gizlilik sınırları: CFW neyi gizleyebilir, neyi gizleyemez

Bu nedenle buradaki «sızıntı önleme», ağ ve adresin istenmeyen şekilde açığa çıkmasını azaltmak demektir; mutlak anonimlik sağlamaz. Hassas konumun korunması gerekiyorsa yalnızca düğüm değiştirmek yerine sistem konum ayarlarını, tarayıcı izinlerini ve hesap bilgilerini de incele.

• Hedef site için: isteğin tamamı proxy üzerinden geçtiğinde normalde düğüm çıkış IP'si görünür, ev veya ofisin orijinal genel IP'si değil.
• Proxy sağlayıcı için: bağlantıyı aldığı için orijinal genel IP'yi normalde görebilir; CFW bunu sağlayıcıdan gizleyemez.
• Yerel ağ veya ISS için: proxy uç noktası, zamanlama ve trafik meta verileri yine görülebilir; içerik görünürlüğü protokole ve şifrelemeye bağlıdır.
• DNS sağlayıcı için: DoH/DoT taşımayı şifreler, ancak doğrudan çağrılan çözümleyici kaynak IP'yi ve sorgulanan adları görebilir. Şifreleme anonimlik değildir.
• Hesaplar, çerezler, dil, saat dilimi, tarayıcı parmak izleri, konum izni ve Wi-Fi tabanlı konum da kimlik veya konum ortaya çıkarabilir.

4. Yeni başlayanlar için hızlı başlangıç

Uzak profil düğümleri, DIRECT kurallarını, DNS'i, son MATCH'i, TUN'u ve Fake IP'yi tanımlayabilir. Güvenilmeyen profil bazı trafiği bilerek doğrudan yönlendirebilir, bu yüzden kaynağı düğüm sağlayıcı kadar önemlidir. Uzak profili güncellemeden önce kişisel değişikliklerini yedekle.

• Profiles içinde güvenilir HTTPS aboneliği veya yerel YAML içe aktar. Abonelik URL'si genellikle hesap token'ı içerir; ekran görüntülerinde veya herkese açık kayıtlarda yer almamalıdır.
• Profili seç, ardından Proxies içinde Rule ve gerçek proxy düğümü seç.
• General → System Proxy'yi etkinleştir ve tarayıcıda bağlantıyı ve çıkış IP'sini doğrula.
• Service Mode'u kur ve TUN'u yalnızca masaüstü, terminal veya UDP için daha geniş kapsama gerektiğinde etkinleştir.
• Allow LAN kapalı kalsın; 127.0.0.1 kullanan yerel uygulamaların LAN erişimine ihtiyacı yoktur.
• Start with Windows yalnızca CFW'yi açılışta başlatır; profil, düğüm, DNS veya sızıntı önleme durumunu doğrulamaz.

5. System Proxy ile TUN arasında seçim

İyi uyumlulukla normal gezinme için genellikle System Proxy artı Rule yeterlidir. Terminaller, oyunlar, sohbet uygulamaları veya sistem proxy'sini yok sayan programların Clash'e ulaşması gerektiğinde TUN kullan. İkisini aynı anda açmak "çift şifreleme" oluşturmaz ve tanılamayı zorlaştırabilir.

• General → Service Mode → Manage altında hizmeti kur ve Windows istemini onayla.
• TUN Mode'u etkinleştirmeden önce Service Mode'u doğrula; eski belgeler uyumluluk için genellikle gVisor kullanırdı.
• Eski TAP ve TUN ile aynı anda deneme yapma; tüm Windows güvenlik duvarını kapatmak yerine çalışan yapılandırmayı geri yükle.
• Rule modunda DIRECT eşleşmelerini, son MATCH'i ve sistem proxy atlama listesindeki genel hedefleri kontrol et.
• Kontrollü tek çıkış testi için geçici olarak Global'i gerçek düğümle kullan, sonra Rule'a dönüp dönmeyeceğine karar ver.

6. Eski CFW'de DNS/TUN örneği ve sınırları

Bu örnek eski CFW Mixin sözdizimini gösterir. Çalışan profili değiştirmek veya mevcut mihomo'ya yapıştırmak yerine yedekle ve mevcut yapılandırmanın kopyasıyla birleştir. CFW'de öncelik Mixin > TUN Mode ayarları > Profile şeklindedir, bu yüzden aynı alanları üç yerde düzenleme.

