Clash 常见问题

Clash 通常指代理内核及其配置生态；mihomo 是兼容 Clash 配置并持续扩展功能的内核项目；图形客户端负责配置导入、策略选择、系统代理和内核进程管理。相似的界面不代表内核能力相同，排查协议或字段不兼容时，应先在客户端的关于页或启动日志中确认内核名称，再查对应文档。本文的进阶配置以 mihomo 为参考，旧内核不一定支持全部字段。

客户端提供代理连接与分流能力，安装程序本身不等于可用的代理服务。订阅或本地 YAML 配置通常包含代理服务器、策略组和规则；实际能否连接，还取决于服务是否有效及当前网络是否可达。导入后先确认配置已被选为当前配置，再查看策略组是否包含可选代理。不要把订阅链接发到公开讨论区，其中的访问标识可能允许他人读取服务配置。

日常分流优先使用 Rule，连接按 rules 自上而下匹配，首个命中的规则决定去向。Global 将进入内核的连接交给 GLOBAL 策略组，仍需在该组中选择实际代理；Direct 则让进入内核的连接直连。模式开关不会自动接管所有应用流量，系统代理或 TUN 决定流量能否进入内核。因此，切到 Global 后仍无法访问时，应继续检查流量接管和代理连接，而不是只反复切换模式。

系统代理把操作系统的代理设置指向客户端监听端口，通常适合遵循该设置的浏览器及应用；自行建立直连、使用独立代理设置的程序可能绕过它。TUN 创建虚拟网络接口，通过路由接管更多 IP 流量，还需配合 DNS、路由和权限设置。初次使用可先用系统代理验证配置，确实需要接管其他应用时再开启 TUN。排查时逐个启用，避免同时改动多个网络入口。

不一定。延迟测试通常只验证指定测试地址经代理完成请求的耗时，不能证明全部网站、UDP 或目标服务可用。测试地址、超时设置、连接复用及当前网络都会影响结果。应先确认测试使用的策略与实际访问一致，再打开目标网站，同时在连接面板查看命中的规则和出站策略。如果只有某个服务失败，还应检查出口地区限制、服务端拒绝及该域名是否被错误分流。

在客户端的配置或订阅管理页添加远程配置，粘贴完整链接后执行下载或导入；不同客户端的菜单名称可能不同。下载成功后还要将该配置设为当前配置，并确认内核重载成功。随后检查策略组中的代理名称、规则内容与更新日志。若界面仍是旧内容，先确认更新的是当前使用的配置，且没有被本地覆写替换；不要仅凭订阅列表中的更新时间判断全部配置已生效。

先核对链接是否完整、是否已被服务方重置，再检查账户有效期和流量状态。日志出现 HTTP 401 或 403 时优先检查授权或访问限制；404 可能是链接路径变化；超时则先检查当前网络能否访问订阅地址。如果地址只能经代理访问，可在客户端支持的情况下调整配置更新的代理方式。不要反复提交到陌生订阅转换站；确认链接泄露后，应在服务方后台重置订阅标识。

先确认下载到的是 YAML 配置，而不是登录页、错误页或单纯的代理链接列表。若日志给出行号，检查该行及上一行的缩进、冒号和引号；YAML 缩进使用空格，不使用制表符。解析通过后仍可能出现语义错误，例如规则引用了不存在的策略组，或旧内核不支持某个代理类型。修复前保留原文件，每次只改一处，并使用客户端的配置检查或内核测试功能重新验证。

先查看日志，区分权限不足、服务未运行与虚拟接口创建失败。优先使用客户端提供的服务模式安装或启动入口，并按系统提示授权；客户端没有服务模式时，可在确认程序来源后以管理员权限运行进行验证。安装服务后可能需要重启客户端，再开启 TUN。仍失败时检查安全软件拦截记录和其他 VPN 的虚拟接口，不要通过关闭整个防火墙来代替定位，也不要连续重复安装驱动。

mixed-port 是同时接受 HTTP 与 SOCKS 代理连接的监听端口，7890 只是常见配置示例，并非必须使用的固定值。出现 address already in use 时，先退出其他代理实例，或用系统工具检查端口占用，再在客户端端口设置或本地配置中选择未占用的端口。重载后确认监听成功，并同步更新浏览器、终端及其他应用的手动代理地址。远程订阅可能覆盖修改，长期设置宜使用客户端的持久化覆写功能。

