01 · 安装客户端后，为什么还不能连接？
客户端负责管理配置和启动代理内核，节点负责提供远端出口。安装完成只代表本机具备运行环境，不代表已经获得可用节点。第一次使用需要完成四件事：导入配置、激活配置、选择出口、让应用流量进入代理。
Clash 是一类规则代理内核及相关客户端的常用称呼。Clash Meta 后续以 mihomo 名称发展；使用 mihomo 的图形客户端通常支持更多协议与配置字段。客户端界面版本和内核版本是两项信息，排错时应分别记录，不能只说“安装了最新版”。
- 在客户端的「关于」或内核信息页面记录客户端名称、版本号和内核名称。
- 确认订阅提供方明确支持 Clash 或 mihomo 配置，尤其注意节点协议要求。
- 先使用规则模式与系统代理验证浏览器访问，再决定是否启用 TUN。
02 · 订阅链接从哪里来？可以直接分享吗？
订阅链接通常来自提供节点服务的账户后台，也可以由自建服务生成。客户端本身不自动提供远端节点。获取时应选择标注为 Clash 或 mihomo 的订阅格式，而不是把网站登录地址、购买页面或浏览器地址栏中的账户页面复制进去。
订阅地址常带有用于识别账户的令牌。持有完整地址的人可能获取节点信息、消耗流量，或者看到订阅返回的账户相关内容。它应按凭据处理，不能放进公开工单、截图、聊天群和代码仓库。
- 导入前确认域名与提供方后台一致，使用其正式提供的 HTTPS 地址。
- 求助时隐藏整个查询参数和敏感路径，不只遮住用户名。
- 泄露后在提供方后台重置订阅链接，再替换客户端中保存的地址。
- 使用在线订阅转换服务意味着向该服务提交原始地址，应先评估信任边界。
本文不提供公共节点或订阅地址。自建用户可以自行维护 YAML 配置；只有一个 ss:// 或 vmess:// 链接时，还需要确认客户端是否支持单节点导入，不能把它直接当作完整 Clash 配置。
03 · Clash 订阅怎么导入？导入失败看哪里？
不同客户端的菜单名称不完全相同。常见流程是在「订阅」或「配置」页面新建远程配置，粘贴地址并下载，再点击该配置将其设为当前使用项。看到配置卡片并不一定表示已经激活，应检查当前配置标记和内核日志。
按返回结果定位错误
| 现象 | 优先检查 | 下一步 |
|---|---|---|
| HTTP 401 或 403 | 令牌、账户权限、来源限制 | 从账户后台重新复制订阅地址 |
| HTTP 404 | 路径是否完整、旧链接是否失效 | 对照提供方当前地址 |
| 返回 HTML 页面 | 是否复制了登录页或遇到网页验证 | 选择专用订阅导出入口 |
| YAML 解析失败 | 缩进、内容格式、字段结构 | 保留错误行号，确认返回的是 YAML |
| 不支持的代理类型 | 内核能力与订阅协议 | 核对 mihomo 支持情况或更换兼容配置 |
完整配置通常包含 proxies、proxy-groups、rules，也可能通过 proxy-providers 引入节点。只包含 Base64 编码节点列表的订阅不一定能作为 YAML 配置直接加载。不要靠改文件扩展名解决格式不匹配。
若日志显示连接超时，先确认电脑时间准确、网络能访问订阅域名。需要通过代理更新订阅时，还必须有一条已经可用的代理链路；空配置无法凭空建立这条链路。
04 · 规则、全局、直连模式有什么区别？
代理模式决定已进入内核的连接如何选择出口，不负责让所有应用自动进入内核。即使切换全局模式，一个忽略系统代理且未被 TUN 接管的应用，仍可能完全绕过客户端。
- 规则模式：按
rules从上到下匹配，命中后交给指定策略；日常使用通常从这里开始。 - 全局模式：将连接交给全局策略，仍需在全局策略中选择实际节点或组；适合临时排查分流问题。
- 直连模式：连接使用直连出口，不等于关闭客户端，也不等于关闭系统代理。
最小规则片段
