引言：为何选择梅林固件与Clash的组合？

在当今全球化数字时代，跨境访问学术资源、流媒体内容及海外社交平台已成为许多人的日常刚需。然而，网络壁垒的存在让这一需求变得曲折。于是，“科学上网”从技术圈的小众话题演变为大众关注的实用技能。在众多解决方案中，梅林固件搭配Clash插件，凭借其稳定性、可定制性及高性能，成为了不少网络爱好者的“黄金组合”。

作为一个折腾过数十台路由器、刷遍主流固件的老玩家，我深知初次面对命令行时那种既兴奋又忐忑的心情。本文不是简单的复制粘贴教程，而是基于实际部署经验，将梅林固件上安装Clash的完整命令链路、每一条指令背后的逻辑、以及那些官方文档中语焉不详的“坑”，掰开揉碎地呈现给你。无论你是刚入手华硕路由器的新手，还是寻求性能优化的老手，希望这篇长文能成为你书签栏里常驻的参考。

第一章：知其然，更知其所以然——核心概念扫盲

在敲下第一条命令之前，我们有必要先搞清楚三个关键角色：梅林固件、Clash以及它们之间的“沟通语言”——命令。

1.1 梅林固件：不止是“改版”那么简单

梅林固件（Merlin Firmware）由Eric Sauvageau基于华硕官方固件二次开发，它并非简单的精简或美化，而是保留了官方固件的稳定性与硬件驱动兼容性，同时开放了更多底层权限。对于安装Clash这类第三方插件而言，梅林固件提供的Entware环境（一个适用于嵌入式设备的软件包管理器）至关重要。它相当于给路由器装了一个“应用商店”，让我们能轻松安装Clash及其依赖库，而不必手动编译源码。

1.2 Clash：规则引擎驱动的代理核心

Clash最初是一个Go语言编写的开源代理工具，它的核心优势在于基于规则的策略路由。你可以定义：访问Google走代理A，访问Netflix走代理B，访问国内网站直连。这种精细化控制，是传统VPN或简单SOCKS5代理无法比拟的。在梅林固件上运行的Clash，通常分为两种形态：一种是图形化插件（如Koolshare的Clash），另一种是纯命令行的Clash核心。本文侧重后者，因为理解命令行能让你在插件失效时拥有“手搓”自救的能力。

1.3 为什么需要“命令”？

很多人会问：“有现成的图形化插件，为什么还要学命令行？”答案是：可控性与排错能力。图形界面隐藏了细节，当节点延迟高、规则不生效时，你只能干瞪眼。而命令行能让你实时查看日志、测试节点连通性、动态修改配置。更重要的是，某些精简版梅林固件或特殊网络环境下，图形插件可能无法安装，此时命令行就是唯一的救命稻草。

第二章：兵马未动，粮草先行——安装前的准备清单

在输入任何命令前，请确保你已满足以下条件，否则后续操作可能因权限不足或环境缺失而失败。

2.1 硬件与固件版本确认

• 路由器型号：华硕RT-AC68U、RT-AC86U、RT-AX88U等主流型号均可。确认你的梅林固件版本在384.15及以上（建议386或388版本），因为旧版固件的内核模块可能不支持Clash所需的TUN/TAP设备。
• 固件类型：区分“标准梅林”与“Koolshare梅林”（改版）。本文命令适用于标准梅林+Entware环境。若使用Koolshare，请参阅其论坛插件教程。

2.2 开启SSH与JFFS分区

这是最关键的一步。SSH让你获得路由器的命令行访问权，JFFS分区则用于存储配置和插件文件（重启不丢失）。

1. 登录路由器管理界面（通常为192.168.1.1或192.168.50.1）。
2. 前往【系统管理】->【系统设置】，找到【SSH服务】，选择“是”并设置端口（默认22）和登录方式（建议选择“密码”或“公钥”）。
3. 在【系统管理】->【系统设置】页面底部，找到【Persistent JFFS2 partition】，勾选“是”，并点击“应用”保存。注意：开启JFFS会格式化分区，如果之前有数据请备份。

