开始前：准备客户端与订阅地址
尚未安装客户端时，先到客户端下载页选择与设备平台、处理器架构匹配的安装包，完成安装后再回到这里。第一次启动如出现操作系统的权限提示，先读清提示对应的应用名称与用途。暂时不必打开开机自启、局域网共享或 TUN；先把一次普通连接跑通，后续增加功能时才容易判断是哪项设置改变了网络行为。
接着准备服务提供方给出的、明确支持 Clash 配置格式的订阅地址，或一份可以使用的本地配置文件。客户端负责读取配置和转发连接，安装完成并不等于已经获得可用出口。订阅地址通常含有个人访问凭据，应从可信账户页面复制，避免转发给他人，也不要把完整地址贴进公开截图、在线转换工具或求助帖子。
本次操作尽量只运行一个代理客户端。若电脑已有其他代理、VPN 或网络接管工具，先记下原设置并暂停相关连接；单位设备上的受管网络设置不要擅自修改。保持普通网络能够访问服务提供方页面，然后按下面顺序操作。遇到错误时停在当前步骤，保留提示文字，比继续切换多个开关更有助于定位原因。
导入订阅并设为当前配置
打开客户端，进入“配置”或“订阅”页面，找到“新建”“添加订阅”或“从 URL 导入”。回到服务提供方的账户页面，选择标注为 Clash、Clash Meta 或 mihomo 兼容格式的订阅入口，复制完整链接，再粘贴到客户端的地址输入框。可以给这份订阅取一个容易辨认的本地名称，例如“笔记本常用配置”，然后点击“导入”或“保存并更新”。
粘贴后先看一眼地址开头与结尾：地址应包含协议部分，末尾不要多出空格、换行或聊天软件附带的标点。不要把服务商首页地址、账户登录页地址或单个节点分享链接直接当成完整配置订阅。如果提供方列出多种格式，应选择客户端实际支持的一种；“浏览器可以打开这条链接”也不一定代表返回内容是客户端需要的配置。
等待获取结束。成功后通常会出现配置名称、更新时间或代理组入口。随后点击这张配置卡片，或使用“启用”“设为当前”等操作，使它成为正在使用的配置。有些客户端导入后会自动启用，有些只把配置保存到列表，因此要再确认当前项的选中标识。接着进入代理页面，检查是否已经出现配置定义的代理组；若列表仍为空，先返回检查当前配置，而不是直接开启连接。
如果持有的是本地 YAML 文件，选择“从文件导入”，在文件选择器中打开对应文件。系统可能默认隐藏扩展名，注意不要误选成同名的文本说明文件。本地文件与在线订阅的区别在于更新方式：导入本地副本后，远端修改不一定会自动同步；需要新内容时，应重新导入或使用客户端提供的更新机制。首次配置不建议直接编辑文件里的字段与缩进，先确认原始文件能够正常载入。
导入失败时先读具体提示。网络超时说明这次请求未顺利完成，不等于配置语法有错；“解析失败”则应检查返回内容与格式。如果客户端提供“通过代理更新订阅”的选项，首次还没有可用代理时，不要盲目依赖这条路径。可以稍后重试，或向订阅提供方确认地址和兼容格式。更多情况见常见问题，不要为了通过导入而随意上传订阅到陌生网站。
选择规则模式，再选择代理组出口
配置载入后，进入“代理”页面或客户端的模式菜单，找到“规则 / 全局 / 直连”选项。首次使用先选“规则”。在这个模式下，内核按照当前配置里的规则顺序决定连接去向：有的请求直连，有的进入代理组，也可能有明确拦截的请求。规则模式不是根据网页名称临时猜测，因此实际行为取决于刚刚启用的配置。
然后打开配置中的主选择组。它可能叫“代理选择”，也可能由配置作者命名为其他名称，不必寻找完全相同的文字。展开后，选择一个当前有权限使用的出口；若配置提供“自动选择”或“故障转移”组，也可以选择该组，让配置规定的机制负责后续选择。注意代理组里可能还有其他代理组，选择的是一个组时，应继续确认它最终指向可用出口，而不是停在直连或拒绝项上。
客户端若提供连接测试，可在主选择组内执行一次，用结果辅助挑选出口。测试使用的目标地址、网络路径与实际应用可能不同，所以有测试结果只表示该项在测试条件下有响应，不保证所有网站都能打开；测试超时也需要结合实际访问进一步判断。首次操作不必反复测试整个订阅，先选择一个可用项并继续验证，避免把时间花在无休止地比较数字上。
“全局”通常把进入内核的普通连接交给全局代理选择；“直连”则通常绕过代理出口。这两个模式可以用来做短时对照，但全局模式本身不会让所有应用自动接入内核，系统代理或 TUN 仍决定哪些流量能够进入。也不要把规则模式理解成“所有网站都走代理”：某个请求命中直连规则，可能正是配置的预期结果。
选好规则模式和主代理组后，顺手检查配置里是否还有按用途划分的组。普通上手只需确认目标网站使用的组有合理选择，不用逐条修改所有分类。规则顺序、默认出口和自定义规则的详细写法留到连接成功后再学；相关概念可看FAQ，需要系统排查时再查阅疑难手册。此时不建议为了一个网站访问失败就删除整段规则。
