Clash 常见问题
订阅、代理与连接排查

Clash 是代理内核与配置生态中常见的名称，mihomo 是这一生态中的开源内核实现，图形客户端负责提供订阅、代理组、日志和系统设置界面。界面名称相似，不代表使用同一内核，也不代表支持全部配置字段。选择客户端时，先确认设备平台、维护状态与内核兼容性，再看是否需要 TUN 或局域网共享。排查问题时同时记录客户端名称和内核信息；只说使用 Clash，往往不足以判断字段是否受支持。

通常需要。客户端负责读取配置并处理连接，安装完成不会自动获得可用的代理服务。订阅地址一般由服务提供方给出，链接可能包含个人访问凭据，应按敏感信息保管。导入前先确认配置格式受当前内核支持，再检查订阅是否在有效期内、账户是否仍有可用额度。本网站提供客户端入口和配置说明，不生成订阅或节点。求助时只保留报错文字，不发送完整订阅地址、二维码或含个人凭据的配置文件。

规则模式按 rules 的顺序决定连接去向，适合日常使用；全局模式通常把进入内核的连接交给全局代理组，适合短暂对照测试；直连模式让进入内核的连接直接访问目标。全局不等于接管整台电脑，应用若未经过系统代理或 TUN，仍可能绕过客户端。测试完应切回规则模式，并在连接列表确认目标域名命中了哪条规则。切换模式不会修复失效订阅、过期账户或不可达节点，也不能替代对底层网络的检查。

mixed-port 是内核接收 HTTP 与 SOCKS5 代理连接的混合端口，常见示例为 7890，实际数值以当前配置为准。系统代理把代理地址写入操作系统设置，主要影响遵循该设置的应用。TUN 则通过虚拟网络接口接管符合路由条件的流量，需要相应权限和网络组件。新手先使用系统代理，确认浏览器能正常访问，再按应用需求测试 TUN。两者不必始终同时开启；遇到问题时分开测试，更容易定位端口、权限或路由冲突。

打开客户端的配置或订阅页面，使用新建订阅功能粘贴完整地址，保存后执行更新，并把新配置设为当前使用项。导入本地文件时，选择文件导入并确认后缀与内容确实是 YAML，而不是下载失败后保存的网页。看到导入成功后，还要打开代理组选择可用策略，再启用系统代理。若编辑过本地文件，保留原件并检查缩进，避免混用制表符。不同客户端按钮名称略有差异，但导入、启用配置、选择策略、接管流量这四步应依次完成。

先读取更新提示，区分 HTTP 状态码、连接超时和配置解析失败。401 或 403 通常需要检查访问权限、链接凭据或账户状态，404 应核对地址是否完整及提供方是否更换入口；这些状态也可能来自中间网关，需结合服务方说明判断。超时先检查基础网络与订阅下载所用的直连或代理路径。若返回 HTML 或 YAML 解析错误，可能拿到了登录页或错误格式。不要反复公开粘贴链接测试；确认凭据已泄露时，应在提供方后台重置订阅地址。

先关闭 TUN，确认普通系统代理可用，再查看客户端是否提供安装服务、修复服务或网络扩展授权入口。Windows 通常需要通过管理员授权安装或启动服务；macOS 需按系统提示允许对应网络组件；Linux 的权限与路由要求取决于客户端安装方式。完成授权后重启客户端，再检查日志中是否仍有权限或设备创建错误。不要靠长期关闭防火墙解决问题。若同时运行其他 VPN、虚拟网卡工具或另一套 TUN 客户端，先逐个退出后复测，避免路由互相覆盖。

配置导入与系统 VPN 授权是两件事：前者提供代理与规则，后者允许客户端建立系统网络隧道。首次连接时，应先核对授权弹窗是否由正在使用的客户端触发，再按系统要求确认并完成设备验证。以 Clash Plus 为例，可从下载页进入 App Store，产品信息可在 clashplus.io 查看。授权后仍无法连接时，检查配置是否启用、代理组是否选定，以及其他 VPN 是否正在占用连接。订阅格式支持范围以具体客户端说明为准，不应只凭文件名称判断兼容性。