2.3 连接SSH工具

在电脑上使用终端（Mac/Linux）或PuTTY（Windows）连接路由器：

bash ssh admin@192.168.1.1

输入密码后，你会看到类似admin@RT-AC86U:/tmp/home/root#的提示符，说明已进入路由器命令行。

第三章：核心环节——Clash安装命令逐条拆解

现在进入正题。我们将分四个阶段：安装Entware、下载Clash核心、配置目录与文件、启动并验证。

3.1 阶段一：搭建Entware环境

Entware是梅林上安装opkg软件包的基础。通过SSH执行以下命令：

```bash

进入临时目录

cd /tmp

下载并运行Entware安装脚本（适用于armv7架构，如RT-AC68U）

wget -O entware-setup.sh http://entware.net/armv7sf-k3.2/installer/entware_install.sh sh entware-setup.sh

对于armv8架构（如RT-AC86U、RT-AX88U），请使用以下命令：

wget -O entware-setup.sh http://entware.net/aarch64-k3.10/installer/entware_install.sh sh entware-setup.sh ```

命令解读：wget从远程下载脚本，sh执行脚本。安装过程会提示你选择安装位置，推荐选择/opt（默认）。

安装完成后，需要将Entware的路径加入系统环境变量，否则重启后命令找不到：

bash echo '/opt/bin:/opt/sbin:/opt/usr/bin:/opt/usr/sbin' >> /etc/profile export PATH=/opt/bin:/opt/sbin:/opt/usr/bin:/opt/usr/sbin:$PATH

验证：输入opkg list-installed，若能列出已安装的包，说明Entware成功。

3.2 阶段二：获取Clash核心二进制文件

Clash核心分为多种版本（如Premium版支持TUN模式）。我们选择稳定且功能完整的Clash Premium。由于网络原因，直接访问GitHub可能较慢，建议使用镜像或代理下载。

```bash

进入/opt目录

cd /opt

下载Clash Premium版本（以Linux armv8为例，请根据CPU架构替换）

先查询架构：uname -m (输出aarch64则用armv8，输出armv7l则用armv7)

wget https://github.com/Dreamacro/clash/releases/download/premium/clash-linux-armv8-2023.08.17.gz

解压并重命名

gunzip clash-linux-armv8-2023.08.17.gz mv clash-linux-armv8-2023.08.17 /opt/bin/clash chmod +x /opt/bin/clash ```

注意：如果你在国内网络环境，GitHub下载可能超时。可以尝试以下两种方案： - 使用ghproxy.com加速前缀：wget https://ghproxy.com/https://github.com/Dreamacro/clash/releases/download/... - 如果你已有代理节点，可以先在电脑上下载，再通过SCP传到路由器。

验证安装：clash -v，若显示版本号，恭喜你，核心已就位。

3.3 阶段三：创建配置目录与基础配置文件

Clash运行需要两个关键文件：config.yaml（主配置）和Country.mmdb（IP地理数据库，用于规则中的GEOIP判断）。

```bash

创建配置目录

mkdir -p /opt/etc/clash

下载Country.mmdb（用于GEOIP规则）

cd /opt/etc/clash wget https://github.com/Dreamacro/maxmind-geoip/releases/latest/download/Country.mmdb ```

接下来，生成一个最简单的config.yaml。不要直接复制网上的复杂配置，我们先从能跑通开始。使用vi编辑器：

bash vi /opt/etc/clash/config.yaml

按下i进入编辑模式，粘贴以下基础配置：

```yaml

HTTP代理端口

port: 7890

SOCKS5代理端口

socks-port: 7891

允许局域网其他设备连接

allow-lan: true

仅允许内网IP访问

bind-address: '*'

