基础认知
先区分客户端、内核与服务配置，明确代理模式和流量入口的边界。
Clash 客户端、mihomo 内核与订阅分别是什么？
客户端提供配置导入、代理组选择和系统代理开关等界面；内核负责接收连接、解析域名与匹配规则。mihomo 是 Clash 生态中持续发展的内核，曾使用 Clash Meta 名称。订阅通常是服务提供方生成的配置入口，用来获取节点或完整配置。安装客户端并不等于获得可用节点，还需要兼容的配置与有效服务。排查问题时分别记录客户端名称、内核名称和订阅类型，避免把界面功能与内核能力混为一谈。
规则、全局、直连三种模式有什么区别？
规则模式按配置中的规则顺序决定连接去向，适合日常分流；全局模式通常把进入内核的连接交给 GLOBAL 策略，仍需在该策略中选择可用节点；直连模式让进入内核的连接直接访问目标。模式只决定内核收到连接后的处理方式，不负责让所有应用自动进入内核。新手可先用规则模式，必要时短暂切换全局模式对照测试。测试结束后恢复原模式，再检查具体命中的规则，避免把临时设置长期保留。
开启系统代理后，所有应用都会经过 Clash 吗？
系统代理主要服务于读取操作系统代理设置的应用，浏览器通常会使用它，但部分游戏、命令行工具和自带网络栈的程序可能忽略该设置。应用还可能配置了独立代理或绕过列表。因此，浏览器能够访问不代表其他应用也已接入。先查看客户端连接列表，确认目标程序的请求是否出现；没有连接记录时，优先检查流量入口。可为应用单独设置本地代理，或在理解路由与权限要求后启用 TUN 模式。
Clash Plus、Clash Verge Rev 与 FlClash 应怎样选择？
先按操作系统筛选，再确认处理器架构、系统版本和实际需要的功能。本站下载中心在支持的平台优先列出 Clash Plus，同时提供 Clash Verge Rev、FlClash 等选择。不同客户端的界面、配置覆写方式、服务安装流程和 TUN 开关可能不同，不宜照搬另一款客户端的菜单路径。已有稳定配置时，迁移前保留原文件，并核对新客户端使用的内核。选择仍在维护且适配当前系统的版本，比只比较界面外观更重要。
延迟测试成功，为什么网页仍然打不开？
延迟测试通常只验证节点到指定测试地址的一次请求，不能代表所有网站、协议和应用都能访问。网页失败还可能由规则选错代理组、目标站限制、DNS 解析异常或应用没有使用代理引起。先确认网页请求出现在连接列表中，再查看命中的规则与实际节点。用另一个网站和同组另一个节点交叉测试，记录失败范围。不要仅凭延迟数字反复更换 DNS，也不要把一次测试成功当成整条访问链路正常的证明。
安装配置
围绕订阅导入、本地端口、TUN 权限与启动设置，逐项建立可用配置。
订阅链接应该怎样导入，导入后还要检查什么？
从服务提供方取得面向 Clash 或 mihomo 的配置链接，在客户端的配置或订阅页面选择从链接导入，粘贴完整地址并保存。链接可能包含个人访问凭据，不要发到公开群组或截图中。导入完成后还需启用该配置，检查代理组是否出现并选择节点，然后开启合适的流量入口。若导入结果只有节点而缺少规则，需要按客户端支持的方式补充配置。菜单名称因客户端而异，可先按本站教程完成一次完整连接验证。
Clash 端口设置中的 mixed-port 应如何填写？
mixed-port 是同时接受 HTTP 与 SOCKS 代理连接的本地监听端口。配置使用 mixed-port: 7890 时，同机应用通常填写主机 127.0.0.1、端口 7890，并按应用要求选择代理协议；实际数值以当前客户端显示为准。若启动日志提示地址已被占用，先退出另一款代理软件，或改用空闲端口并同步修改应用设置。不要把外部控制接口端口当成代理端口。仅供本机使用时保持局域网访问关闭，避免意外暴露监听服务。