mode: rule
rules:
- DOMAIN-SUFFIX,example.com,DIRECT
- MATCH,PROXY这是规则示意，不是可直接导入的完整配置。PROXY 必须是配置中实际存在的节点或策略组名称。DOMAIN-SUFFIX,example.com,DIRECT 匹配该域名及其子域名；MATCH 作为最后的兜底规则。若把 MATCH 放在前面，后续规则就没有匹配机会。
排查某个网站时，可以短暂切到全局并选择同一节点。如果全局可访问、规则模式不可访问，重点检查命中的规则和目标策略，不要立即认定节点失效。
05 · 节点怎么选？延迟最低就是最好吗？
客户端显示的延迟往往来自对指定测试 URL 的探测。结果受测试地址、超时时间、网络拥塞和内核测试方式影响，不等同于所有网站的访问速度，也不等同于视频下载吞吐量。延迟测试成功只说明这次探测完成。
- 先在当前使用的策略组内选中一个节点，避免只在节点列表里点了测试按钮。
- 访问真实目标，观察连接耗时、页面资源是否完整以及是否持续报错。
- 在同一网络、同一测试 URL 下比较候选节点，减少条件变化。
- 检查连接记录中的最终出口，确认流量没有被其他策略组接走。
select 组由用户手动选择；url-test 组根据探测结果自动选择；fallback 组偏向按顺序选择可用出口。组内还可以引用其他组，因此显示的组名不一定是最终节点名。
例如手动组中选择了“自动选择”组，实际出口仍可能随探测结果变化。需要稳定复现问题时，临时选择一个明确节点，并记录测试时间、目标域名和失败信息。不要同时改节点、DNS 和规则，否则难以判断是哪项修改产生作用。
06 · 系统代理打开了，为什么浏览器还是不能用？
系统代理是向支持该机制的应用提供本地代理地址，不是强制流量接管。先检查客户端实际监听端口，再检查操作系统中的地址是否一致。下面统一以 127.0.0.1:7890 为排查示例；实际数值以当前客户端为准。
Windows 检查顺序
- 打开「设置」→「网络和 Internet」→「代理」，核对客户端管理的代理地址和端口。
- 在客户端设置中检查 HTTP 或 mixed 监听端口，不要误用控制接口端口。
- 暂停其他代理工具，避免多个程序反复修改系统代理设置。
- 检查浏览器扩展是否单独指定了代理，必要时在关闭相关扩展后重试。
Test-NetConnection -ComputerName 127.0.0.1 -Port 7890
curl.exe -I --proxy http://127.0.0.1:7890 https://example.com/第一条在 PowerShell 中检查本地端口是否可连接；TcpTestSucceeded : True 只代表监听可达。第二条显式指定 HTTP 代理，绕开应用是否读取系统代理这个变量。若得到 HTTP 响应，说明该次代理请求已获得响应；状态码是否符合预期仍需结合目标网站判断。
显式代理请求成功、浏览器失败时，检查浏览器设置、扩展和安全 DNS。显式代理也失败时，再查看本地端口、节点、认证及日志。控制接口常用于客户端与内核通信，不能因为端口开放就把它填写到浏览器代理栏。
07 · TUN 模式是什么？新手必须开启吗？
TUN 通过虚拟网络接口和路由设置接管 IP 流量，适合处理不遵循系统代理的应用。它与系统代理是不同的入口方式，并不是“更高一级的代理模式”。规则、全局和直连仍然决定进入内核后的出口。
先用系统代理完成基本验证，可以减少排错变量。如果浏览器已正常，而某个应用不读取系统代理，再考虑 TUN。启用前要了解客户端是否需要管理员权限、服务模式或额外网络权限；这些要求取决于操作系统和客户端实现。
- Windows：确认客户端要求的服务或权限已经就绪，留意虚拟网卡与路由创建失败的日志。