模式：rule（规则）、global（全局）、direct（直连）

mode: rule

日志级别

log-level: info

外部控制界面（RESTful API）

external-controller: 0.0.0.0:9090

外部UI（可选，下载yacd等）

external-ui: /opt/etc/clash/ui

代理节点列表（此处仅为示例，请替换为你的真实节点）

proxies: - name: "MySS1" type: ss server: example.com port: 8388 cipher: aes-256-gcm password: "yourpassword"

代理组

proxy-groups: - name: "AutoSelect" type: url-test proxies: - "MySS1" url: 'http://www.gstatic.com/generate_204' interval: 300

规则列表

rules: - GEOIP,CN,DIRECT - MATCH,AutoSelect ```

保存并退出：按Esc，输入:wq回车。

命令解析：allow-lan: true是关键，它允许你局域网内的手机、电脑通过路由器代理上网。external-controller启用9090端口，方便后续用Web面板（如Clash Dashboard）管理。

3.4 阶段四：启动Clash并设置开机自启

手动启动测试

```bash

前台启动（便于查看日志）

clash -d /opt/etc/clash -f /opt/etc/clash/config.yaml ```

如果看到Starting Clash...且无报错，说明配置正确。按Ctrl+C停止。

后台运行与开机自启

推荐使用/opt/etc/init.d/下的脚本管理进程。创建启动脚本：

bash vi /opt/etc/init.d/S90clash

粘贴以下内容：

```bash

!/bin/sh

启动Clash的守护脚本

PROCESS="/opt/bin/clash" ARGS="-d /opt/etc/clash -f /opt/etc/clash/config.yaml"

case "$1" in start) echo "Starting Clash..." start-stop-daemon -S -x $PROCESS -- $ARGS & ;; stop) echo "Stopping Clash..." killall clash 2>/dev/null ;; restart) $0 stop sleep 1 $0 start ;; *) echo "Usage: $0 {start|stop|restart}" exit 1 ;; esac exit 0 ```

赋予执行权限并启动：

bash chmod +x /opt/etc/init.d/S90clash /opt/etc/init.d/S90clash start

验证启动状态：ps | grep clash 或 netstat -tulnp | grep 7890，若看到监听端口，说明成功。

第四章：进阶配置与实战技巧

基础安装只是第一步。要让Clash真正好用，还需掌握以下技巧。

4.1 如何添加更多节点及订阅转换

手动一个个添加节点效率太低。大多数用户使用的是机场订阅链接。在命令行环境下，我们可以通过脚本实现自动更新订阅。

首先，在config.yaml中，使用proxy-providers替代静态proxies：

yaml proxy-providers: MyAirport: type: http url: "你的订阅链接" interval: 86400 # 每天更新 path: /opt/etc/clash/airport.yaml health-check: enable: true url: https://www.gstatic.com/generate_204 interval: 300

然后，在proxy-groups中引用：

yaml proxy-groups: - name: "ProviderSelect" type: url-test use: - MyAirport url: 'https://www.gstatic.com/generate_204' interval: 300

保存后重启Clash，它会自动拉取订阅并解析。

4.2 规则优化：让国内流量直连，国外流量走代理

一个合理的规则配置应放在rules部分，且顺序至关重要（从上到下匹配，命中即停）。

推荐的精简规则：

yaml rules: # 局域网直连 - IP-CIDR,192.168.0.0/16,DIRECT - IP-CIDR,10.0.0.0/8,DIRECT - IP-CIDR,172.16.0.0/12,DIRECT # 国内域名直连（使用geosite） - DOMAIN-SUFFIX,cn,DIRECT - GEOSITE,cn,DIRECT # 国内IP直连 - GEOIP,CN,DIRECT # 其他走代理（兜底） - MATCH,ProviderSelect

注意：使用GEOSITE和GEOIP需要确保Country.mmdb文件是最新的，且Clash版本支持geosite（Premium版支持）。若版本较旧，可替换为DOMAIN-KEYWORD列表。