TUN 模式提示权限不足或虚拟网卡创建失败怎么办？
先查看日志，区分权限不足、服务未安装和驱动加载失败。Windows 客户端通常需要安装或启动其服务组件；部分客户端也支持以管理员权限运行，但应以该客户端说明为准。macOS 可能需要授权辅助服务，Linux 需要相应网络管理权限。安装服务后重新启动客户端，再确认虚拟网卡和路由是否生成。若仍失败，暂时退出其他 VPN 或 TUN 软件做对照，不要同时反复创建多个虚拟网卡，也不要把长期关闭系统防护当成解决方案。
开启 TUN 时，DNS 与 Fake-IP 应怎样配合？
TUN 负责接收网络流量，DNS 设置负责解析与域名关联，两者需要共同检查。Fake-IP 会为部分域名返回映射地址，由内核在后续连接中还原目标；它不是公开 DNS 服务器地址。先采用客户端提供的默认 TUN 与 DNS 组合，再检查配置中的 dns.enable、dns.enhanced-mode 和 TUN 的 DNS 接管设置。不要只复制一个增强模式字段。局域网设备或特殊应用不兼容时，可按症状添加 Fake-IP 排除项，并在修改后重启相关应用以清除旧连接。
开机自启为什么没有自动连接，手机后台又为什么会断开？
开机启动客户端、启动内核服务和恢复代理开关是不同设置，勾选其中一项不一定会完成全部步骤。桌面端应分别确认启动项、已启用的配置和系统代理或 TUN 的恢复行为，并测试一次重启后的实际连接。Android 还需检查后台运行、电池优化和 VPN 权限；iOS 应确认系统中的 VPN 状态。移动系统通常只允许一个活动 VPN，其他 VPN 或过滤工具可能替换连接。先核对系统状态，再排查节点，避免把后台限制误判成订阅故障。
首次配置可按Clash 配置教程完成导入、选择模式与连接验证。
使用技巧
自定义规则、代理组与 DNS 设置，都应以实际连接记录作为验证依据。
怎样添加自定义规则，并避免订阅更新覆盖？
优先使用客户端提供的规则覆写、合并配置或扩展配置功能，把本地修改与远程订阅分开保存。规则从上到下匹配，具体域名规则通常应放在宽泛规则及 MATCH 之前；例如 DOMAIN-SUFFIX,example.com,DIRECT 表示该域名及其子域名直连。策略名称必须存在，大小写与名称要对应配置。修改后重新加载并在连接列表确认实际命中。直接编辑订阅下载文件可能在更新时被替换，所以先保留副本，并确认客户端的合并顺序。
select、url-test 与 fallback 代理组分别适合什么场景？
select 用于手动选择节点或子代理组，适合需要明确固定出口的场景。url-test 根据指定测试地址的结果自动选择，测试间隔与容差等参数会影响切换行为，但它不等于下载速度排名。fallback 通常按列表顺序选择可用候选项，更适合保持优先线路并在失败时切换。组内成员、测试地址和实际访问网站都影响结果。遇到某个网站异常时，可先用 select 固定节点进行对照，再决定是否需要调整自动策略，而不是同时改动多个组。
怎样判断应用实际命中了哪条规则？
打开客户端的连接页面，重新触发目标应用的请求，按进程、域名或目标地址定位对应连接，查看规则类型、策略链和最终出口。已有长连接可能仍沿用旧策略，切换配置后应关闭该连接或重新启动应用再测试。若完全没有记录，先检查应用是否接入代理，不要直接修改 rules。日志过少时可短暂提高日志级别，用完恢复原设置。分享日志前应隐藏订阅地址、认证信息和个人访问记录，只保留定位问题所需的错误片段。
允许局域网连接代理时，需要注意哪些设置？
