Clash 疑难解答

Clash 客户端提供配置导入、模式切换、系统代理和日志查看等界面；mihomo 内核负责处理连接、执行规则与解析 DNS。订阅则是配置的获取方式，通常包含代理服务器、策略组和规则，具体内容由提供方决定。安装客户端不等于已经获得可用的代理服务。排查时先确认配置能够加载，再确认订阅中的服务有效，最后检查系统流量是否进入内核；不要把界面启动成功当作连接已经生效。

规则模式按配置中的规则顺序为每条连接选择策略，适合日常分流；全局模式让进入内核的连接统一使用全局策略，但仍需选中可用的出口；直连模式让进入内核的连接直接访问目标。初次使用建议从规则模式开始。排查某个网站时，可以短暂切到全局模式进行对照，若全局可用而规则不可用，应检查规则命中与策略组选择。全局模式不会自动接管所有应用，系统代理或 TUN 等流量入口仍需正确设置。

订阅链接用于从远端获取配置，点击更新时会重新下载提供方的内容；本地 YAML 配置由用户保存和修改，通常不会自动跟随远端更新。两者能否导入取决于配置格式与内核支持情况，而不是文件名称。修改订阅生成的配置前，应确认客户端是否会在更新时覆盖改动；需要长期保留的自定义规则，优先使用客户端支持的覆写功能。备份时同时记录当前配置名称与来源，分享截图或日志前隐藏订阅链接中的凭据。

Clash 客户端不附带通用可用的代理服务，公开的免费节点也可能随时失效，且运营方与数据处理方式不一定明确。使用前应确认来源、适用规则和服务授权，不要为了导入节点而安装陌生证书或提交账户密码。公开配置还可能修改 DNS、规则与外部控制接口，导入后需要检查这些设置。连接成功只说明当时网络可达，不能据此判断长期稳定性或隐私保障；涉及登录、支付等操作时，仍应保持 HTTPS 证书验证。

先在系统信息中确认操作系统版本与处理器架构，再选择对应安装包。Windows 常见 x64 与 ARM64；macOS 需要区分 Intel 与 Apple Silicon；Android 常见 arm64 与 arm，通用包是否可用以下载说明为准；Linux 还要区分发行版使用的 deb 或 rpm 包。不要仅凭设备外观判断架构，也不要把内核压缩包当成带界面的客户端。安装被系统拦截时，先确认来源与兼容要求，再依据具体提示处理，不建议直接关闭全部系统安全设置。

先检查订阅链接是否完整，是否混入空格、换行或复制了网页地址，再查看客户端日志中的具体错误。出现 401 或 403 时，优先核对授权与账户状态；出现 404 时，检查地址是否变更；请求超时则需要区分网络不可达与服务器无响应。如果返回的是登录页面或格式不支持，重新获取适用于 Clash 内核的配置。不要反复点击更新，以免触发限流；先保留当前可用配置，再联系提供方确认有效期、流量额度与链接状态。

导入完成后，在配置页面将该条目选为当前配置，并确认没有语法错误或加载失败提示。接着进入代理页面，为会被规则使用的策略组选定可用出口，再开启系统代理；手机端还需要允许系统创建 VPN 连接。打开目标网站时，查看连接或日志页面是否出现对应请求及规则命中。如果看不到请求，应先检查流量入口，而不是继续更换节点。切换配置会影响后续新连接，已有长连接可能仍沿用旧策略，需要关闭相关应用后重新验证。

TUN 模式需要创建虚拟网络接口并调整路由，因此通常需要管理员权限、客户端服务或系统 VPN 授权。Windows 先按客户端说明安装并启动服务模式，再重新开启 TUN；macOS 查看是否有尚未完成的权限确认；Linux 检查运行账户、所需能力与虚拟接口支持；手机端确认 VPN 授权没有被拒绝。仍然失败时，记录日志中创建接口或写入路由的错误，检查其他 VPN 是否占用资源。先关闭 TUN 恢复网络，再逐项处理，不要同时改动 DNS 和路由参数。

