Clash 疑难解答

客户端负责订阅列表、策略组选择、系统代理开关等界面操作；内核负责读取配置、处理连接、匹配规则和执行 DNS 策略。mihomo 是 Clash 生态中的一种内核，并非所有带 Clash 名称的客户端都使用相同内核。排查配置兼容问题时，应同时记录客户端名称与内核版本，不能只依据界面名称判断某个字段是否可用。

先准备可信来源的订阅链接，或包含可用代理节点的本地 YAML 配置。客户端本身是流量管理工具，安装完成不等于已有可用出口。导入后应确认配置已被选中、策略组包含节点，再开启系统代理或按需启用 TUN。订阅地址往往包含账户授权信息，不要粘贴到公开论坛，也不要交给不明在线转换服务。

不建议把来源不明的免费节点作为处理账户登录或敏感业务的长期出口。公开节点的维护状态、流量限制、运营方和日志策略通常难以确认，今天能连接也不代表后续稳定。客户端可免费使用，与代理服务是否收费是两回事。遇到公开节点失效，应先核实节点来源和服务状态，不要为了恢复连接而关闭浏览器的证书验证。

日常使用先选 Rule，让进入内核的连接按规则选择出口；需要隔离规则问题时，可临时切到 Global 并选择一个已知可用节点；Direct 则让进入内核的连接直接访问目标。模式只影响已进入内核的流量，不会自动接管所有应用。Global 能访问而 Rule 不能访问时，重点检查规则顺序、命中的策略组及其当前选择，测试完成后再切回 Rule。

不必默认同时开启。浏览器等遵循系统代理设置的应用，可先只启用系统代理；游戏、部分命令行工具或不读取系统代理的应用，再考虑使用 TUN 接管。两者同时开启并不必然冲突，但会增加排查路径的复杂度。首次配置建议每次只启用一种接管方式，确认连接日志能看到目标应用后，再按实际需求组合使用。

先确认复制的是订阅地址，而不是服务商登录页或账户管理页地址；再查看导入提示，区分下载失败与格式解析失败。链接返回网页、认证提示或不兼容的节点列表时，客户端可能无法生成配置。优先使用服务方明确提供的 Clash 或 mihomo 格式入口。若导入成功但没有节点，检查是否需要手动选中配置，以及账户套餐是否仍包含可用节点。

先到服务方账户页确认订阅是否过期、流量是否耗尽，以及链接是否被重置。遇到 401 或 403，优先检查授权与访问限制；遇到 404，检查地址是否完整；遇到超时，再检查获取订阅所用的网络路径。部分客户端支持通过当前代理更新订阅，但前提是现有节点仍可用。不要连续高频刷新，保留错误信息并在调整后手动更新一次即可。

Windows 客户端通常需要安装并启用服务模式，或按客户端提示授权管理员权限；macOS 可能需要授权辅助服务或网络扩展；Linux 通常需要相应的网络管理权限。先检查客户端提供的服务安装入口和内核启动日志，不要只反复点击开关。Android 的本地 VPN 授权也必须确认，同一用户环境通常不能同时运行两个占用 VPN 接口的应用。

7890 常被用作 mixed-port，向应用提供 HTTP 与 SOCKS 代理入口；9090 常被用作 external-controller，供客户端或面板控制内核。它们是常见示例值，不是每份配置都固定如此。给浏览器或命令行填写代理时，应读取当前生效配置里的实际代理端口，不要填控制端口。仅供本机使用时，监听地址应限制在回环地址，避免把管理接口暴露给其他设备。

先读取日志中的字段名、行号和错误类型，再检查对应位置的缩进、冒号、列表层级与策略组引用。YAML 缩进应使用空格，不能混入制表符；策略组引用的节点或其他组必须真实存在。不同内核支持的字段也有差异，不要只修缩进就忽略兼容性。恢复上次可用配置后逐项加入修改，每次保存都确认内核能启动，避免一次改动多个模块。

