Arch Linux 安装 Clash Meta：systemd 自启与首配步骤（2026）

1. 为什么 Arch 要单独开一篇：AUR 与权限模型

Arch 官方仓库由 pacman 管理，而大量桌面用户会从 AUR（Arch User Repository）用 yay 或 paru 拉取用户打包的 PKGBUILD 构建。不同包会约定不同的可执行文件路径、配置目录，以及由谁运行（如专用系统用户、或你的登录用户），这与 Ubuntu 上「deb 把文件摊到 /etc、/usr」的强迫症式布局未必一致。你如果在论坛里只搜到「复制一段 service 就完事」而没核对本机 AUR 包到底把 mihomo 装在哪，很容易出现 ExecStart 指错、或配置目录对不上，systemctl 却反复重启的假象。

另外，滚动更新意味着内核与用户态变化快：今天能用的权能、路径，在一大轮 pacman -Syu 后，若你混用手动二进制与 AUR 包，要自己留意是否覆盖、冲突。把思路收敛到「单一来源拿二进制、固定配置目录、systemd 只负责拉起同一套路径」，会比分支过多稳定得多。下文同时覆盖系统级与用户级 systemd 两种常见选择，你按自己更在意「多用户隔离」还是「与登录会话绑定」来选即可。

2. 安装：AUR、yay 与通用二进制在 Arch 上的落点

使用 yay -S 某 mihomo 相关包 时，先阅读 AUR 页面说明：可执行名、配置路径、服务单元（有的包会附带 .service 样例）都以维护者说明为准。若你更信任上游直链，可从发布页取 linux-amd64 等压缩包，校验校验和后解压，将二进制放入 /usr/local/bin 并赋予可执行位——Arch 默认 PATH 通常已包含该目录，和 Fedora 上习惯相近。请避免从不可信渠道下载来路不明的可执行文件；订阅与规则导入与发行版无关，若尚未熟订阅链接写进配置，可先过一遍站内 订阅导入教程 再回来自启段落。

与 Ubuntu、Fedora 文一致：若你更希望节点切换、规则编辑在图形界面完成，可在本站 下载页 选择带 UI 的客户端；与裸跑内核相比，要避免同一台机器上两个进程争同一 mixed-port 或 TUN 设备。

3. 配置目录与订阅：首启前先能解析 YAML

系统级部署常见把配置放在 /etc/clash 或 /etc/mihomo（以你为准），属主可设为专用户或 root 视单元而定；单用户则常见 ~/.config/mihomo 一类路径。关键是 -d 与目录实际一致、且进程用户对该目录有读权限、对生成缓存的目录有写权限。先保证裸跑 mihomo -d <dir> -f <file> 能进前台，不报错、不闪退，再交给 systemd，可省掉一半「服务一直重启」的干扰。

远程订阅 URL 若需要 TLS 或解析特定 DNS，请在 YAML 与系统解析器之间对齐；若策略结构复杂，可对照 高级规则分流指南 理解命中顺序，避免把「DNS 或 Fake-IP 问题」误判为端口没起来。

4. mixed-port 首配：与 Linux 桌面代理对齐

mixed-port 在 mihomo 里表示同一 TCP 端口上同时接 HTTP 代理与 SOCKS 类连接，对 Linux 桌面代理 场景能少记一个端口。初次配置请显式写出端口，将独立的 port、socks-port 置零，避免与旧习惯混淆。下面是一段结构示意，字段与层级以你使用的内核版本文档为准；先能监听、能 curl 通，再逐层加规则与订阅。

port: 0
socks-port: 0
mixed-port: 7890
allow-lan: false
mode: rule
log-level: info

proxies: []
proxy-groups: []
rules:
  - MATCH,DIRECT

用 ss -lntp 或 lsof -i :7890 确认监听已出现；若 allow-lan: true 面向局域网，请在防火墙与路由上自行评估暴露面。Arch 上常见 nftables、ufw 等工具，与「只本机回环使用」的默认 allow-lan: false 通常不必额外开端口。

5. 系统级 systemd 单元与开机自启

在 /etc/systemd/system/clash-meta.service 放置单元（文件名可自定），ExecStart 指到你确认过的二进制与配置目录。下列模板与站内 Ubuntu、Fedora 文同构，请替换路径、用户与权能，并与 AUR 包已有说明比对。

