Clash 全平台
安装与配置指南

准备工作

通用准备：客户端、架构与配置来源

区分客户端、内核与订阅

Clash 生态包含图形客户端、负责网络处理的内核，以及描述代理和规则的配置文件。客户端提供导入、切换、日志和权限管理；内核执行连接、域名解析与规则匹配。安装成功只说明程序可以启动，不代表已经具备可用的代理出口。订阅通常由服务提供方生成，客户端下载入口并不同时提供订阅。开始前应确认配置来源、有效期、支持的格式，以及是否允许在多个设备上使用。

需要图形界面时，Windows、macOS、Android 和 iOS 优先从 Clash Plus 开始选择；Linux 可选 Clash Verge Rev 或 FlClash。具体安装包统一到下载中心按平台查看。产品名称接近不代表配置能力完全一致，尤其是较新的协议、规则字段和脚本功能。切换客户端时应先保留原配置，再确认目标内核支持哪些字段，而不是仅凭文件扩展名判断兼容性。

确认系统与处理器架构

桌面系统先查看系统版本和处理器类型。Windows 在“设置 → 系统 → 系统信息”查看系统类型；macOS 在苹果菜单的“关于本机”查看芯片；Linux 可用下方命令读取架构。Android 的安装包还可能区分 ARM64、ARM 和通用包，不能把应用安装失败直接解释为文件损坏。架构匹配后仍需检查客户端列出的最低系统要求，旧系统缺少运行组件时，换同架构安装包也不会解决。

uname -m
# x86_64：通常对应 AMD64 / x64
# aarch64：通常对应 ARM64

同时记录当前网络环境：是否连接校园或企业网络、是否需要先在网页认证、是否已有其他代理或 VPN。网络认证尚未完成时，应先关闭流量接管并完成认证。多个客户端同时开启系统代理或虚拟网卡，可能互相覆盖入口和路由。首次配置只保留一个客户端运行，后续每次调整一个变量，才能知道是哪一步改变了结果。

建立可回退的配置副本

导入链接前，先确认链接来自可信来源，并把它视为敏感信息。链接可能包含账号标识或访问凭据，不应出现在公开截图、日志分享和在线转换页面中。文件导入则保留原始 YAML 副本；若客户端支持导出设置，也保存一份客户端设置备份。订阅内容与客户端本地设置往往分开存储，迁移时只复制 YAML 不一定能带走开机启动、服务模式或界面偏好。

建议给配置起便于识别的本地名称，记录导入方式、最近一次成功更新的时间及所用内核。随后确认混合端口、出站模式和流量接管方式。先让一个遵循系统代理的浏览器完成访问，再考虑 TUN、局域网共享或复杂 DNS。基础链路尚未跑通时同时启用所有选项，会把配置错误、权限错误和网络错误混在一起，增加判断成本。

安装前还应确认系统时间正确、磁盘有可用空间，并知道日志入口在哪里。证书相关报错可能由时间偏差引起，端口启动失败则通常需要查看监听冲突。首次安装的授权与常见错误可对照跨平台初始设置清单；重复安装之前，优先记录错误原文和出现阶段。

Windows

Windows：安装、系统代理与服务权限

选择安装包并完成首次启动

前往Windows 下载区，优先选择 Clash Plus。需要比较界面和配置管理方式时，可再查看 Clash Verge Rev、FlClash 或 Clash Nyanpasu。Clash for Windows 属于已停止维护的归档客户端，不建议把它作为新设备的默认起点。下载前先核对系统类型和安装包要求，不要认为所有 Windows 设备都使用同一种处理器。

安装时按向导选择路径，首次启动后先检查程序是否能进入主界面、内核是否正常运行。若安全软件拦截，应查看具体文件、来源和拦截原因，依据组织或设备安全策略处理，不要直接关闭全部防护。便携形式与安装形式的数据位置可能不同；迁移前使用客户端的“打开配置目录”或相近入口定位，避免根据其他产品的路径删除文件。

导入订阅并确认当前配置

在“配置”“订阅”或对应页面新增远程配置，填写本地名称与订阅地址，保存后执行更新。更新完成后还要选中并应用该配置；列表中出现一条记录，不等于它已经被内核加载。查看代理或策略组页面，确认其中有预期内容。若只有直连选项，应回到订阅响应与解析日志检查，而不是反复切换系统代理开关。