• Fake IP uygulamalara ayrılmış adresler döndürürken çekirdek alan adı eşlemelerini tutar; şifreleme veya anonimlik değildir.
• fake-ip-filter'ı gerçek adreslere ihtiyaç duyan LAN ve sistem hizmetleri için mevcut listeyle birleştir.
• dns.ipv6: false yalnızca AAAA yanıtlarını bastırır; Windows'ta IPv6'yı devre dışı bırakmaz.
• Gösterilen dns-hijack değeri eski CFW sözdizimidir ve tüm istemcilerde evrensel değildir.
• DoH/DoT yukarı akış taşımayı şifreler, ancak eski CFW'nin yukarı DNS'i düğümden gönderdiğini kanıtlamaz. Çözümleyicinin orijinal IP'yi görmemesi gerekiyorsa eski CFW tek başına güvenilir çözüm değildir.

mixin:
  dns:
    enable: true
    enhanced-mode: fake-ip
    fake-ip-range: 198.18.0.1/16
    fake-ip-filter:
      - "*.lan"
      - "localhost"
      - "dns.msftncsi.com"
      - "www.msftncsi.com"
      - "www.msftconnecttest.com"
    nameserver:
      - "https://1.1.1.1/dns-query"
      - "tls://1.0.0.1:853"
    ipv6: false
  tun:
    enable: true
    stack: gvisor
    dns-hijack:
      - "198.18.0.2:53"
    auto-route: true
    auto-detect-interface: true

7. Tarayıcı DoH, IPv6, WebRTC, QUIC ve kill switch

• Tarayıcı güvenli DNS'i: yalnızca TUN ve DNS hijacking doğrulandıktan sonra kapatmayı düşün; böylece Clash adları tutarlı çözer. DNS yakalama çalışmadan DoH'u kapatma.
• IPv6: CFW anahtarı işletim sisteminin genel anahtarı değildir. Fiziksel ağda genel IPv6 varsa ve tünel yalnızca IPv4 ise IPv6 hedefleri orijinal adresi görebilir. Tamamen yakala ya da bilinçli sınırlayıp yeniden test et.
• WebRTC: STUN geleneksel uygulama proxy'sini atlayıp ek adresleri açığa çıkarabilir. Katı senaryolarda Chromium'un disable_non_proxied_udp değeri işe yarayabilir, ancak sesli ve görüntülü aramaları bozabilir.
• QUIC ve HTTP/3 UDP kullanır. Hatanın her zaman güvenli TCP geri dönüşü ürettiğini varsayma; yolu doğrula veya desteklenen tarayıcı politikasıyla QUIC'i geçici kapat.
• Kill switch: CFW'nin TUN anahtarı doğrulanmış fail-closed mekanizma değildir. Çökmeler, uyku, ağ değişiklikleri, profil güncellemeleri ve diğer VPN'ler istenmeyen yollar oluşturabilir.
• Modern tarayıcıdaki .local mDNS adayı otomatik olarak genel IP sızıntısını kanıtlamaz; orijinal genel IPv4/IPv6 adaylarına odaklan.

8. General ve Proxies ayarları açıklanıyor

• Port: yerel karışık proxy uç noktası; gerçekte gösterilen değeri kullan, 7890'ı sabit varsayma.
• Allow LAN: diğer LAN cihazlarının yerel proxy'yi kullanmasına izin verir; gizlilik temelinde kapalı tut.
• Log Level: normal kullanım için Info, tanılama için Debug; kayıtları paylaşmadan önce alan adlarını, IP'leri, süreç yollarını ve abonelik verilerini gizle.
• IPv6: çekirdek davranışını kontrol eder, işletim sisteminin tüm IPv6 yığınını değil.
• Home Directory: yapılandırma, kayıtlar ve önbelleği içerir; paylaşmadan önce incele.
• GeoIP Database: GEOIP kurallarını besler; güncellemek düğümleri veya çekirdeği güncellemez.
• UWP Loopback: belirli paketlenmiş uygulamalar için loopback kısıtlamalarını kaldırır; yalnızca ihtiyaç duyan uygulamalara uygula.
• Service Mode: TUN için ayrıcalıklı destek sağlar; proxy hizmeti değildir.
• Mixin: profillere ortak alanlar enjekte eder ve kişisel DNS ayarlarını korumada yararlıdır.
• Grup türleri: select elle seçim, url-test ölçülü seçim, fallback yedek geçiş ve load-balance bağlantı dağıtımıdır; düşük gecikme yüksek bant genişliği demek değildir.

9. Profiller, Mixin ve kural sözdizimi

Profiller düğümleri, grupları ve kuralları içerir. Uzak güncellemeler elle düzenlemeleri ezebilir, bu yüzden kalıcı özelleştirme için Mixin, Diff veya yerel kopya kullan. Mixin JavaScript'i ve ayrıştırıcıları aktif koddur ve yalnızca güvenilir kaynaklardan çalıştırılmalıdır.