在 Rule 模式下，把对应域名的直连规则放到通用代理规则和 MATCH 之前。例如 DOMAIN-SUFFIX,example.com,DIRECT 会匹配 example.com 及其子域名；DOMAIN,example.com,DIRECT 仅匹配该域名。重载配置后关闭旧连接，再重新访问，并在连接面板查看匹配规则。规则按首次命中生效，追加到 MATCH 后面通常不起作用；使用远程订阅时，应通过本地覆写保留自定义规则。

select 用于手动选择成员，适合固定使用某条线路；url-test 根据测试结果自动选择较合适的成员，其判断依赖测试地址和容差等配置；fallback 按成员顺序选择可用项，适合主用线路故障后切换备用线路。自动组并不理解每个网站的访问限制，测试成功也不等于目标服务可用。选型时先确定需要固定出口、按测试选择还是按顺序容灾，再设置测试间隔，避免把频繁切换当作稳定性的保证。

Fake-IP 让内核向应用返回虚拟地址，再依据保存的域名映射处理连接；它不是远端代理服务器的真实地址。mihomo 中通常通过 dns.enable 和 dns.enhanced-mode 配置，TUN 场景还要确认 DNS 请求确实被接管。局域网设备发现、部分游戏或依赖真实解析结果的应用可能需要调整 fake-ip-filter。先为确认不兼容的域名添加例外，再清理应用或系统 DNS 缓存，不宜把所有域名都排除以掩盖问题。

先让手机与电脑处于可互通的局域网，在电脑配置中启用 allow-lan，并确认 bind-address 允许监听局域网接口。手机的 Wi-Fi 手动 HTTP 代理服务器填写电脑的局域网 IP，端口填写实际 mixed-port；不要填写 127.0.0.1。随后仅为可信私有网络放行对应入站端口，并限制可接入网段。手动 HTTP 代理不等于接管手机全部流量；公共网络上不应开放监听，必要时配置代理认证。

远程配置更新通常会重新下载配置正文，直接编辑该文件的规则可能被替换。应使用客户端提供的覆写、合并或脚本处理入口，并确认其执行顺序和适用范围。策略选择能否保留，还取决于客户端以及 profile.store-selected 等设置；策略组或代理名称发生变化时，旧选择也可能失去对应项。更新前保留本地覆写，更新后检查实际生成配置，尤其确认自定义规则仍位于通用规则之前。

先核对系统代理地址是否指向正在运行的客户端监听端口，再检查浏览器代理扩展、独立代理设置和系统自动配置脚本是否覆盖了设置。用新连接访问网站，同时观察客户端连接面板：完全没有记录时，优先排查流量入口；有记录但走 DIRECT 时，检查模式和规则。终端程序不一定读取系统代理，需按程序文档单独设置。企业策略也可能强制指定代理，应先确认设备管理限制，而不是反复切换开关。

先关闭代理确认本地网络可正常访问，再核对系统时间、订阅有效期和当前配置。查看日志中的错误类型：域名解析失败先查 DNS，连接超时检查服务器可达性，认证或 TLS 错误检查凭据、时间及协议参数。随后尝试另一条已知可用线路或切换网络，观察故障是否随线路或网络变化。不要把测试页超时直接等同于全部代理失效；若真实访问也失败，再联系服务方并提供已脱敏的错误日志。

先检查系统是否仍保留指向本地端口的手动代理；客户端已退出时，该地址没有程序监听，会造成浏览器连接失败。关闭残留的手动代理，再重新测试。若之前使用 TUN，可重新打开客户端、关闭 TUN 后正常退出，并检查系统 DNS 是否仍指向已停止的本地服务。不要一开始就重置所有网络设置。公司或校园设备可能有原本需要的代理和 DNS，应先记录现状，再恢复到管理员要求的配置。

部分 UWP 应用受网络隔离限制，不能直接访问本机回环代理。先确认失败应用确实使用系统代理，再以管理员身份运行 CheckNetIsolation LoopbackExempt -s 查看豁免列表；需要时用 CheckNetIsolation LoopbackExempt -a -n=Microsoft.WindowsStore_8wekyb3d8bbwe 为 Microsoft Store 添加豁免。其他应用须使用其实际包族名称，不要照抄商店名称。仅对需要的应用授权；若采用 TUN，应另行检查路由、DNS 和规则命中。

先关闭 TUN，用系统代理测试同一网站，确认代理服务本身可用。再单独开启 TUN，观察日志中的 DNS 请求、出站连接及路由错误，并检查是否同时运行其他 VPN。使用 Fake-IP 时，确认系统查询进入内核，且应用没有沿用旧缓存；局域网域名还需检查直连解析策略。浏览器安全 DNS 可能使用独立解析路径，应临时对照测试。逐项调整并保留原配置，不要同时更换 DNS、网络栈和全部规则，否则难以定位原因。