Clash 常见问题

客户端负责安装、配置管理、系统代理与界面操作；内核负责解析配置、匹配规则和建立连接，mihomo 是 Clash 生态中常见的内核。订阅是配置或代理信息的来源，需要单独取得有效链接。安装客户端不等于已经具备可用的代理服务。首次使用时，先确认订阅来源支持当前内核，再到配置页面导入并激活，最后检查代理组是否出现可选出站。不要仅凭界面能启动判断配置已经生效。

日常使用通常选择规则模式，由 rules 按顺序决定连接的出站。全局模式把进入内核的连接交给全局代理组，适合短时判断问题是否来自分流规则；它并不自动接管所有应用。直连模式让进入内核的连接直接访问目标。模式开关与系统代理、TUN 是不同层次：前者决定如何出站，后者决定流量怎样进入内核。排查结束后恢复规则模式，并在连接页面核对实际命中的规则与出站链。

mixed-port 表示同一个监听端口接受 HTTP 与 SOCKS 代理请求，7890 是常见配置值，不是所有客户端都固定使用的端口。单客户端运行且没有冲突时通常不必修改。需要给浏览器或终端手动设置代理时，应读取客户端当前显示的混合端口，地址通常使用 127.0.0.1。外部控制端口用于管理内核，不应填入应用的代理设置。修改端口后，需要同步更新应用设置与终端环境变量，避免仍连接旧端口。

新安装可先考虑 Clash Plus，再根据界面习惯比较 Clash Verge Rev、FlClash 或 Clash Nyanpasu。选择时先看系统与处理器架构，再确认需要的 TUN、服务模式及配置字段是否受支持。迁移前保存原始订阅链接、手动规则与覆写文件，优先在新客户端重新导入订阅，而不是直接复制旧程序目录。两个客户端不要同时开启系统代理或 TUN。确认新客户端连接正常后，再关闭旧客户端的自启动与后台服务。

iPhone 可从 App Store 获取 Clash Plus，产品官网为 clashplus.io。安装后在配置或订阅页面添加有效链接，或通过客户端支持的文件导入方式载入配置，再选择并激活对应配置。首次连接时，按系统提示允许添加 VPN 配置，并根据设备要求完成验证。状态栏出现 VPN 标识只说明隧道已建立，仍需打开目标网站验证规则与出站。若设备受组织管理且禁止添加 VPN，应先确认设备管理策略，不要反复重装客户端。

进入客户端的配置、订阅或 Profiles 页面，选择新建远程配置，把完整订阅链接粘贴到 URL 输入框并保存；不要粘贴到代理地址或外部控制地址中。下载成功后，明确选中该配置作为当前配置，再进入代理页面选择相应代理组的出站。最后开启系统代理或按需要启用 TUN，并访问目标网站。不同客户端的菜单名称可能略有差异，但导入、激活、选择出站和接管流量是四个独立步骤，遗漏其中一步都可能无法访问。

先查看日志中第一条解析错误的字段名和行号，再检查 YAML 缩进、冒号后的空格以及列表前的短横线；缩进使用空格，不要混入制表符。若提示不支持的代理类型或字段，应核对当前内核是否支持订阅格式，而不是只修改缩进。通过链接导入时，还要确认返回内容确实是配置，登录页、到期提示和普通网页都不能直接作为 YAML 使用。修改前保留原文件副本，修复后重新载入，并确认日志不再出现同一错误。

先确认普通系统代理已经可以正常连接，再单独处理 TUN。Windows 在客户端设置中查找服务模式或服务安装入口，按提示授权安装并启动服务；macOS 按客户端提示授予辅助服务或网络扩展权限。Linux 通常需要管理员权限或按客户端文档配置相应网络能力。不要把关闭系统安全机制作为默认处理方式。授权后重启客户端，检查日志是否成功创建虚拟接口；若仍失败，先关闭其他 VPN 和虚拟网卡工具，再定位具体驱动或路由错误。

Android 客户端通常通过系统 VPN 接口把应用流量交给本地代理内核处理，因此首次连接会请求建立 VPN。确认提示来自刚安装并正在操作的客户端后再允许。多数个人使用场景下，同一用户空间不能同时运行两个普通 VPN 服务；若已开启其他 VPN、基于 VPN 的过滤工具或防火墙，应先停止冲突服务。连接后若只有部分应用不经过代理，检查分应用代理中的包含或排除列表，以及工作资料空间是否使用独立的网络策略。

这通常表示监听地址与端口已被占用。先完全退出其他代理客户端，并检查当前客户端是否重复启动；仅关闭主窗口不一定会停止后台内核。Windows 可在资源监视器的网络页面查看监听端口，macOS 和 Linux 可用系统网络工具定位占用进程。确认进程用途后再停止它，或在配置中为当前客户端换用空闲混合端口。不要随意结束不认识的系统进程。修改后重新载入配置，并核对系统代理与手动设置代理的应用都已使用新端口。