开机自启只负责启动 Clash 客户端，不一定会自动启用系统代理、TUN 或上次使用的配置。先在客户端设置中开启自启动，再检查是否提供恢复代理状态或启动内核的选项，最后通过一次重新登录系统验证实际行为。Windows 的服务模式与用户界面自启动可能是两个独立设置；手机端还可能受后台运行与电池策略影响。若重启后不能连接，先确认当前配置与授权状态，再检查内核是否运行，不要仅根据托盘图标判断代理已接管流量。

为每份配置使用能够辨认来源和用途的名称，并分别记录更新间隔、策略组与自定义覆写。多数客户端切换当前配置时会加载整份配置，而不是自动合并所有订阅；因此原来选择的策略组名称在新配置中可能不存在。切换后先检查主要策略组，再观察目标请求的规则命中。需要合并代理来源时，使用明确支持的代理提供器或合并功能，并避免同名条目冲突。远端更新前保留备份，验证成功后再替换日常配置，不要直接覆盖唯一可用的文件。

先在连接页面找到该网站的请求，记录目标域名、命中的规则与最终策略。规则通常从上到下匹配，较早命中的宽泛规则可能遮住后面的精确规则；还要检查策略组是否选择了直连或其他出口。如果连接仅显示 IP，应进一步确认 DNS 与域名识别是否符合配置预期。添加规则时尽量使用明确域名条件，并放在会提前匹配的规则之前。修改后重新建立连接再测试，不要只刷新仍复用旧连接的页面，也不要用一条过宽规则代替对原规则的定位。

Fake-IP 会为域名返回映射地址，内核再通过映射关系还原域名并处理连接，它不是实际服务器地址。正常使用需要 DNS 请求与后续连接进入正确的处理路径。若局域网设备发现、特定游戏或应用明确出现兼容问题，先查日志并尝试为相关域名设置过滤规则，而不是立即关闭整个功能。修改增强模式后，可能需要清理系统和应用的 DNS 缓存，并重新建立连接。映射地址出现在解析结果中本身不代表故障，应结合请求是否进入内核和能否访问目标判断。

先关闭代理确认基础网络可用，再检查订阅是否过期、服务器地址与端口是否有效，以及系统时间是否准确。随后查看日志，区分域名解析失败、连接超时和认证失败：解析失败先查 DNS，超时先查目标可达性，认证失败核对服务凭据。使用同一配置中的其他出口作对照，并暂时关闭其他 VPN，排除路由冲突。客户端测试结果只代表测试目标的表现，不等于所有网站都可访问；每次只改一个设置，保留错误发生时的日志，避免把多个问题混在一起。

系统代理只是向支持该设置的应用提供代理入口，并不保证所有程序都会采用。先确认内核正在运行、监听端口与系统代理地址一致，再检查浏览器是否有独立代理设置或扩展覆盖系统设置。打开网页后若连接页面没有请求，问题通常在流量入口；若有请求但显示直连，应检查模式与规则。部分命令行工具、游戏或特殊应用需要单独设置代理，或在理解路由影响后使用 TUN。还应排除其他代理工具反复修改系统设置，不建议同时运行多个接管程序。

部分 Windows 应用容器受到回环访问限制，可能无法连接本机代理端口，而普通桌面浏览器仍然正常。先确认问题仅发生在该类应用，再使用 Clash 客户端提供的 UWP 回环工具，按提示以所需权限为确有需求的应用添加豁免，然后完全退出并重启应用。不要把所有应用一并加入，也不要通过关闭防火墙代替回环设置。若豁免后仍然失败，检查该应用是否采用系统代理以及日志是否有请求；TUN 是另一种流量入口，是否适用需要结合权限与路由环境判断。

先看错误类型：域名解析失败应检查 DNS 服务器是否可达、请求是否进入预期解析路径，以及加密 DNS 地址能否完成自身解析；证书错误则先检查系统日期、证书有效期与系统信任库，再对比关闭代理后的结果。普通代理转发不需要替换网站证书，不要为消除提示而关闭证书验证或安装来源不明的根证书。若只在某个网络或出口出现问题，可换网络作对照并记录证书颁发者。调整 DNS 后重新建立连接，仍异常时保留日志与完整错误提示继续定位。