Clash 常见问题与连接排查

Clash 通常指一类规则代理工具及其配置生态；mihomo 是负责协议连接、规则匹配与 DNS 处理的内核；桌面客户端则提供配置导入、策略组选择、系统代理和日志等图形界面。不同客户端即使使用同一内核，菜单位置、服务安装方式和覆写功能也可能不同。排查问题时应同时记录客户端名称、客户端版本和内核版本，不能只写使用了 Clash。配置字段是否可用，应以实际运行的内核支持范围为准。

客户端负责读取配置并建立连接，安装完成不代表已经具备可用的代理服务。通常需要导入自行准备的 YAML 配置，或从服务提供方取得订阅链接，再到配置页下载并启用。只有规则而没有可用代理条目的文件，无法凭空建立远程连接。导入后先检查配置是否已选中，再到代理页确认策略组内存在可选项。订阅属于敏感信息，分享截图时应遮住完整链接、用户标识和访问参数。

规则模式按配置中的规则顺序选择策略，适合日常按域名、地址或地区分流；全局模式通常把进入内核的连接交给全局策略组；直连模式让进入内核的连接直接访问目标。全局不等于接管设备上的全部流量，应用仍需通过系统代理或 TUN 等入口进入内核。遇到某个网站异常时，可短暂切换全局模式对照测试，再恢复规则模式。若全局可用而规则不可用，应优先检查命中的规则和策略组。

不一定。系统代理把代理地址写入操作系统设置，主要影响愿意读取该设置的应用；TUN 通过虚拟网卡与路由接管符合条件的网络流量，常用于不读取系统代理的程序。初次配置建议先只开系统代理，确认订阅、策略组与连接正常后，再按需测试 TUN。部分客户端支持两者同时开启，但不应把双开当作修复所有问题的步骤。若同时运行其他 VPN 或代理工具，应先停用其中一个，避免路由和 DNS 相互覆盖。

打开客户端的配置页，找到新建配置、远程配置或订阅导入入口，将服务提供方给出的完整地址粘贴到 URL 输入框并确认导入。下载成功后，还需要点击该配置的启用或选中操作，随后进入代理页选择策略组中的可用代理。最后到设置页开启系统代理，使用浏览器访问目标网站验证。不同客户端按钮名称略有差异；如果导入的是本地 YAML 文件，应选择文件导入，而不是把文件路径填进订阅地址框。

先在配置页手动更新一次，并查看同一时刻的日志。请求超时应检查当前网络与订阅更新所用的代理路径；出现 401、403 等响应时，应向服务提供方确认链接权限和有效期；返回网页或登录页时，不能当作 YAML 配置导入。若日志指向具体行号，再检查缩进、冒号后的空格、重复字段和内核不支持的配置项。不要连续更换多个设置掩盖原始错误，也不要把含有完整订阅地址的日志直接公开发布。

7890 是常见的混合端口示例，实际值以客户端设置或生效配置中的 mixed-port 为准。日志出现地址已占用时，先退出其他代理客户端，确认是否有旧进程仍在后台运行；仍冲突时，可把混合端口改为一个未被占用的本地端口并应用设置。随后同步修改浏览器扩展、终端环境变量和其他手动填写的代理地址。不能只改配置文件却保留应用里的旧端口；自动系统代理是否同步更新，也应回到系统设置中确认。

先确认客户端提供的服务模式是否已安装并启动。Windows 通常需要授权安装服务或以管理员权限完成相关操作；macOS 可能需要在系统设置中批准网络扩展或辅助服务，具体取决于客户端实现。记录日志中关于权限、驱动或网卡创建的原始错误，再按该客户端说明修复服务。不要反复安装来源不明的驱动。若设备受单位管理策略限制，应联系管理员；修复前可以关闭 TUN，使用系统代理验证基础连接是否正常。