本地文件可通过导入入口选择 YAML。加载失败时先看错误行附近的缩进、字段和策略名称，再确认内核能力。远程配置如需本地覆写，使用客户端提供的覆写或合并机制；直接编辑缓存文件可能在下次更新时被覆盖。测试前记录当前混合端口，常见示例是 7890，但实际连接必须以客户端正在监听的值为准。

先验证系统代理，再启用 TUN

开启客户端的“系统代理”，然后在 Windows“设置 → 网络和 Internet → 代理”核对地址与端口。通常本机地址为 127.0.0.1，端口应与客户端一致。浏览器如装有代理扩展，应明确由哪一层控制请求，避免扩展设置覆盖系统设置。规则模式下访问一个目标后，到连接记录中查看命中规则及出站策略，不能只看开关是否开启。

命令行工具未必读取系统代理。可在一个 PowerShell 会话中临时设置下方变量，再测试目标工具。只有支持这些环境变量的程序才会使用它们，工具自身的代理参数也可能优先。关闭窗口会结束本次会话设置；如果另行设置了用户级或系统级变量，必须在对应位置清除，不能用临时会话的结果推断全机设置已经恢复。

$env:HTTP_PROXY = "http://127.0.0.1:7890"
$env:HTTPS_PROXY = "http://127.0.0.1:7890"

# 测试结束后清除此会话中的设置
Remove-Item Env:HTTP_PROXY -ErrorAction SilentlyContinue
Remove-Item Env:HTTPS_PROXY -ErrorAction SilentlyContinue

TUN 面向不遵循系统代理的程序，需要客户端具备相应权限。若产品提供“服务模式”或“安装服务”，先按提示完成，再开启 TUN 并观察日志。服务安装、内核启动和虚拟网卡建立是不同阶段；服务显示正常而 TUN 失败时，应继续检查驱动、权限和路由，而不是重复导入订阅。企业设备可能限制虚拟网卡，需遵循设备管理政策。

睡眠恢复、端口冲突与退出清理

电脑睡眠恢复或切换无线网络后，如果连接异常，先暂停接管，确认基础网络可用，再重新启用。端口冲突可用 Get-NetTCPConnection -LocalPort 7890 查看监听记录，再结合进程信息判断归属。不要直接结束不认识的进程；可以先关闭旧客户端，或修改新客户端端口并同步修改所有引用位置。

开机启动与自动连接是两个选项，启用前应先完成手动验证。若浏览器可用而终端不可用，按浏览器与终端分开排查处理；若只有某个应用失败，重点检查它是否使用独立代理、特殊传输协议或自身的网络限制。

macOS

macOS：芯片架构、辅助服务与网络设置

按芯片选择客户端

在“关于本机”确认 Apple 芯片或 Intel 处理器，再到macOS 下载区选择对应安装包。优先选择 Clash Plus，也可使用 Clash Verge Rev 或 FlClash。ClashX Meta 属于已停止维护的归档选项，迁移旧配置时应特别注意字段与新内核的差异。兼容转译不能代替对系统要求的检查，原生架构包通常更便于维护。

如果提供磁盘映像，打开后将应用移入“应用程序”，再从该位置启动，不要长期直接在映像内运行。系统提示无法打开时，先确认下载来源和提示内容，按“隐私与安全性”中的系统流程处理。不要把移除所有安全限制当作通用安装步骤。已由组织管理的 Mac 还可能限制后台项目、网络扩展或管理员授权，应先确认设备策略。

导入配置并保留客户端设置

打开配置管理页，用链接新增远程订阅，更新后将其设为当前配置。查看日志确认加载成功，再进入策略组选择出站。导入文件只会提供文件内的设置，不一定包含菜单栏行为、系统代理控制和辅助服务状态。迁移旧客户端时，先导出原文件和本地覆写，再逐项设置新客户端，避免同时恢复多个产品的后台服务。

远程订阅更新后若自定义规则消失，应检查规则是写在订阅缓存里，还是通过独立覆写保存。二者的更新生命周期不同。编辑前可从客户端入口打开当前配置目录，确认实际生效文件；不要默认“下载”目录中的原始文件会持续与客户端同步。配置可以解析但没有期望策略组时，继续检查订阅类型和所选配置，而非重新安装应用。