先采用服务方建议的周期；没有说明时，可从每隔数小时到一天更新一次开始，再按节点变动频率调整。区分客户端的整份订阅更新与 proxy-providers 的 interval：两者作用范围不同，界面里的时间单位也可能不同。设置后查看最近更新时间是否变化，不能只看开关已开启。移动设备受后台限制时，定时任务可能延后，重要连接前可手动刷新一次。

保持 Rule 模式，在连接列表中找到目标域名或目标地址，查看匹配规则、策略组和最终出口。规则一般自上而下匹配，前面的宽泛规则可能覆盖后面的精确规则，MATCH 通常放在末尾。若只看到 IP 而没有域名，还应检查 DNS 接管和域名识别情况。调整后关闭旧连接并重新请求，因为已经建立的长连接不一定会随规则修改立即更换出口。

优先使用客户端明确支持的覆写、合并配置或扩展脚本入口，并先备份原设置。直接修改下载到本地的订阅文件，下一次更新时可能被覆盖。覆写是否追加列表、替换整个字段或支持脚本，取决于具体客户端，不能照搬其他软件的操作步骤。保存后查看最终生效配置，确认自定义规则顺序和策略组名称正确，再手动更新订阅验证修改是否保留。

先检查应用是否读取系统代理。命令行程序可能需要独立的代理参数或环境变量，例如为支持 HTTP 代理的工具指定 http://127.0.0.1:7890，端口以实际配置为准。HTTP 与 SOCKS 的写法不能随意互换，部分工具还区分本地解析与代理端解析域名。若应用没有代理设置，可评估 TUN；验证时查看连接日志，不要仅凭浏览器可访问就判断所有应用都已接管。

先在客户端连接列表中确认出现测试请求，再检查它命中的策略组与最终节点。随后用可信的出口地址检测页面辅助核对，必要时比较启用前后的访问结果。出口地址没有变化不一定代表故障，目标可能按规则直连；地址变化也不能证明每个应用都已接管。应针对需要代理的应用逐一验证，同时保留测试时间和目标域名，方便与日志中的连接记录对应。

不一定。先确认本机可以正常直连网络，再检查订阅是否有效、系统时间是否准确，以及节点域名能否解析。延迟测试通常访问指定测试地址，该地址不可用也可能造成整组超时；可改用客户端支持的其他可信测试地址交叉验证。若个别节点可用，优先比较协议和服务状态；若全部不可用，查看连接错误日志，避免把测试超时直接归因于安装问题。

先确认内核正在运行、代理端口确实监听，并核对系统代理地址与端口。再检查浏览器扩展、独立代理设置、企业策略或其他代理软件是否覆盖了系统设置。部分目标可能在系统代理绕过列表中，也不会进入内核。临时停用其他接管工具后重启浏览器测试；若连接记录仍为空，先处理应用到本地代理入口这段路径，不要急着修改远端节点。

部分 UWP 应用受 AppContainer 回环限制，无法直接访问本机回环地址上的代理入口。先确认普通浏览器使用同一端口正常，再使用客户端提供的回环豁免工具，仅为确有需要的应用授权，并按提示取得管理员权限。不是所有商店安装的应用都受相同限制，企业策略也可能限制修改。没有回环工具时，可评估 TUN 接管，并通过连接日志确认实际路径。

先关闭 TUN 对照测试，确认故障确实与接管有关，再查看路由、DNS 和连接日志。局域网设备访问失败时，检查私有网段的直连规则及路由排除设置；域名访问异常时，检查 Fake-IP 映射、解析器可达性和应用自身的加密 DNS。对不兼容域名使用有针对性的 fake-ip-filter，而不是把全部域名加入过滤。每次只调整一项，重新建立连接后再比较结果。

先检查系统代理是否仍指向已经关闭的本地端口，关闭遗留代理设置；再确认 TUN 虚拟接口、路由与 DNS 是否已恢复。可以重新打开客户端，关闭系统代理和 TUN 后正常退出，再重新连接当前网络。若仍异常，检查其他 VPN、浏览器扩展和手动 DNS 设置。重置网络会影响既有配置，应先记录自定义设置，且不要把批量删除网卡作为第一步。