测速通常只访问配置中指定的测试地址，说明那次探测成功，不代表所有网站、协议或 DNS 请求都可用。先确认当前策略组实际选中了哪个代理，再访问一个明确的 HTTPS 网站并查看连接页。检查目标域名命中了哪条规则、最终使用哪个策略，以及日志是否出现解析失败或连接重置。必要时换一个代理做对照，但每次只改一项。若浏览器失败而其他应用正常，还应检查浏览器扩展、自定义代理和安全 DNS 设置。

优先使用客户端提供的本地规则或覆写入口，在较宽泛的规则和最终 MATCH 规则之前加入目标域名规则。DOMAIN 用于精确域名，DOMAIN-SUFFIX 可覆盖指定域名及其子域名；规则末尾的策略名称必须与当前配置中的策略组名称一致。保存并应用后，新建一次访问连接，在连接页确认命中结果。网页可能还会请求其他资源域名，必要时逐项补充。直接编辑远程订阅生成的文件，可能在下一次更新时被覆盖。

在客户端设置中开启允许局域网连接，确认监听地址不只限于 127.0.0.1，并记下电脑的局域网地址与实际混合端口。其他设备应填写该电脑的局域网地址，而不是自己的回环地址；两台设备也需要能够互相访问。若连接失败，再检查主机防火墙、访客网络隔离和无线接入点隔离。只在可信局域网中开放，按需设置认证并限制访问范围，不要把代理端口映射到公网。电脑休眠或地址改变后，其他设备的连接也会中断。

远程订阅更新通常会重新生成配置，直接写入下载文件的规则、DNS 和策略组设置可能被覆盖。应先备份有效配置，再使用客户端支持的本地覆写、合并配置或脚本扩展入口保存个性化设置。不同客户端的合并顺序不同，新增规则也未必自动排在 MATCH 前面，因此应用后必须查看最终生效配置并验证命中结果。若同时启用了多个覆写来源，先逐个停用做对照，避免同一个字段在不同位置被重复定义或互相替换。

先查看系统代理地址和端口是否指向当前客户端，并确认内核正在运行、配置已经启用。浏览器扩展可能覆盖系统代理，部分终端工具则只读取 HTTP_PROXY、HTTPS_PROXY 或自身的代理参数，需要单独设置。访问目标地址时观察客户端连接页：没有对应连接，通常应先查流量入口；有连接但策略不对，再查规则。排查过程中暂时退出其他代理软件，并检查系统的代理绕过列表，避免把目标域名或整个地址范围排除在外。

部分使用 AppContainer 隔离的 UWP 应用默认不能访问本机回环地址，因此浏览器可用时，商店或邮件应用仍可能失败。若客户端提供 UWP 回环豁免工具，可按提示以管理员权限打开，只为确实需要的应用启用豁免，随后完全退出并重开应用。也可由熟悉 Windows 的用户使用 CheckNetIsolation 管理豁免列表，不应直接给全部应用批量放行。如果豁免后连接已进入内核仍失败，应继续检查规则、DNS 与应用本身的服务状态。

先关闭代理验证基础网络能否访问原本可直连的服务；如果也失败，应先处理无线网络、网关或网络认证。基础网络正常后，启用配置并分别测试两个可选代理，查看日志中的域名解析、握手和连接超时信息。只有单个代理失败时，重点检查远端服务状态；全部失败时，再核对订阅有效性、系统时间、出口网络限制和其他 VPN 冲突。不要仅凭测速超时就认定配置损坏；测试地址本身不可达，也会造成探测失败。

先区分域名无法解析和域名已解析但连接失败，再查看最终生效的 DNS 配置。Fake-IP 返回映射地址属于设计行为，单看解析结果不是公网地址不能判定故障。需要核对 DNS 请求是否进入预期解析链路、直连和代理解析路径是否可达，以及浏览器安全 DNS 是否绕过客户端设置。修改后关闭并重新建立测试连接，必要时清理系统与浏览器缓存。对不兼容的局域网服务，可按需配置 Fake-IP 过滤规则；不要一次替换全部 DNS 与 TUN 参数。