Clash 使用教程

第一步：导入订阅

打开 Clash 客户端，进入「配置」或「订阅」页面。寻找「新增」「导入」或加号入口，选择通过 URL 添加远程配置。部分桌面端直接在配置页顶部显示订阅输入框；移动端则可能先要求填写名称与地址。名称只用于区分配置，可以写成「日常配置」，真正决定下载内容的是地址字段。

从配置提供方复制完整订阅链接，粘贴到地址输入框，确认没有带入前后的空格、换行或聊天软件附加的标点。链接中的查询参数也是地址的一部分，不要擅自删除。若提供方同时列出多种格式，应选择明确标注 Clash 或 mihomo 兼容的配置入口；普通网页地址和其他客户端专用链接，未必能被当前 Clash 客户端识别。

点击「导入」「保存」或「下载」后，等待配置获取与解析结束。成功时通常会出现一条配置记录，显示名称、更新时间或来源。只看到记录不一定代表已经启用：继续点击这条配置，选择「使用」「设为当前」或对应的选中控件，直到出现当前配置标记。有些 Clash 客户端会在导入后自动启用，仍应检查一次状态。

确认配置已经载入

接着进入「代理」页面，查看是否出现配置定义的策略组。策略组名称由配置作者决定，可能是「代理选择」「自动选择」或其他自定义名称，并不存在所有客户端统一的一组名称。如果这里只显示空白，返回配置页确认当前配置是否选中，再查看日志中有没有解析错误。导入完成、配置启用、策略组出现，是三个需要依次确认的结果。

若订阅下载失败，先区分「无法获取」与「内容解析失败」。无法获取常与地址过期、网络不可达或账户状态有关；解析失败说明已经取得内容，但格式、字段或内核兼容性存在问题。反复点击导入不能解决格式不匹配。可以从提供方重新复制兼容地址，再检查错误提示；不要为完成导入随意关闭系统的证书验证。

手里只有本地文件时，改用「导入文件」入口，选择提供方给出的 YAML 配置，导入后同样设为当前配置。本地文件不会天然具备远程订阅更新能力；以后更新时需要替换文件或按配置中的 provider 设置刷新。初次使用不必同时添加多份配置，先让一份配置完成后续验证，避免切换时无法判断实际生效的是哪一份。

第二步：选择代理模式

进入「代理」「模式」或首页的模式选择区域，初次使用选择「规则」。规则模式会根据当前配置中的规则决定每条连接的去向：一些连接直接访问，一些交给代理策略组，也可能有连接被配置中的拒绝规则拦截。它并不保证所有网站都走代理，实际行为取决于导入的配置。先使用配置提供方设计好的规则，有助于把日常访问与需要代理的访问分开。

选择规则模式后，打开用于代理出口的策略组。如果组内是手动选择列表，点选一个可用节点；如果组内提供「自动选择」或故障转移组，可以按配置说明选择该组。节点名称只是标识，不足以证明可用性。Clash 客户端提供连接测试时可以运行一次，但测试结果只作为参考，最终仍需在第四步检查目标网站的实际访问。

模式与策略组选项分别设置

模式决定如何分配连接，策略组决定分配后使用哪个出口，两者不是同一个开关。即使界面已经显示规则模式，代理策略组仍可能选中了 DIRECT，这会使交给该组的连接继续直连。请查看当前选中项，而不是只确认模式名称。若策略组嵌套另一策略组，还需要展开下一层，确认最终指向节点、自动组还是直连。

「全局」可以在排查规则问题时临时使用，但不应理解为所有设备流量已经自动被接管。模式只处理进入内核的连接：如果某个应用没有使用系统代理，它的流量仍可能绕过 Clash 客户端。切到全局后也要检查全局策略组是否选择了实际代理出口，不能仅凭模式切换判断代理已生效。

完成选择后先保持配置不变。不要同时编辑规则、调整 DNS、替换多个节点，这样后续出现问题时才有明确的比较基准。若需要理解 DIRECT、策略组或规则匹配的含义，可以查阅术语表；需要自定义规则顺序、自动选择策略或规则集，则转到配置进阶，不必在首次连接前完成这些设置。

第三步：开启连接

先观察 Clash 客户端首页或状态区，确认内核可以启动。如果有单独的「启动」按钮，先启动内核；如果内核随应用自动运行，则直接进行下面的系统接管设置。窗口已经打开并不代表代理服务已经运行，日志出现配置错误或监听端口占用时，应先处理错误，再开启系统代理。

桌面端开启系统代理

在 Windows、macOS 或 Linux 的 Clash 客户端中，找到「系统代理」开关并开启。它通常会把系统代理地址指向本机的代理监听端口，让遵循系统代理设置的浏览器和应用把连接交给 Clash 客户端。无需照抄网上的固定端口数字，以当前客户端设置中的实际端口为准。桌面端首次操作后，可以返回首页确认系统代理开关仍然保持开启。

