Clash 常见问题
安装、配置与连接排查

客户端提供配置加载、代理转发和规则执行功能，本身不会生成可用的远端服务器。订阅通常由服务提供方给出，包含服务器地址、认证信息、代理组和分流规则。在配置或 Profiles 页面导入后，还需要选中该配置，再到代理页面选择可用出口。仅完成安装、仅保存订阅地址，或导入后没有启用对应配置，都不代表连接已经建立。订阅属于敏感信息，不要将完整地址发到公开评论或截图中。

内核负责读取配置、匹配规则与建立代理连接；图形客户端负责展示配置列表、系统代理开关、日志和安装设置。mihomo 是 Clash 生态中持续演进的内核，不代表所有带 Clash 名称的客户端都使用相同内核或支持相同字段。排查兼容性时，在关于或内核信息页面记录客户端名称、内核类型和报错字段。不同客户端的按钮位置可能不同，教程中的设置名称需要结合实际界面查找，不能只按截图位置操作。

规则模式按配置中的规则逐条匹配，为不同目标选择直连、代理组或拒绝策略，适合日常使用。全局模式让进入内核的流量使用全局策略组，仍需在该组中选中可用出口；它不会自动接管所有应用。直连模式让进入内核的连接直接访问目标，适合对照排查。切换模式后，旧的长连接可能继续沿用原路径，应重新打开页面或重启相关应用。需要改变接管范围时，应检查系统代理或 TUN，而不是只切换模式。

旧客户端可能仍能读取原有配置，但停止维护意味着后续系统适配、协议扩展和问题修复无法保证。迁移前先导出本地规则、覆写设置与订阅来源，再选择仍在维护且支持所需配置语法的客户端。不要直接把整个旧程序目录覆盖到新客户端目录。先导入原始订阅，确认能够加载和连接，再逐项迁移自定义 DNS、端口与规则。若出现未知字段或不支持的协议，应查看新客户端日志，并向配置提供方确认兼容格式。

先区分获取失败和解析失败。出现 401 或 403 时，检查订阅是否到期、地址是否被重置，以及服务提供方是否限制访问；出现超时则检查当前网络和客户端的订阅更新代理设置。提示 YAML 解析错误时，返回内容可能是登录页、错误页或不兼容配置，应重新复制完整订阅地址，避免带入空格。更新前保留可用配置，失败后不要反复删除重建。也不要把含有认证信息的地址提交到不熟悉的在线订阅转换服务。

先在客户端设置中确认服务模式、辅助程序或虚拟网卡组件是否安装成功，再按客户端提示授权。Windows 通常需要安装具有相应权限的服务，macOS 可能需要批准网络相关权限，Linux 的权限方案则取决于软件包和服务配置。不要长期用扩大整个程序权限的方法掩盖服务安装错误。首次测试时先关闭其他 VPN 或虚拟网卡工具，开启 TUN 后查看日志中的网卡与路由错误；若断网，先关闭 TUN 恢复网络，再检查具体报错。

先退出重复运行的客户端，再查找监听该端口的进程，确认用途后决定是否停止，避免直接结束不明系统服务。也可以在客户端端口设置中修改 mixed-port，应用后从日志确认新端口已经开始监听。随后重新开关系统代理，并同步修改浏览器手动代理、终端环境变量和应用内代理地址。external-controller 是控制接口，不是供浏览器使用的代理端口，不要混用。订阅覆写可能覆盖端口值，应确认修改位置能在更新后保留。

部分受应用容器限制的 Windows 应用不能直接连接本机回环代理。先确认普通浏览器能通过同一客户端联网，再在客户端提供的 UWP 回环工具中，仅为需要使用本机代理的应用启用豁免；操作可能要求管理员授权。没有内置工具时，可通过 Windows 的 CheckNetIsolation 工具按应用包身份管理，不要对所有应用盲目放开。如果客户端采用 TUN 接管，问题也可能来自路由或 DNS，应结合日志区分，不能把所有商店应用故障都归因于回环。