核对当前网络服务的代理

启用系统代理后，到“系统设置 → 网络”，选择正在使用的 Wi-Fi 或以太网服务，在“详细信息 → 代理”中检查代理地址。不同网络服务有独立设置，从 Wi-Fi 切到有线连接后应重新核对。客户端可能同时写入网页代理、安全网页代理和 SOCKS 代理，实际项目取决于产品实现，关键是地址和端口指向当前运行的客户端。

终端可用下方命令查看系统代理状态，但这只是在读取设置，不代表每个命令行程序都会自动使用它。若需要诊断某次 HTTP 请求，可显式指定本机代理。示例访问保留的示例域名，仅用于验证请求路径；请求成功不能证明所有站点和协议都已正常。检查连接记录，确认请求确实进入内核。

scutil --proxy
curl --proxy http://127.0.0.1:7890 --head https://example.com

“网页能打开、命令行失败”通常要回到工具自身的代理配置、环境变量和域名解析行为。若工具支持 SOCKS 且需要通过代理解析域名，可按其文档选择相应模式，不能把 HTTP 代理地址直接填进所有协议选项。对证书错误也应单独判断，先核对系统时间、证书链与网络拦截，不要把跳过证书验证当作长期配置。

TUN 授权与恢复网络

启用 TUN 前，按客户端提示安装或授权辅助服务。辅助服务用于执行需要额外权限的系统操作，不等于 GUI 已经自动获得所有网络能力。若提示安装成功但开关立即回退，查看服务日志、内核日志和系统授权状态。切换客户端前应先停止旧客户端的 TUN，避免遗留路由与新的接管机制叠加。

睡眠唤醒、网络服务切换和其他 VPN 启停都可能改变路由。排查时先关闭 TUN 和系统代理，确认直连正常，再只恢复一种接管方式。若直连正常但开启后所有域名失败，先看 DNS 与路由；若仅某个目标失败，则看规则和出站。不要一开始就重置整个系统网络，以免丢失工作网络所需的静态地址和认证设置。

最后再设置登录时启动，并确认后台项目允许运行。更新系统后若授权发生变化，重新检查权限入口，而不是反复导入同一份订阅。平台设置正常而仍有解析报错时，可转到配置与排错章节，按文件、内核和规则三层继续定位。

Android

Android：安装包、VPN 授权与后台运行

选择架构并处理安装限制

从Android 下载区选择客户端，首推 Clash Plus；其他选项包括 Clash Meta for Android、FlClash 和 Surfboard。不同产品支持的订阅格式与规则能力并不完全相同，尤其不能把某个客户端的完整 YAML 不经检查就导入另一产品。先查看格式支持，再选择与设备架构匹配的包；不确定时可查看产品是否提供通用包。

安装外部应用时，系统可能要求为当前浏览器或文件管理器授予安装权限。应只对本次使用的来源授权，安装完成后可按系统设置收回。若提示解析失败，依次检查系统要求、架构、文件是否完整下载及存储空间。若提示签名冲突，通常与已有应用的签名或分发来源不同有关；卸载之前先导出配置和本地设置。

订阅导入与当前配置切换

进入“配置”或“订阅”页面新增链接，也可通过文件选择器导入本地 YAML。Android 文件选择器可能只授予客户端读取所选文件的权限，因此导入后的配置未必继续跟随源文件变化。保存后手动更新一次，检查内容和策略组，再将它设为当前配置。客户端显示“导入成功”只说明导入操作完成，仍应查看内核能否加载。

远程链接返回网页、登录页面或不受支持的格式时，可能出现空配置和解析错误。此时先核对订阅是否过期、是否选用了适配该客户端的入口，以及系统时间是否正确。不要在聊天群公开完整链接求助。若客户端允许分享日志，应先删去订阅地址、账号标识和节点凭据，只保留错误类型、相关字段与必要上下文。

理解 VPN 接口与按应用分流

启动连接时，Android 会弹出 VPN 连接请求。确认客户端身份后授权，再查看系统状态栏和应用内状态。这里的 VPN 接口是系统提供的流量接管入口，并不表示所有连接都必须走远程代理；最终仍由规则、策略组和按应用设置决定。普通使用通常不需要修改 Wi-Fi 的手动代理，避免将移动网络和无线网络配置混成两套入口。

同一用户环境下，普通 VPN 应用通常不能同时占用这一接口。若已有企业 VPN、防火墙或本地过滤工具，应明确保留哪一个接管者。开启“始终开启的 VPN”或“阻止未使用 VPN 的连接”前，先测试客户端启动和重连行为；后者可能在客户端停止时阻断联网，容易被误认为无线网络失效。