如果出现权限提示，先确认提示来自正在使用的 Clash 客户端，并按系统要求授权。Linux 桌面环境与应用的代理支持不完全一致，命令行工具也不一定读取桌面系统代理；本教程先用浏览器验证基础链路，不以终端程序是否联网作为第一项判断。macOS 出现辅助组件或系统设置确认时，应遵循当前客户端的安装说明，不必为了系统代理默认开启其他网络扩展。

移动端允许 VPN 配置

Android 与 iOS 上通常使用「连接」「启动」或电源形状按钮。首次点击时，系统可能请求添加 VPN 配置或允许建立 VPN 连接，阅读应用名称与提示后确认授权，再返回 Clash 客户端查看连接状态。这里的 VPN 是操作系统提供的流量接管接口，并不意味着正在使用某一种名为 VPN 的代理协议，实际出口仍由当前配置与策略组决定。

如果授权取消，返回 Clash 客户端重新点击连接即可。设备上已有其他 VPN 正在运行时，系统可能断开原连接，或要求先停止原应用。Android 的后台限制可能导致离开应用后连接停止；先在前台完成验证，确认成功后再按系统设置允许必要的后台运行。iOS 上则应等待系统授权流程结束，避免在确认弹窗尚未完成时反复点击连接。

首次连接暂不叠加 TUN

桌面端如果同时显示「系统代理」与「TUN 模式」，这次先使用系统代理完成浏览器验证。TUN 可以接管更多不遵循系统代理的应用连接，但涉及虚拟网卡、权限与路由，不是把基础连接修好的通用按钮。需要游戏、命令行或特定应用接管时，先完成第四步，再按配置进阶中的 TUN 说明单独开启并检查。

开启后保持 Clash 客户端运行；部分桌面端关闭窗口只会收起到托盘，部分则会退出应用，应确认实际行为。暂时不用代理时，先关闭系统代理或停止移动端连接，再退出 Clash 客户端。若内核停止而系统代理仍指向本机端口，浏览器可能无法访问网络；此时应检查系统代理残留，不要先修改整台设备的 DNS 或重置全部网络设置。

第四步：验证是否生效

保持当前配置、模式和出口不变，打开浏览器，新建标签页并访问一个平时可正常打开的网站，确认基础网络没有受到影响。接着访问一个按当前配置应当走代理的网站。优先选择自己熟悉且允许访问的目标，不使用来历不明的检测链接。对已打开的页面重新加载，必要时关闭旧标签再打开，避免只看到浏览器缓存而误判连接成功。

与此同时，进入 Clash 客户端的「连接」页面，寻找刚才访问的域名或目标地址。连接可能很快结束，找不到时可以再次刷新网页，或临时打开日志查看相关记录。重点看目标、命中规则、策略组以及最终出口：记录显示交给某个代理组且最终使用所选节点，才符合本次代理验证的预期；显示 DIRECT 则表示这条连接被直连处理。

结合访问结果与连接记录判断

网页打开说明目标可达，连接记录说明它经过了哪条路径。两者需要一起看。单看 VPN 图标、系统代理开关或内核运行状态，不能证明目标网站已经走代理；单看出口 IP 查询页面，也只能代表那一次查询请求的路径，不能证明所有应用和所有域名都使用同一出口。在规则模式下，直连与代理同时存在通常是正常现象。

若页面能够打开但记录命中直连，先检查目标是否本来就应当直连。如果确实希望对照代理路径，可以临时切换全局模式，选定全局策略组中的代理出口，重新访问同一目标并检查记录。对照完成后恢复规则模式。不要仅为一个页面把所有规则删除，也不要在没有判断依据时同时改动模式、DNS 与 TUN。

连接异常按顺序排查

如果完全没有出现连接记录，先检查系统代理或移动端连接是否保持开启，再确认浏览器有没有自定义代理设置、是否存在其他代理扩展。某些应用不遵循系统代理，会绕过这条接管路径，此时可先换浏览器验证，而不是立即判断订阅失效。若存在记录却持续连接失败，检查当前配置是否启用、策略组是否选中可用出口，再尝试只更换一个节点作对照。

订阅已经过期、服务不可用或节点本身无法连接时，开启 TUN 通常不会修复出口问题。若同一节点下只有特定域名异常，再根据日志区分规则命中、DNS 解析与远端连接错误。出现 HTTPS 证书报错时不要继续访问敏感页面，也不要把忽略证书警告当成常规解决方案；先检查系统时间，确认目标地址，再到疑难解答按症状排查。

完成验证后，记录当前使用的配置名称、代理模式与策略组选项，方便以后恢复。远程订阅需要更新时，在配置页点击该配置的「更新」或刷新入口，更新成功后再次确认它仍是当前配置。自动更新间隔遵循提供方与客户端的说明，不必设得过于频繁；手动修改远程配置中的内容可能在下次更新时被替换，需要长期保留的修改应使用客户端支持的覆写方式。

后续只需按需求扩展：遇到操作问题查阅疑难解答，遇到陌生字段查阅术语表；需要开机自启、规则集管理、DNS 与 Fake-IP、TUN 或外部控制面板时，再进入配置进阶。基础连接验证通过后，每次只新增一项功能，并重复本节的访问与记录检查，才能确认新增设置实际改变了什么。