- Android：通常通过系统 VPN 授权接管流量；启用另一个 VPN 应用可能替换当前连接。
- 桌面多 VPN 环境：企业 VPN、虚拟机网络和其他隧道可能改变路由优先级，应逐项排查。
不要将“启用 TUN”理解为所有 UDP、IPv6 和 DNS 都必然按预期处理。还要看内核能力、节点是否支持相应传输、路由覆盖范围和 DNS 接管方式。第一次启用后，应分别测试浏览器和原先无法代理的应用。
08 · fake-ip 和 DNS 要不要一起改？
DNS 负责把域名解析为地址。mihomo 的 fake-ip 模式会为相关查询返回用于映射的虚拟地址，内核据此恢复域名并处理连接。看到虚拟地址不一定是解析故障；关键是该流量是否仍由内核正确接管。
新手应优先保留可用订阅与客户端的默认 DNS 方案，避免同时在系统、浏览器、客户端三处修改。浏览器启用的加密 DNS 可能改变查询路径；TUN 中的 dns-hijack 也不是对所有加密 DNS 请求的通用拦截器。
先记录现象，再改字段
- 只有一个域名失败：先检查命中规则、该站点状态及 DNS 日志。
- 多个域名都无法解析：检查 DNS 上游是否可达，以及查询是否进入预期路径。
- 局域网设备名或特定应用异常：确认是否需要精确的 fake-ip 排除项，而不是关闭整套 DNS 功能。
- 启用或关闭 TUN 后表现不同：比较两种状态的路由与 DNS 接管，不要只更换节点。
系统的 nslookup 结果只能反映它使用的查询路径，不能单独证明浏览器或所有应用都使用相同 DNS。想进一步理解字段，可查阅配置大全中的 DNS 与 TUN 配置说明。
09 · 如何设置开机自启？为什么重启后没有代理？
开机自启、内核启动、恢复系统代理和 TUN 权限是四件事。启动项只能保证尝试启动程序，不能保证配置有效、网络已连通或策略组选择正确。桌面图形客户端通常在用户登录后启动，并不等于登录前就具备代理网络。
重启后的验证清单
- 在客户端设置中启用“开机启动”或同义选项。
- Windows 用户可在「设置」→「应用」→「启动」中确认该应用没有被系统禁用。
- 重新登录后检查托盘图标、当前配置和内核日志，不只检查窗口是否出现。
- 核对系统代理是否恢复；使用 TUN 时，另行检查服务状态与授权。
- 在网络连接建立后再次测试目标请求，排除开机初期网络尚未就绪的情况。
“关闭窗口”在某些客户端中只隐藏到托盘，另一些设置则会退出程序。测试自启时应区分隐藏、退出和内核停止。若客户端已经退出但系统代理仍指向 127.0.0.1，支持系统代理的应用可能因本地端口无人监听而无法联网。
遇到这种情况，重新启动客户端，或在系统设置中关闭手动代理。不要同时手工创建多个启动任务与服务；重复启动可能导致端口占用，反而让正常配置无法加载。
10 · 更新订阅会覆盖配置吗？故障时该提供什么信息？
远程订阅更新通常会替换该远程配置的内容。直接修改下载得到的 YAML，可能在下次更新时丢失。客户端提供的覆写、合并或脚本功能可以把个人设置与订阅内容分开，但具体合并顺序和能力取决于实现。
需要添加规则时，先查清覆写是替换整个 rules 数组，还是在前后追加。需要指定策略组时，确认更新后组名仍存在。组名变化后，引用旧名称的规则可能导致配置加载失败。
有效的排错记录
- 环境：操作系统及版本、客户端名称及版本、内核名称及版本。
- 入口：系统代理或 TUN，实际本地端口，以及是否同时运行其他 VPN。
- 策略：规则或全局模式、命中规则、最终策略组与节点名称。
- 现象：发生时间、目标域名、HTTP 状态码或错误原文，以及能否稳定复现。
- 对照：关闭代理、显式指定代理、替换一个已知可用节点后的差异。
分享日志前删除订阅地址、令牌、节点密码和控制接口密钥。通常只需要失败前后的相关片段，不需要上传完整配置。若修改过多个选项，先恢复到可用备份，再按一次只改一项的方式重测。