按应用分流常见两种逻辑：只接管选中应用，或接管除选中项以外的应用。保存前先确认列表含义，不要只凭勾选状态推断。测试时用一个明确纳入接管的应用产生请求，查看日志和命中规则。工作资料、分身应用及不同用户空间可能有独立限制，主空间里的选择不一定能控制另一个空间。

后台限制、网络切换与耗电判断

如果锁屏后断开，先检查系统的电池优化、后台活动和自动启动设置。不同厂商菜单名称不同，应以应用详情页的实际选项为准。前台服务通知通常用于维持运行和显示连接状态，不应仅因通知常驻就判断客户端异常。设置完成后分别测试亮屏、锁屏、无线网络切换到移动网络三种情形，并记录首次失败发生在哪一步。

若只有移动网络失败，检查系统是否限制该应用使用移动数据、是否开启节流模式，以及订阅出口是否能在当前网络建立连接。若连接能建立但部分应用不能使用，再检查按应用分流和 DNS。局域网设备访问问题则看私有地址是否按预期直连。不要通过把全部流量强行送进一个出站来掩盖分流错误，这会改变本地服务的访问路径。

需要共享网络时还要注意，手机自身的 VPN 接管不一定覆盖热点下游设备，具体取决于系统和实现。若只是让电脑通过手机联网，不应默认电脑已经继承代理。先在电脑端独立验证请求路径。应用内的规则模式、全局模式和直连模式含义可继续参阅Clash 新手十问。

iOS

iOS：商店获取、配置导入与网络扩展

通过 App Store 获取 Clash Plus

iPhone 和 iPad 优先使用 Clash Plus。可在iOS 下载区查看入口，或直接打开Clash Plus 的 App Store 页面；产品官网为 clashplus.io。获取前查看商店列出的系统兼容要求与设备支持情况。安装完成后先打开应用确认界面可用，再准备导入配置，不要把应用下载与订阅获取当作同一步骤。

iOS 上的配置兼容需要分层判断：支持某种规则语法，并不意味着支持另一客户端的所有界面设置、脚本和扩展字段。服务提供方若给出多个订阅入口，应选择明确适配当前客户端的格式。旧设备迁移时先记录策略组选择和自定义规则；系统备份是否恢复了应用数据，也要在新设备上实际检查，不能只看应用图标已经出现。

链接、文件与扫码的导入边界

链接导入通常在配置管理页新增远程配置，粘贴地址、命名并保存，随后执行更新并选中应用。部分入口允许从剪贴板读取，系统若询问粘贴权限，应根据当前操作判断是否允许。粘贴完成后检查链接是否带入空格、换行或聊天软件附加字符。更新成功后确认代理或策略组内容，而不是停留在订阅列表页面。

文件导入可从系统“文件”应用选择保存的配置。云盘文件如尚未下载到本机，应先确认能够打开，再交给客户端读取。文件导入通常是一次性复制，后续修改原文件不一定自动更新应用内配置。需要持续更新的订阅，应优先保留远程链接的管理关系；如果选择本地维护，就要明确每次修改后如何重新导入和应用。

扫码适用于客户端支持的二维码内容。二维码可能编码的是订阅链接、单条代理或产品专用导入地址，不能因为扫描成功就认定得到完整规则配置。扫描后先查看识别结果和导入类型，避免导入不明来源内容。相机权限只影响扫描入口；不使用扫码时，可直接通过链接或文件完成配置，不必为此调整其他系统权限。

授予 VPN 权限并验证实际接管

首次连接时，系统会要求允许添加 VPN 配置，并可能使用设备解锁方式确认。完成后回到客户端启动连接，在系统设置中检查 VPN 状态。这个入口由网络扩展承载流量接管，不等同于桌面系统的 HTTP 代理开关。配置加载、系统隧道启动、远端出站可用是三个独立环节，任何一个失败都可能表现为网页无法打开。

先在规则模式下选择可用策略，再访问一个目标并查看客户端日志。若直连目标可用而需要代理的目标失败，重点检查策略组选择和远端连接；若所有域名都失败，则检查 DNS、网络扩展状态和基础网络。显示连接中不代表每条规则都正确，也不能用状态栏标识替代实际请求验证。应用内日志若受平台限制较少，应同时记录错误发生的时间和网络类型。

