基础认知
区分客户端、内核与代理模式，避免将安装完成或测试成功误认为全部连接都已接管。
Clash、mihomo 和图形客户端是什么关系？
Clash 是这一类规则代理工具的项目名称，mihomo 是沿用并扩展相关配置体系的内核；Clash Verge Rev、FlClash 等图形客户端负责订阅导入、策略组选择和系统设置。界面能启动，不代表内核已正常加载配置。遇到配置字段不支持时，先在客户端的关于或内核设置中确认实际使用的内核，再查看日志中的解析错误。教程中的 mihomo 字段不能直接假定适用于所有旧版 Clash 内核。
安装客户端后为什么还需要订阅或配置文件？
客户端负责读取配置与转发连接，不会因为完成安装就自动具备可用的代理服务器。订阅通常包含服务器信息、策略组和分流规则，也可能只有节点，需要客户端另行生成规则。先向实际服务提供方取得支持当前内核的配置，再到配置页导入并启用。不要将登录网页地址当作订阅地址，也不要将订阅链接发到公开评论区；链接中携带的访问标识可能允许他人读取同一份配置。
规则、全局、直连三种模式应该怎么选？
日常使用优先选择规则模式，对应 mode: rule，连接按 rules 的顺序决定出口。全局模式把已进入内核的连接交给全局策略组，适合短时对照测试，但不等于已经接管全部系统应用。直连模式让已进入内核的连接直接访问目标，也不等于关闭系统代理。切换模式后应重新建立测试连接，并在连接页确认实际出口；旧连接可能继续沿用建立时的策略。
系统代理和 TUN 模式有什么区别？
系统代理主要修改操作系统的 HTTP 代理设置，是否生效取决于应用是否读取该设置；部分命令行程序、游戏和独立网络栈会绕过它。TUN 通过虚拟网卡及路由接管更多 IP 流量，对应 tun.enable，并需要系统授权或服务权限。先用系统代理完成基础验证，再按需要开启 TUN。TUN 的接管范围还受路由、排除规则和其他 VPN 影响，不能只凭开关显示开启就判断所有连接都已进入内核。
节点延迟测试成功，为什么实际网站仍打不开？
延迟测试通常只验证经节点访问指定测试地址的耗时，不代表目标网站、全部协议和当前分流规则都可用。先在代理页确认目标策略组选中了测试过的节点，再打开目标网站并查看连接页的命中规则与出口。如果连接没有进入客户端，检查系统代理或应用代理；如果已经进入但失败，查看 DNS、TLS 或连接超时日志。不要仅凭一个延迟数字反复更换配置，目标服务本身也可能限制该出口。
概念对照：内核、策略组与网络栈术语。
安装配置
从配置格式、账户状态与本机权限入手。先完成订阅加载，再开启需要额外授权的功能。
订阅链接导入失败或提示格式错误，怎么处理？
在配置页新建远程配置，粘贴完整订阅地址，确认没有首尾空格或被聊天软件截断。若日志出现 YAML 解析错误、缺少代理信息，可能下载到登录页、错误提示页或不兼容的订阅格式，而不是有效配置。向服务提供方确认应选择 Clash 或 mihomo 格式，再重新导入；只有 Base64 节点链接时，不能直接当作完整 YAML 使用。排查时保留错误行号，但分享截图前遮住订阅地址和服务器凭据。
订阅失效，或者更新后节点变少了，应该先查什么？
先到服务提供方的账户页面确认套餐状态、订阅地址是否重置以及节点是否调整，再在客户端配置页手动更新一次。HTTP 401 或 403 常与授权或访问限制有关，404 可能表示地址变更，不能只靠重复点击更新解决。更新成功后检查当前启用的配置是否就是这一份，并查看客户端是否设置了节点筛选。不要用来源不明的转换服务处理含访问标识的订阅；若本地有可用备份，覆盖前先保留一份。
混合端口在哪里设置，应用应该填哪个地址？
通常在客户端设置页的端口或代理设置中查看混合端口，对应 mixed-port；7890 是常见示例，不是所有客户端的固定值。修改后保存配置，必要时重新加载内核。支持手动 HTTP 或 SOCKS5 代理的本机应用，可填写 127.0.0.1 和实际混合端口，并选择应用要求的协议。若提示端口占用，先关闭重复运行的客户端或改用空闲端口，同时更新应用内的代理设置，避免两端仍使用不同的端口。
开启 TUN 提示权限不足或虚拟网卡创建失败怎么办？
先关闭 TUN，在客户端设置中检查服务模式是否安装并运行。Windows 桌面客户端通常需要安装辅助服务并完成管理员授权；macOS 需要按客户端提示批准网络相关权限；Linux 则要确认服务具有创建 TUN 设备和管理路由所需的权限。不要把长期以管理员身份运行整个界面当作唯一修复方式。检查日志中的权限或设备错误后，再按该客户端说明修复服务；同时暂时停用其他 VPN，排除虚拟网卡和路由冲突。
macOS 提示应用无法打开，应该如何判断？
先检查安装包架构是否匹配：Apple Silicon 通常选择 ARM64，Intel 选择 x64，并确认下载和解压过程完整。若系统提示开发者无法验证，在确认来源后打开系统设置中的隐私与安全性，查看是否有针对该应用的允许打开选项，再按提示授权。应用已损坏与权限提示不是同一种错误，不能都用同一个命令处理。不要为了启动单个客户端关闭系统整体安全机制；仍失败时记录系统版本和提示全文，再对照项目的安装说明。
相关资料：客户端与平台安装说明、端口设置。
使用技巧
启动、切换和覆写设置需要分别验证。以实际生效配置和新建立的连接为准。
开机自启和自动连接是同一项设置吗？