不一定。延迟测试通常通过指定出站访问测试地址，结果同时受测试网址、DNS、握手和远端响应影响，并不等同于线路的物理延迟。先手动选择该出站并访问实际目标，再查看连接日志。若网站可用而测试超时，可检查测试地址是否被屏蔽，或适当调整测试超时时间；若实际访问也失败，再检查订阅状态与本地网络。不要仅凭一次超时批量删除配置，也不要把不同测试网址得到的数值直接用于横向比较。

延迟测试主要观察连接建立及测试请求的耗时；下载测速关注持续传输能力，会产生实际流量。较低延迟不保证大文件下载更快，较高吞吐量也不代表交互请求响应更短。比较时尽量使用相同网络、测试目标与时间段，并暂停后台下载，避免多个客户端同时测试。移动数据或按流量计费的订阅尤其需要控制测试次数。日常选择出站时，优先验证目标服务是否稳定，再结合延迟和实际使用体验，而不是只看单次测速结果。

保持规则模式，打开客户端的连接页面，再发起一次新的目标网站请求。按域名或进程筛选连接，查看规则类型、规则内容与出站链；必要时同时查看日志。规则一般自上而下匹配，先命中的条目会决定后续出站，因此新增规则时应放在兜底 MATCH 之前。修改后重新载入配置，并关闭旧连接后再测试，因为已建立的连接可能继续沿用原出站。若页面涉及多个域名，应逐个确认静态资源、登录与接口请求，而不只检查地址栏里的主域名。

优先使用客户端提供的覆写、合并配置或扩展规则功能，把本地修改与远程订阅分开管理。直接编辑下载得到的订阅文件，下一次更新时可能被远程内容替换。添加规则前确认其引用的代理组名称在当前配置中确实存在，并检查新规则插入的位置。更新订阅后先查看最终生效配置，再用连接页面验证命中结果。不同客户端的合并顺序和语法并不完全一致，迁移时应重新核对，不能假定同一个覆写文件可以在所有客户端直接复用。

仅本机使用时保持关闭即可。确需让同一局域网中的设备共享代理时，先开启允许局域网连接，再确认监听地址包含相应网卡，并在防火墙中仅放行可信网络所需的端口。其他设备填写运行客户端的电脑局域网地址与实际混合端口，不能使用 127.0.0.1 指向另一台电脑。建议配置代理认证，并避免在公共网络开放监听。外部控制接口与代理端口用途不同，不应为共享代理而开放管理接口；结束共享后关闭相关开关与防火墙规则。

先核对订阅链接是否复制完整，尤其注意末尾参数、换行和多余空格。401、403 通常提示访问被拒绝，但具体原因仍以订阅服务说明为准，可能涉及链接重置、账户状态或访问限制。检查设备日期时间，再确认服务页面是否给出新的订阅地址。若更新报网络错误，核对客户端更新订阅时使用直连还是代理，并在可用路径下重试。不要把完整订阅链接贴到公开讨论区；链接可能包含访问凭据。链接已泄露时，应在服务侧重置后重新导入。

先在客户端连接页面观察请求是否进入内核。浏览器没有请求记录时，检查代理扩展、浏览器独立代理设置、系统例外列表及其他客户端是否覆盖了系统代理。终端工具常不自动读取系统代理，可按工具文档设置 http_proxy、https_proxy 或使用单次代理参数，并确保端口与客户端一致。若请求已进入内核，应转查命中的规则和出站，而不是重复开关系统代理。需要覆盖不遵循系统代理的应用时，再评估 TUN；环境变量只影响读取它们的进程，新终端才会继承更新后的值。

部分处于 AppContainer 隔离环境中的 Windows 应用访问本机回环地址会受到限制，表现为浏览器可用但特定应用无法连接。先确认问题应用确实属于这类环境，并检查代理与规则已经生效。若客户端提供 UWP 回环授权入口，可在管理员授权后仅勾选需要访问本机代理的应用，再重新启动该应用。并非所有商店应用都有同样限制，也不必给全部应用授权。若授权后仍失败，应继续检查应用自身代理支持、DNS 与防火墙策略，不要把所有连接错误都归因于回环限制。

先关闭系统代理与 TUN，确认本地网络本身可以访问原本可直连的网站。恢复客户端后，检查配置是否激活、订阅是否有效、代理组是否选中了可用出站，并查看第一条连接错误。若全部出站同时失败，优先排查共同环节：设备时间、DNS、本地防火墙、其他 VPN 冲突与网络限制。若仅个别出站失败，再检查远端状态。测试过程中每次只改一项，并记录结果；把规则模式临时切换为全局可辅助区分分流问题，但不能修复已经失效的远端服务。

先重新打开客户端，明确关闭系统代理和 TUN，再正常退出；强制结束进程可能留下系统代理或异常路由。随后检查系统网络设置是否仍指向本机代理地址。若问题只在 TUN 开启时出现，查看 DNS 配置、域名解析日志与其他 VPN 的路由冲突，不要同时改动多个 DNS 字段。使用 fake-ip 时，部分应用可能保留旧解析结果，可在恢复配置后重启应用并按系统方式刷新缓存。若仍异常，重启网络连接，并依据日志定位残留接口；避免直接删除用途不明的系统路由。