[Unit]
Description=Clash Meta (mihomo)
After=network-online.target
Wants=network-online.target

[Service]
Type=simple
User=clash
Group=clash
ExecStart=/usr/local/bin/mihomo -d /etc/clash
Restart=on-failure
RestartSec=3
LimitNOFILE=65535
AmbientCapabilities=CAP_NET_BIND_SERVICE
CapabilityBoundingSet=CAP_NET_BIND_SERVICE CAP_NET_ADMIN CAP_NET_RAW
NoNewPrivileges=true

[Install]
WantedBy=multi-user.target

若尚无系统用户 clash，可用 useradd -r -s /usr/bin/nologin clash 之类方式建立，并设置配置目录属主。修改单元后执行 sudo systemctl daemon-reload。若你暂时只用 mixed-port 而不开 TUN，可收紧 CapabilityBoundingSet，按日志报错再补权能。启用开机自启并立即启动： sudo systemctl enable --now clash-meta.service。

6. 用户级单元与 loginctl enable-linger

若你希望配置留在自己的家目录、且不引入系统用户，可用用户级 systemd：单元放在 ~/.config/systemd/user/mihomo.service，User 与 Group 行通常省略。登录会话内执行 systemctl --user enable --now mihomo.service。若需要未登录也拉起（接近「开机自启」），在 Arch 上可为该用户执行 sudo loginctl enable-linger 你的用户名，使用户级 systemd 在开机后仍可用，具体行为以当前 systemd 与显示管理器组合为准。无图形服务器的工作站可优先考虑系统级单元，心智更直观。

多用户系统上，用户级单元能避免多账户争同一 /etc 下配置，但要注意端口冲突与TUN 设备权限；若上 TUN， often 仍要更高权限或补充能力，与「仅本机回环代理」的单元差异会拉大一截，可再阅读 TUN 模式说明。

7. 启动、 journalctl 与 curl 验证

验证顺序： systemctl status clash-meta.service（或 --user 变体）是否为 active (running)；journalctl -u clash-meta.service -e 看 YAML 与网络错误；再用 curl -x http://127.0.0.1:7890 -I https://www.example.com 把端口号换成你的 mixed-port。任一步失败都先回 YAML 与可执行路径，再动防火墙。Arch 的开机自启在语义上与 Debian、Fedora 上相同，差别只在你如何安装软件与放配置文件。

8. KDE、GNOME 与终端环境变量

KDE 可在系统设置中搜索「代理」配置手动 HTTP/HTTPS 指向 127.0.0.1 与 mixed-port；GNOME 在「网络 → 网络代理」中类似填写。部分应用不读桌面环境代理，需单独指定或使用 ALL_PROXY、HTTP_PROXY 等环境变量在 shell 中验证。终端可临时 export HTTPS_PROXY=http://127.0.0.1:7890 做对照，再决定是否写入 ~/.config/fish/config.fish 或 ~/.bashrc，避免把调试用环境永久固化。这与 Windows 或 macOS 上「一键系统代理」的心智不同，是 Linux 桌面的常态。

9. 与 Ubuntu、Fedora 站内专文如何对照

站内 Ubuntu 安装专文 从 deb 与 /etc 习惯讲起；Fedora 专文 强调 dnf、firewalld 与 SELinux。你读完三篇，会得到同一句结论：YAML 管策略，systemd 管进程与自启；发行版只决定你从哪取二进制、权限与防火墙多一步或少一步。在 Arch 上多出来的主要是 AUR、滚动更新、以及你选用系统级还是用户级单元 这三件事。

10. 常见问题与排查清单

服务一直重启：多为配置语法错误、mixed-port 被占用，或 -d 目录不可读。先看 journalctl 行号，勿盲目把 Restart 调成 always 掩盖根因。

yay 升级后 mihomo 起不来：核对 AUR 包是否改路径、是否需 .pacnew 合并；自写单元者确认 ExecStart 未指向已被移除的旧路径。

浏览器不走代理而 curl 正常：查浏览器是否忽略系统代理、或扩展抢代理；与发行版无关，是客户端行为差异。