开启系统代理或移动端连接
现在回到首页、设置页或托盘菜单，先确认内核已经启动。桌面客户端若有“系统代理”开关，将它打开；某些客户端使用“设置为系统代理”菜单项，作用相近。这一步通常把操作系统的代理地址指向本机监听端口，使读取系统代理设置的浏览器和应用将请求交给客户端处理。仅仅让客户端窗口保持打开，并不能替代这一步。
在设置中找到“混合端口”或 mixed-port。常见示例是 7890，但实际数值以当前客户端显示为准，不必强行改成示例值。混合端口可接收 HTTP 与 SOCKS5 代理连接；如果客户端使用分开的端口，也应按照它显示的类型对应填写。遇到“端口被占用”时，先检查是否另一个客户端还在运行，不要只改系统代理地址却忘记内核监听端口。
Android 与 iOS 客户端通常采用另一条操作路径：在配置和代理组就绪后，点击首页的“连接”或启动按钮。系统首次可能要求添加 VPN 配置或允许建立 VPN 连接，核对应用名称后确认，再返回客户端查看连接状态。系统的 VPN 标识说明网络接管已建立，并不单独证明远端出口可用，因此仍要继续执行下一步访问验证。若其他 VPN 正在连接，先按系统要求处理冲突。
桌面端首次连接先保持 TUN 关闭。浏览器访问正常后，如果目标应用确实不读取系统代理，再根据客户端说明安装或启动必要的服务，并尝试启用 TUN。它处理的网络范围与系统代理不同，也可能涉及路由、DNS 和管理员权限。不要把 TUN 当作所有错误的通用修复开关；同时改变多个入口后，即使访问恢复，也很难知道真正起作用的是哪一项。
“允许局域网连接”与本机上网是两回事。只在这台笔记本使用时，可以保持关闭，不需要额外开放防火墙入站规则。如果之后要给同一可信网络里的其他设备共享代理，再单独学习监听地址、防火墙与设备端设置。初次配置也不必开启开机自启；等验证通过后，再按使用习惯启用，并确认登录系统后客户端确实能够启动和加载配置。
检查网页访问与规则命中结果
连接后先新开一个浏览器标签页，访问平时能够正常打开的网站，确认基础网络没有被破坏。接着访问一个在当前网络下需要代理、且可以正常提供服务的网站。尽量发起新请求，而不是只观察已经打开的页面，因为旧页面可能来自缓存，原有连接也可能暂时沿用切换前的路径。页面能加载是第一项结果，还需要与客户端里的连接记录相互印证。
打开客户端的“连接”或“日志”页面，保持窗口可见，再回到浏览器刷新目标页面。查看新出现的目标域名、匹配规则、代理组或连接链路。不同客户端展示字段不同，重点是确认请求确实进入了当前客户端，并且走向符合预期。如果命中 DIRECT，先判断规则本来是否要求直连；如果进入代理组后连接失败，再检查该组实际选择的出口，而不是立即判定系统代理失效。
若浏览器失败、但不确定问题在哪一层，可以在桌面终端做一次显式代理测试。下面命令把请求直接交给本机 HTTP 代理入口；只有当前混合端口确实为 7890 时才照此使用，否则把端口改为客户端显示的值。Windows PowerShell 中可明确使用 curl.exe，避免旧环境中同名别名带来的参数差异。
curl --proxy http://127.0.0.1:7890 --head --max-time 15 https://example.com看到 HTTP 响应头，表示这次显式代理请求得到了服务器响应；状态码不必恰好是 200，跳转或访问限制也可能返回响应。这个测试只覆盖当前目标和当前出口，不能代替所有网站的验证。若提示无法连接 127.0.0.1，优先检查内核是否运行、监听端口是否正确；若请求已经进入内核后超时，再结合日志判断出口、DNS 或远端服务问题。
显式代理测试可用、浏览器仍失败时，重点检查浏览器是否读取系统代理，是否存在单独配置代理的扩展，以及系统代理开关是否被其他应用改写。浏览器可用、某个应用失败时，则应先确认该应用是否支持系统代理，再考虑 TUN。不同网站表现不同通常需要核对规则与出口，不要只凭某个 IP 查询页面的结果判断全部流量；规则分流时，不同目标本来就可能走不同路径。
最后练习一次停止连接。桌面端先关闭系统代理和本次启用的 TUN，再使用客户端的“退出”命令，而不是只关闭窗口；移动端先点击断开，再观察系统连接标识是否结束。确认普通网络仍可访问后，重新打开客户端并恢复刚才验证通过的状态。笔记本切换 Wi-Fi、从休眠恢复或使用新的热点后，也可以重复“普通网页 → 目标网页 → 连接记录”这组检查。
如果四步中某一步仍未通过，先保留该步的错误提示，再到常见问题查找简短说明；遇到持续无法上网、订阅失败、DNS 异常或客户端崩溃，再按疑难手册中的症状流程排查。求助时提供客户端名称、系统平台、失败步骤与必要日志即可，分享前先遮住订阅地址、凭据及其他个人信息。