先查看客户端是否提供覆写或扩展配置入口，优先在不会被订阅更新覆盖的位置添加规则。规则按从上到下的顺序匹配，例如 DOMAIN-SUFFIX,github.com,PROXY 应放在可能提前匹配该域名的宽泛规则之前，并且 PROXY 必须对应实际存在的策略名称。保存后重新加载配置，再用新的连接检查命中记录；原有长连接可能不会立即按新规则重建。若仍未命中，确认应用流量经过内核，并核对日志中的实际域名，避免把网页主域名与资源域名混为一谈。

延迟测试主要反映某个测试目标的响应时间，不等于持续吞吐能力，也不保证所有网站都走相同线路。先在同一网络、同一目标和相近时间内对比直连与代理，确认连接列表实际使用了预期代理组。再排查无线信号、后台下载、服务端拥塞、账户限速及目标站点的区域分发差异。不要只根据单次最低延迟反复切换节点。视频已有连接可能继续沿用旧策略，切换后应重新建立播放连接。测速网址不可达时，失败也不必然表示节点本身失效。

先让手机与电脑连接同一个可信局域网，再在电脑客户端开启允许局域网连接，确认 allow-lan 为 true，监听地址能够接收局域网连接，并记下 mixed-port 的实际端口。手机的 Wi-Fi 手动代理中填写电脑局域网 IP 和该端口，不能填 127.0.0.1，因为那指向手机自身。电脑防火墙仅对需要的网络配置文件放行该入站端口。此方法主要影响遵循 Wi-Fi HTTP 代理的应用，不保证接管全部流量。使用结束后关闭共享，也不要把代理端口暴露到公网。

开机自启通常只负责启动客户端，不一定同时启用系统代理、恢复 TUN 或选择上次配置；这些行为由客户端设置分别控制，并不存在统一适用的 YAML 自启开关。先检查登录启动、启动时连接与服务状态，再重启电脑验证。订阅中的规则和代理可能在更新时被替换，本地修改应通过客户端支持的覆写、合并或独立配置功能保存。修改前导出可用副本，并记录所改字段。更新客户端后若行为变化，先查看设置是否保留，不要反复向订阅原文件追加相同内容。

先确认内核正在运行、当前配置已启用，并核对系统代理地址与实际监听端口一致。只有客户端在本机监听时，系统代理指向 127.0.0.1 才能正常工作。接着检查浏览器扩展、应用自带代理、自动配置脚本和另一款代理工具是否覆盖了系统设置。打开连接列表发起一次新请求：有记录则继续检查规则和策略，没有记录则重点检查应用是否读取系统代理。命令行工具、部分游戏与商店应用可能需要单独配置或测试 TUN，不能仅凭系统代理开关判断所有流量都已接管。

部分受应用容器限制的 UWP 应用，访问本机回环代理时可能受到限制，但并非所有商店应用都属于同一种情况。先确认普通浏览器使用同一代理正常，再检查目标应用是否确实需要连接本机代理。客户端若提供 UWP 回环工具，可按需为指定应用添加豁免，通常需要管理员授权；也可先用 CheckNetIsolation LoopbackExempt -s 查看已有记录。不要直接对全部应用批量放开。若使用 TUN，则应另查接管路由与 DNS，回环豁免不是所有 Windows 应用联网失败的通用修复。

先关闭代理检查基础网络，再确认订阅已更新、账户有效，且目标代理组没有选到失效节点。timeout 表示连接在规定时间内未完成，可能与网络丢包、地址不可达、服务端状态或解析结果有关；connection refused 通常表示目标端口拒绝连接，也可能是本机代理端口未监听。应先看报错中的目标地址属于节点服务器、目标网站还是本机回环地址，再决定检查哪一层。用另一条已知可用连接做对照，并保留错误发生时间。不要把所有超时都归因于规则，也不要一次同时修改端口、DNS 和模式。

先确认故障是否只影响某个域名，再看日志有无解析失败、上游 DNS 超时或规则误命中。启用 Fake-IP 时，查询得到保留地址可能是设计行为，不能只凭这一点认定解析错误；关键是后续连接是否被内核接管。若局域网域名、游戏或特定应用出现兼容问题，可在理解配置后添加针对性的 fake-ip-filter，或用受支持的其他 DNS 模式做对照。修改后重新加载配置，并按系统方式刷新 DNS 缓存、重建应用连接。不要同时叠加多个 DNS 接管工具，也不要随意替换全部上游地址。