按需连接、后台行为与网络冲突

若客户端提供按需连接，可在手动连接稳定后再启用。按需连接的触发条件和无线网络例外应逐项检查，避免在需要网页认证的网络中提前接管请求。进入酒店、校园或公共无线网络时，先确认认证页面能够完成。必要时暂时断开客户端完成认证，再恢复连接；不要把认证网关的问题误判成订阅失效。

iOS 的前台应用与网络扩展有不同的运行生命周期。退出前台界面不必然停止网络扩展，反过来，界面仍在最近使用列表也不保证隧道运行正常。判断后台问题应看系统 VPN 状态和实际请求，不依靠反复把应用切到前台。开启其他 VPN 或网络过滤产品前，先确认它们是否会替换现有配置，排错阶段只保留一个接管入口。

无线网络正常而蜂窝网络失败时，检查应用的蜂窝数据权限及当前网络限制；只有某个应用异常时，再看它的独立网络功能与规则命中。详细导入路径可参阅iPhone 获取客户端与导入配置。更换设备或停用客户端前，先关闭自动连接相关选项，并在系统设置核对不再需要的 VPN 配置。

Linux

Linux：发行版安装、桌面代理与内核运行

图形客户端与安装包格式

Linux 桌面优先查看Clash Verge Rev 与 FlClash，根据发行版选择可用包格式。Debian、Ubuntu 系通常使用 deb，Fedora 等系统通常使用 rpm，但是否可安装还取决于架构、系统库和桌面环境。不能仅凭文件扩展名判断兼容。安装前查看发行版信息及 uname -m 的输出，确认包要求与当前系统匹配。

使用系统包管理器安装通常比单独解包更容易处理依赖。下方命令会进入包所在目录，并让 APT 安装用户选择的本地 deb 文件；运行前应确认目录中选中的文件确实来自可信来源。遇到依赖错误时先阅读包管理器输出，区分软件源问题、库版本不足和架构不符，不要通过强制忽略依赖让程序进入难以维护的状态。

cd ~/Downloads
read -r -p "输入当前目录中的 deb 文件名：" package_file
if [ -f "$package_file" ]; then
  sudo apt install "./$package_file"
else
  printf '未找到指定文件\n'
fi

导入订阅与桌面代理

安装完成后从桌面启动客户端，先导入远程订阅或本地配置，选中并应用，再查看内核日志。桌面图形环境可能通过会话总线管理系统代理，GNOME、KDE 和精简窗口管理器的行为并不相同。客户端的系统代理开关如果不能生效，应到桌面网络设置中核对实际值；不能因为一个开关处于开启状态，就推断所有程序都已读取它。

浏览器可能遵循桌面代理，终端、容器和服务进程则常常不读取。诊断单次请求时，可以显式使用 curl --proxy http://127.0.0.1:7890 --head https://example.com。如果显式代理成功而直接运行失败，优先检查目标程序的代理入口。还要注意容器中的 127.0.0.1 指向容器自身，不是宿主机，不能直接套用桌面地址。

TUN 权限与多套网络管理

TUN 通常需要访问 /dev/net/tun 并修改路由，图形客户端可能通过辅助服务完成授权。先使用产品提供的权限管理方式，不要默认整个图形程序都必须以管理员身份运行。可以用下方命令检查设备与路由是否存在，但输出只用于观察；不要在不了解作用时删除路由、清空防火墙或停用系统解析服务。

ls -l /dev/net/tun
ip route
resolvectl status
ss -lntp 'sport = :7890'

resolvectl 仅适用于使用相应解析服务的系统，命令不存在并不代表 DNS 已损坏。NetworkManager、systemd-resolved、其他 VPN 和客户端自身的 DNS 模块可能共同影响解析。遇到 TUN 开启后域名失败时，先观察请求是否到达内核、解析请求交给谁，再决定调整哪一层。把所有解析服务同时关闭，会丢失定位依据。

服务器与路由器上的 Mihomo

没有桌面环境的服务器或路由器，可在下载中心查看 Mihomo 内核，但这与安装 GUI 客户端是两条路径。需要自行管理进程、配置目录、日志和权限。确认架构之外，还要核对运行环境要求；尤其是路由器的架构名称和浮点能力，不能仅凭设备宣传中的处理器系列选择文件。普通桌面用户无需为使用规则分流而先学习服务部署。