不是。开机自启只负责启动客户端进程，是否自动启用系统代理、TUN 和上次配置，要看客户端各自的启动选项。先在设置页开启开机启动，再分别检查系统代理、服务模式和配置恢复选项。Windows 可在任务管理器的启动应用中核对，macOS 可在系统设置的登录项中核对。重启后先确认内核正常运行，再检查代理状态；如果客户端尚未启动而系统残留代理地址，浏览器可能暂时无法联网。
切换节点后，怎样确认当前连接使用了新节点？
在代理页切换目标策略组后，重新打开测试页面，或在连接页关闭该应用的旧连接，让它重新建立连接。已有 TCP 连接及部分复用会话可能继续使用原出口，因此只刷新一次页面未必能完成对照。查看连接详情中的规则、策略链和目标域名，确认流量经过预期的策略组。若配置使用 url-test 或 fallback 自动组，手动选择可能受组类型限制，应先确认实际控制网站访问的组，而不是随意切换某个无关分组。
怎样让某个网站直连，又不影响其他网站？
保留规则模式，在客户端的规则覆写或本地覆写功能中加入针对目标域名的规则，例如 DOMAIN-SUFFIX,example.com,DIRECT，并放在可能提前命中的宽泛规则和 MATCH 之前。这里的 example.com 仅用于说明语法，需要替换成实际目标域名。网页还可能请求登录、图片和接口等其他域名，应结合连接页逐项判断。优先使用持久化覆写，不要只编辑订阅生成的文件，否则下一次订阅更新可能覆盖修改。
手机或其他电脑如何使用本机的代理？
在可信局域网中开启允许局域网连接，对应 allow-lan: true，再确认监听地址及系统防火墙允许同网段访问。其他设备填写这台电脑的局域网 IP 和实际混合端口，不能填写 127.0.0.1，因为它在每台设备上都指向设备自身。建议配置 authentication 并限制可访问的来源地址，使用后按需要关闭共享。不要在路由器上把代理端口转发到公网；手机应用是否使用 Wi-Fi 代理仍取决于应用实现。
订阅更新会覆盖规则修改吗，怎样保留本地设置？
直接修改远程订阅对应的 YAML 文件，常会在下次更新时被替换。需要长期保留的 rules、dns 或 tun 设置，应放入客户端提供的覆写、合并或脚本功能，并确认该功能的合并顺序。规则列表是追加还是替换、是否放在 MATCH 之前，各客户端实现可能不同。更新后查看实际生效配置及连接日志，而不是只看编辑器中的内容。调整前保存可回退的本地副本，排查故障时可暂时关闭覆写，区分订阅问题与本地修改问题。
故障排查
按基础网络、应用接入、命中规则、代理出口的顺序检查。超时、认证失败和 DNS 错误应分开处理。
Clash 无法上网，怎样按顺序排查？
先关闭系统代理与 TUN，确认基础网络能访问原本可直连的网站；若仍失败，先检查 Wi-Fi、网关或系统残留代理。基础网络正常后，仅启用一款客户端，确认配置加载成功、内核运行且策略组有可用节点。随后检查请求是否出现在连接页：没有记录时排查应用代理和路由，有记录时查看命中规则及 DNS、连接错误。每次只改一个设置并重新测试，避免同时切换模式、节点和 DNS 后无法判断是哪项变化起作用。
节点一直超时，如何区分订阅、网络与节点问题？
先确认订阅更新成功且账户可用，再分别测试同一订阅中的不同节点。如果只有个别节点超时，优先检查节点维护或出口限制；如果全部失败，查看系统时间、服务器域名解析和当前网络是否阻断连接。可切换另一条可信网络进行对照，但不要把超时简单等同于端口错误。日志中的认证失败、证书错误和连接超时原因不同，应保留原始错误关键词。若只有延迟测试失败而实际访问正常，还需检查测试地址是否能通过该出口访问。
系统代理已开启，浏览器或命令行为什么仍然直连？
先检查系统代理地址是否指向当前客户端的监听端口，再查看浏览器是否被扩展、企业策略或独立代理设置覆盖。命令行工具不一定读取系统代理，可用 curl -I --proxy http://127.0.0.1:7890 https://example.com 做显式代理对照，端口需改成实际值。若显式代理能在连接页看到记录，而普通请求没有记录，问题多在应用接入方式。按应用说明设置代理环境变量或评估 TUN，不要通过反复切换节点修复一个尚未进入内核的请求。
Windows 的 UWP 应用无法使用本机代理，怎么处理？
部分处于 AppContainer 沙箱中的 Windows 应用受到本机回环访问限制，浏览器可用而这些应用失败时，可以检查这一项。先确认应用确实尝试访问本机代理，再使用客户端提供的 UWP 回环工具，仅为需要的应用启用回环豁免；若没有该工具，可查询包系列名称后按 Windows 的 CheckNetIsolation 用法配置。操作可能需要管理员授权。并非所有商店应用都有相同限制，豁免也不能修复节点或 DNS 故障，不建议直接对全部应用统一放开。
开启 TUN 后 DNS 异常或全部断网，应该检查哪些字段？
先关闭 TUN 恢复连接，再检查服务权限和日志，确认没有其他 VPN 同时修改路由。对照 tun.enable、tun.auto-route、tun.auto-detect-interface 以及 dns.enable，检查出口网卡识别与 DNS 接管是否符合当前平台。使用 dns.enhanced-mode: fake-ip 时，内核需要正确关联域名映射与后续连接；特殊应用可按实际兼容问题调整 fake-ip-filter。修改后重新加载配置并清理相关应用的 DNS 缓存，不要随意复制多套 DNS 段混用；恢复后再逐项开启 TUN 功能。
需要对照完整设置时，查阅进阶配置手册，不要直接用陌生配置覆盖当前可用配置。