4.3 常见故障排查命令集

• 查看Clash实时日志：tail -f /opt/etc/clash/logs/clash.log（需在配置中开启log-level: debug）
• 测试节点延迟：进入Clash的外部控制接口，或用命令行工具： bash # 通过API测试所有节点延迟 curl -X GET 'http://127.0.0.1:9090/proxies' | jq '.proxies | keys[]'
• 端口被占用：netstat -tulnp | grep 7890，若被占用，修改config.yaml中的端口。

4.4 性能调优：TUN模式与DNS劫持

如果你的路由器性能较强（如RT-AX86U），可以开启TUN模式，实现全局虚拟网卡代理，无需手动设置浏览器或系统代理。

在配置中添加：

yaml tun: enable: true stack: system # 或 gvisor dns-hijack: - any:53

同时配置DNS：

yaml dns: enable: true listen: 0.0.0.0:53 enhanced-mode: fake-ip nameservers: - 8.8.8.8 - 1.1.1.1

开启TUN需要内核支持，且需在梅林固件中加载tun模块。在SSH中执行：

bash modprobe tun

并确保开机自动加载：echo 'modprobe tun' >> /opt/etc/init.d/S99tun（记得赋予执行权限）。

第五章：从入门到放弃？——不，是到精通

写到这里，你可能已经发现，命令行安装Clash并非一条坦途。但正是这种“折腾”，让你对网络原理有了更深刻的理解。当你看到clash进程在后台安静运行，局域网内所有设备都能自由访问全球互联网时，那种成就感是图形化插件无法给予的。

5.1 我的踩坑记忆

• 坑一：Entware安装后重启丢失。解决：确认JFFS分区已挂载且/opt软链接正确。若重启后opkg命令找不到，重新执行export PATH并加入/etc/profile。
• 坑二：Clash启动报level=error msg="Initializing provider failed"。排查：检查订阅链接是否能直接访问（可先curl测试），以及path目录是否有写入权限。
• 坑三：局域网设备无法代理。解决：检查allow-lan: true是否生效，以及防火墙是否阻止了7890端口。梅林固件默认防火墙可能拦截，需添加规则： bash iptables -I INPUT -p tcp --dport 7890 -j ACCEPT iptables -I INPUT -p udp --dport 7890 -j ACCEPT

5.2 维护与更新

• 更新Clash核心：定期访问GitHub Releases页面，下载新版覆盖/opt/bin/clash。
• 备份配置：tar -czf /tmp/clash_backup.tar.gz /opt/etc/clash，定期备份到电脑。

结语：点评与展望

语言点评：本文从“为什么”出发，将冷冰冰的命令行融入实际场景，避免了“复制粘贴式”教学的苍白。通过分阶段拆解，让读者不仅知道wget下载什么，更明白每一步的目的。尤其是对config.yaml的逐步剖析，从最小可用到进阶优化，符合认知规律。若能配以更多网络拓扑图或命令输出截图，将更具实操感。

内容点评：文章覆盖了从环境准备到后期维护的全生命周期，重点突出了命令行环境下的排错思路和性能调优。对于新手而言，可能仍存在一定门槛，但文中的“坑”提示和验证命令，能有效降低试错成本。若在后续版本中补充关于“多WAN口策略分流”或“IPv6环境适配”的内容，将更具前瞻性。

最终建议：梅林+Clash的组合，是网络自由与可控性的平衡点。不要满足于“能用”，尝试去理解每一条规则、每一个端口的作用。当你能够不看教程，仅凭clash -h和config.yaml的注释完成一次全新部署时，你便真正掌握了这项技能。

现在，关掉这篇文章，打开你的SSH终端，开始属于你的折腾之旅吧。记住，每一次报错都是通往精通的阶梯。如果遇到问题，欢迎在评论区留言，我们一起探讨。