配置验证可以使用 mihomo -t -f config.yaml，前提是可执行文件已加入命令搜索路径，且当前文件名确实为该配置。验证通过后再以前台方式运行并观察日志，确认监听端口与出站正常，最后才交给服务管理器托管。配置引用外部规则集时，还要检查工作目录、文件权限和下载路径，服务环境与交互终端可能不同。

自启动故障应区分桌面登录启动和系统服务启动。前者依赖用户会话，后者可能在网络尚未就绪时执行。若手动运行正常而服务失败，查看实际执行用户、工作目录和日志，而不是改动已验证的订阅。停止使用时同步撤销环境变量、桌面代理和服务启动项，避免后台进程与新客户端争用端口。

配置与排错

配置常见问题：字段、规则、DNS 与连接验证

先分清配置来源与最终生效内容

客户端显示的订阅原文不一定就是内核最终读取的文件。远程配置、本地覆写、界面设置和自动生成字段可能经过合并后才生效。遇到“文件写了但行为不变”，先找客户端提供的运行配置或内核日志，确认当前配置名称、加载结果与最终字段。切勿同时修改原订阅、缓存文件和界面开关，否则很难判断哪个值覆盖了另一个值。

YAML 对缩进和类型敏感。使用空格而不是制表符，同一层字段保持相同缩进；列表项属于哪个字段，要从父级结构判断。报错行有时只是解析器停止的位置，真正问题可能在上一行的引号、冒号或缩进。可先回退到上一次可用文件，再逐段恢复改动。更多响应与格式问题见订阅更新失败与配置解析报错。

规则顺序与出站模式

规则通常自上而下匹配，命中后使用对应策略。具体域名规则一般放在宽泛规则之前，最终兜底规则放在末尾。规则引用的策略组必须存在，名称也必须对应。下面是仅用于说明结构的直连诊断配置：它不包含远端代理，加载后所有匹配请求仍是直连。正式使用时保留服务提供方的代理与策略组，并按内核文档合并规则。

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info
rules:
  - DOMAIN-SUFFIX,example.com,DIRECT
  - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
  - MATCH,DIRECT

全局模式适合短时对比，不能代替正确规则。若规则模式失败而全局模式成功，检查命中记录、策略组与规则集，不要立即认定客户端不稳定。直连模式也不等于关闭系统代理：应用仍可能先连接本机入口，再由内核直连。验证原始网络时，应明确关闭接管，而不是只把出站模式改成直连。

DNS 与 TUN 的检查边界

DNS 负责把域名转换为地址，代理负责后续连接，两者可以在不同位置执行。启用 TUN 后，路由和解析路径可能变化；配置中的 DNS 开关、系统解析服务与客户端覆写必须一起核对。不要随意复制另一台设备的 fake-ip 地址范围、排除列表和上游服务器。它们需要与现有网络、内核能力及实际需求一致，错误组合会造成部分域名异常。

检查顺序是先确认基础网络，再确认内核监听，然后确认请求进入、域名解析、规则命中和远端出站。域名失败而已知地址可连接，提示应检查解析链，但不能据此忽略证书和服务端基于域名的路由。浏览器的加密 DNS 也可能绕过预期路径，诊断时记录其状态，并通过一次只改变一项设置来比较结果。

延迟、测速与无法上网的判断

节点延迟测试只反映某个测试目标、协议和时刻的结果。测试超时不必然代表所有业务都无法连接，数值较低也不保证大文件吞吐更高。先检查测试地址与测试方式，再用实际目标请求验证。策略组包含自动选择功能时，还要确认当前生效出口，而不是把列表中某一条测试结果当作实际连接路径。

测速会受到本地带宽、无线信号、远端限速、并发任务和测试站点影响。对比时尽量固定网络、时间段和目标，暂停其他大流量任务，并记录所用出口。不要在一次测试中同时切换客户端、DNS 和规则模式。若速度下降仅发生在某个应用，优先查看该应用的连接记录和协议，而不是反复刷新全部节点。

Clash 无法上网时，先关闭接管确认直连，再检查当前配置是否加载、入口端口是否监听、策略组是否有可用选择。随后查看错误属于解析失败、连接超时、认证失败还是拒绝连接。求助时提供平台、客户端名称、接管方式、错误原文与已做检查，并删除敏感信息。可继续在FAQ按现象查阅，或返回快速上手教程重走最小验证流程。