系统代理只影响读取该设置的应用。浏览器扩展、浏览器独立代理配置和终端环境变量都可能改变实际路径。先暂时停用代理扩展，检查系统设置中的代理地址是否指向客户端正在监听的端口，再单独测试浏览器。终端则检查 HTTP_PROXY、HTTPS_PROXY 和 ALL_PROXY，以及它们的小写形式，修改后重新打开终端。不要把控制接口端口填入代理设置。若应用不读取系统代理，可使用其内置代理选项，或在确认路由与权限后使用 TUN。

测速只反映客户端到指定测试地址的一次请求，不代表所有目标网站、协议和连接方式都可用。先检查当前规则命中了哪个代理组，以及该组实际选择的出口，再查看失败请求对应的日志。测试地址可访问而目标站点失败，可能与目标限制、DNS、服务器出口或协议兼容性有关。不要只按延迟排序反复切换。用同一目标、同一模式逐次比较出口，并在切换后关闭旧连接，才能判断变化是否来自所选节点。

优先使用客户端提供的覆写、合并配置或规则扩展入口，不要直接修改下次更新会替换的订阅缓存文件。先记录需要匹配的域名和期望策略，再将规则放在可能提前命中的宽泛规则之前；MATCH 通常作为末尾兜底规则。策略名称必须与配置中的代理组名称完全一致。应用后在连接详情或日志中检查实际命中项，再更新一次订阅确认规则仍然存在。GEOSITE 等规则还依赖相应数据文件及内核支持，不能只复制语句而忽略运行条件。

在客户端设置页开启开机自启后，再到系统启动项或登录项中确认它被允许运行。开机自启、自动启用系统代理和自动启动 TUN 往往是独立设置，不要把其中一个开关当成全部配置。重启后检查进程、已启用的配置及端口监听，再打开网页测试。如果关机前没有正常退出，系统可能保留指向本机的代理设置；此时客户端未运行就会导致联网失败。可先关闭系统代理恢复访问，再检查自启动权限与服务状态。

先关闭代理，确认本地网络能够访问平时可直连的站点，再核对系统时间、订阅状态和当前配置是否加载。恢复代理后，只选择一个出口测试同一目标，并查看日志是连接服务器超时、认证失败还是目标连接失败。换用另一网络可帮助判断当前网络是否限制了连接，但需要保持其余设置不变。若多个出口在不同网络下都失败，联系服务提供方核实状态。增加超时时间只能延长等待，不能修复失效地址、错误认证或远端不可达。

先区分域名解析失败和解析路径不符合预期。查看当前生效配置的 dns 设置，以及客户端覆写是否改变了 nameserver、fallback 或增强模式；这些字段的行为还取决于内核支持。浏览器安全 DNS、系统加密 DNS 和其他 VPN 可能采用独立解析路径，应逐项记录并对照测试。使用 TUN 时，还需确认 DNS 劫持和路由确实生效。测试网站展示的解析器位置只能提供线索，不能单独证明全部应用的解析路径，修改后应结合日志与实际请求复查。

不要用关闭证书验证或安装来源不明的根证书来绕过错误。先确认系统日期、时间与时区正确，再比较关闭代理、切换出口以及更换网络后的结果。如果仅一个出口触发证书异常，应停止使用该出口并向服务提供方反馈。企业网络、公共网络登录页、安全软件的 HTTPS 检查也可能影响证书链，需要按所在网络的管理要求处理。反馈时记录错误代码和目标域名即可，避免发送含账号、订阅地址或完整请求参数的截图与日志。

先到系统网络设置关闭残留的手动代理，确认基础网络恢复；若此前启用 TUN，还应在客户端恢复运行后正常关闭该功能，必要时重启系统清理临时路由。重新安装前，备份配置目录、覆写规则和故障时段日志，分享前删除订阅地址与认证信息。随后使用最小配置启动，逐项恢复功能，观察是否由某个配置或权限操作触发崩溃。移动端还应检查 VPN 授权、电池后台限制及其他 VPN 占用，不要直接清除应用数据丢失排查线索。