只有明确需要让其他设备使用本机代理时，才开启 allow-lan 并检查 bind-address、代理端口和防火墙入站规则。其他设备应填写这台电脑的局域网地址，而不是 127.0.0.1；电脑地址变化后也要同步更新。尽量限制访问范围并配置客户端支持的认证，不要在路由器上把代理端口转发到公网。外部控制接口与代理监听是两种服务，应分别管理。测试结束后关闭不再需要的共享入口，避免陌生设备使用本机网络出口。
使用代理是否就能避免 DNS 泄漏？
不能仅凭代理开关判断 DNS 请求的去向。应用可能使用系统解析器、内置加密 DNS 或独立网络设置，而 TUN 与 DNS 接管是否生效也取决于配置。先确认目标应用的请求进入内核，再检查内核 DNS 日志、上游解析器及其路由策略。浏览器启用安全 DNS 时，应把这一设置纳入排查。DNS 测试网站显示的解析出口只能作为线索，不能单独证明整台设备的流量路径；应结合连接记录和实际网络配置判断。
故障排查
先定位故障发生在哪一层：配置获取、内核启动、流量接入，还是节点到目标网站的连接。
订阅更新失败：链接过期、HTTP 报错与 YAML 报错怎样区分？
先看失败发生在下载还是解析阶段。HTTP 401 或 403 可能与授权、访问限制有关，404 可能是入口失效；具体含义仍以服务提供方说明为准。超时应检查当前网络能否访问订阅地址。下载成功但解析失败时，检查返回内容是否为登录网页，以及格式是否适配当前内核、YAML 缩进是否正确。只有提供方明确要求时才调整 User-Agent。保留上一次可用配置，重新取得链接后再更新，不要把含凭据的链接交给来源不明的转换网站。
节点全部超时，怎样判断是服务问题还是本机问题？
先关闭代理测试普通网络是否正常，再确认配置已启用、账号服务有效且节点信息完整。随后选一个节点查看连接错误，区分域名解析失败、连接超时、认证失败和协议不支持。全部超时也可能是测试地址不可达，需用实际网页请求交叉验证。退出其他代理或 VPN，再换一个网络对照；若同一配置在另一台设备正常，重点检查本机端口、防火墙和流量入口。不要一次同时重置配置、DNS 与系统网络，否则难以确认真正原因。
系统代理已开启但浏览器不生效，退出后又无法上网怎么办？
检查操作系统代理设置是否指向客户端实际监听的本地地址和端口，同时确认内核仍在运行。浏览器扩展、独立代理配置或其他网络工具可能覆盖系统设置，可暂时停用这些项并重启浏览器对照。退出客户端后无法上网，常见原因是系统仍保留指向已关闭端口的代理。先恢复系统代理为关闭或原有设置，再测试直连网络。需要重新启用时，先启动内核再打开代理开关；受单位策略管理的设备应遵循管理要求，不要强行覆盖策略。
Windows 的 UWP 应用不能连接本地代理，如何处理回环限制？
部分使用 AppContainer 的 Windows 应用受本地回环限制，可能无法连接 127.0.0.1 上的代理。先确认普通浏览器可用、目标应用确实使用系统代理，再使用客户端提供的 UWP 回环工具，仅为需要的应用授权。系统也提供 CheckNetIsolation 工具，但必须确认应用包标识及操作权限，不要批量放开全部应用。授权后重新启动目标应用。并非所有商店安装的程序都有该限制，回环授权也不会解决节点、DNS 或服务端故障，仍需查看连接记录判断。
Clash 网速慢、配置加载后崩溃，分别从哪里排查？
速度慢先比较直连网络与代理访问，再固定节点测试同一目标，区分节点负载、线路波动和本机设置；延迟低不代表吞吐高。只有某个应用慢时，检查它的规则与连接入口。客户端崩溃则先保留配置与日志，回退到上一份可用配置，检查最近新增的规则、提供器和内核兼容性。若启动即退出，可按客户端文档暂时移开配置目录再测试，并更新适配系统的客户端。不要直接删除全部数据，也不要用反复重装代替错误定位。