• Kurallar sırayla değerlendirilir ve MATCH sonda olmalıdır.
• Proxy'yi mevcut proxy grubunun tam adıyla değiştir.
• PROCESS-NAME genellikle .exe dahil tam Windows süreç adını ister.
• no-resolve yalnızca kural eşleştirmesi için ek DNS çözümlemesini önler; gizlilik anahtarı değildir.
• REJECT bağlantıyı engeller, adresi proxy ile gizlemez.

rules:
  - DOMAIN-SUFFIX,example.com,Proxy
  - PROCESS-NAME,git.exe,Proxy
  - IP-CIDR,203.0.113.0/24,Proxy,no-resolve
  - MATCH,DIRECT

10. Doğrulama için Logs, Connections ve Settings

• Logs profil yükleme, DNS, düğüm el sıkışması ve TUN başlangıç hatalarını gösterir.
• Connections Process Path, eşleşen Rule ve giden Chains'i gösterir; DIRECT ile biten zincir düğümü atlar.
• Giriş türleri HTTP, SOCKS5 ve TUN'u ayırır; Network TCP ve UDP'yi ayırt eder.
• Düğüm, mod veya profil değiştirdikten sonra eski bağlantıları kapat ki eski TCP önceki çıkışı kullanmaya devam etmesin.
• Settings içindeki Break When Proxy Change / Profile Change / Mode Change eski bağlantı karışıklığını azaltır.
• Core Secret ve rastgele denetleyici portu yerel kontrol API'sini korur; kimlik doğrulamasız API'yi 0.0.0.0'da açma.

11. CFW'yi farklı uygulamalarla çalıştırmak

Chrome ve Edge genellikle sistem proxy'sini izler, ancak proxy uzantılarını, tarayıcı DoH'unu, WebRTC ve QUIC'i kontrol et. Firefox sistem ayarlarını veya uzak DNS'li manuel SOCKS v5 kullanabilir. IDE, eklentileri, dil sunucuları ve tümleşik terminal ayrı proxy ayarları tutabilir.

Paketlenmiş Windows uygulamaları için önce TUN'u test et ve UWP Loopback'i yalnızca ihtiyaç duyan belirli uygulamalara uygula. Oyunlar, ses ve emülatörler genellikle UDP destekli TUN ister; çalışan başlatıcı oyunun proxy kullandığını kanıtlamaz. WSL, Docker ve sanal makineler ayrı ağ yığınlarına sahiptir ve konteyner içindeki 127.0.0.1 normalde Windows'taki CFW uç noktası değildir.

# Geçerli PowerShell oturumu için geçici ayarlar
$env:HTTP_PROXY = "http://127.0.0.1:7890"
$env:HTTPS_PROXY = "http://127.0.0.1:7890"

# Açık HTTP proxy ile curl
curl.exe --proxy http://127.0.0.1:7890 https://example.com/

# Uzak ana bilgisayar adı çözümlemesiyle SOCKS
curl.exe --proxy socks5h://127.0.0.1:7890 https://example.com/

# Git'in HTTP(S) proxy'sini ayarla ve kaldır
git config --global http.proxy http://127.0.0.1:7890
git config --global --unset http.proxy

# Bu oturumdaki proxy değişkenlerini kaldır
Remove-Item Env:HTTP_PROXY -ErrorAction SilentlyContinue
Remove-Item Env:HTTPS_PROXY -ErrorAction SilentlyContinue

12. Doğrulama ve sorun giderme listesi

• IPv4 ve IPv6'yı iki bağımsız IP yansıtma hizmetiyle ayrı ayrı test et; yanlış coğrafi şehir tek başına sızıntı kanıtlamaz.
• Connections içinde süreci, kuralı, zinciri ve UDP kayıtlarını doğrula; kayıt yoksa uygulama genellikle Clash'i atlamıştır.
• Standart ve genişletilmiş DNS testleri çalıştır ve ISS, yönlendirici veya beklenmeyen yerel çözümleyicileri ara; genel çözümleyicinin IP'si düğüm IP'siyle eşleşmek zorunda değildir.
• WebRTC'de orijinal genel adresleri ara ve .local mDNS adlarını otomatik genel sızıntı sayma.
• Düğüm değişiklikleri, profil güncellemeleri, uyku, Wi‑Fi değişiklikleri, CFW yeniden başlatmaları ve beklenmeyen TUN kapanmalarından sonra yeniden test et.
• CFW durduğunda uygulamalar doğrudan İnternet'e dönerse yapılandırma fail-closed değildir.
• TUN bağlantıyı bozarsa Service Mode, güvenlik duvarı, DNS, rakip VPN/TUN istemcileri ve yığını kontrol et; tüm güvenlik duvarını kapatmadan önce yedeği geri yükle.