Clash 使用指南：订阅与连接

开始前：客户端与订阅

先从下载中心选择适合系统与处理器架构的客户端，安装后打开一次。Windows 安装包需要与设备支持的架构对应；macOS 应区分 Apple Silicon 与 Intel。首次启动如果出现系统安全提示，应先确认安装包来源与系统提示内容，再按对应安装说明处理，不要为了继续操作而关闭整套系统安全功能。

客户端提供配置管理和代理入口，并不等于已经具备可用的远程代理服务。开始前需要准备服务提供方给出的订阅地址，或一份适用于当前内核的配置文件。浏览器能打开的账户管理网页、支付订单页面和订阅地址不是同一回事；应在服务页面找到“复制订阅”或相近入口，取得完整链接。

如果电脑上已有其他代理或 VPN 客户端，先关闭其系统代理和连接功能，保留一个客户端参与本次测试。否则浏览器可能仍走另一套入口，后面即使看到网页打开，也无法判断当前配置是否正确。建议首次设置时保持 TUN 关闭，先走系统代理这条较容易观察的路径。

第一步：导入订阅并启用配置

在左侧栏打开“配置”或“订阅”页面，找到订阅地址输入框。有些客户端会先要求点击“新建”或加号，再选择“远程配置”。把刚复制的链接粘贴到地址栏，确认开头、结尾都完整，没有连带复制聊天消息里的引号、空格或换行。如果页面还要求填写名称，可以使用便于辨认的本地名称；这个名称只是配置列表中的标签，不会改变订阅内容。

点击“导入”“下载”或“保存”后，等待客户端完成网络请求。成功时通常会出现一张配置卡片或一条配置记录，带有名称、更新时间等信息。不要只看输入框已经清空就认为成功：若列表没有新增内容，或者出现网络错误、解析错误提示，应先处理这一步，不要继续反复切换系统代理。

导入完成后，点击该配置的“启用”“使用”按钮，或通过卡片菜单将其设为当前配置。部分客户端点击卡片本身即可选中，另一些会用边框、勾选标记或“当前”文字表示启用状态。关键是确认这份配置已经交给内核运行，而不是仅保存在列表里。随后打开“代理”页面，正常情况下应能看到这份配置定义的策略组。

从本地文件导入时

如果拿到的是 YAML 配置文件，在配置页选择“本地文件”或“导入文件”，选中对应的 .yaml 或 .yml 文件，再将其启用。不要把网页另存为的 HTML 文件改后缀当作配置，也不要把订阅地址直接写进一个空文件后导入。文件里的服务器、协议和规则等字段需要构成客户端能够解析的完整配置。

远程订阅与本地文件的更新方式不同。远程配置通常可以通过卡片菜单中的“更新”重新获取；本地文件是否会随外部修改重新加载，取决于客户端实现。首次使用先保留导入后的原始内容，确认连接成功再做调整，便于在出错时回到一个已知状态。

导入失败时先看提示

出现超时或连接失败，先确认当前网络能访问订阅来源，链接也仍然有效；出现 YAML、字段或协议相关错误，则记录报错位置，核对订阅格式与客户端支持范围。能在浏览器显示一段内容，并不代表它一定是有效配置，登录页、错误页也可能返回正文。更多原因见 FAQ 故障排查。订阅地址可能包含访问凭据，求助时不要直接贴出完整链接。

到这里，应当已经有一份被启用的配置，并能在代理页看到对应策略组。下一步只调整运行模式与主策略，先不改规则、DNS 或端口。

第二步：选择规则模式与代理策略

进入“代理”页面，或在首页找到“运行模式”控件。常见选项是“规则”“全局”“直连”，首次使用选择“规则”。规则模式会按当前配置中的规则顺序决定请求去向，因此部分连接走代理、部分连接直连是正常现象，并不意味着开关没有生效。

运行模式和策略组是两层设置。模式决定如何处理规则，策略组则决定被规则引用时具体采用哪个出口。页面上的“自动选择”“节点选择”或其他分组名称来自配置，未必与本教程相同。先找到服务提供方说明中的主选择组，打开后选择一个已提供的代理；如果配置已有自动选择组，也可以选择该组，让内核按组内设定进行选择。

选择后确认界面上的勾选或当前项已变化，并检查主策略是否意外停在 DIRECT 或 REJECT。前者表示直接连接，后者通常表示拒绝请求；它们是有效策略，但不适合作为本次代理连通测试的预期出口。不要把所有分组都改为同一个代理，有些分组本来就承担直连、拦截或特定业务的用途。

三种模式的使用边界

“全局”模式通常将进入内核的请求交给全局策略处理，但仍需要在对应的全局选择组里指定出口。它适合在明确目的下临时比较规则影响，不会自动接管所有应用流量，也不能修复失效订阅。“直连”模式则让进入内核的请求按直连处理，不等同于关闭客户端或恢复操作系统代理设置。

首次配置不需要添加自定义规则，也不需要手动切换每个服务分组。先保留订阅附带的结构，完成连接验证；确实发现某个域名的去向不符合预期后，再查看命中规则并处理。策略组类型与规则顺序的详细说明放在配置进阶的规则章节，避免在首次连接前同时改变太多条件。

模式设为“规则”、主策略已有明确选择后，代理出口就准备好了。但此时普通应用未必已经把流量交给客户端，还需要打开下一步的流量入口。

第三步：开启系统代理并连接

回到首页或“设置”页面，先确认内核正在运行。部分客户端启动后会自动运行内核，部分则需要点击“启动”或“连接”。如果出现内核启动失败，先查看日志中的第一条相关错误，不要仅凭窗口仍然打开就判断服务已经正常。内核能够运行后，再开启“系统代理”开关；托盘菜单里若也有同名选项，通常是在控制同一个状态。

系统代理会让遵循操作系统代理设置的应用，把请求交给本机代理入口。开启后保持客户端运行，再新开浏览器标签页发起请求。关闭窗口有时只是最小化到托盘，并不等于程序已经退出；反过来，程序退出后本地代理入口也可能停止，因此应结合托盘图标、开关和内核运行状态确认。

客户端常见的混合端口是 7890，但应以当前客户端设置页显示的实际值为准。首次配置一般不需要手动到 Windows 或 macOS 网络设置里填写端口，交给系统代理开关处理即可。若本机已经有其他程序占用相同端口，日志可能提示监听失败；此时应先关闭冲突程序，或按客户端说明更换端口，再重新开启系统代理。

先保持 TUN 与局域网开关关闭

首次验证可以让“TUN 模式”保持关闭，也不必开启“允许局域网连接”。前者涉及虚拟网卡、路由和权限，后者用于让同一局域网中的其他设备访问本机代理入口，单台电脑使用通常不需要。把这两项留到基础连接成功之后，可以减少故障来源，也避免不必要地扩大代理入口的访问范围。

系统代理不一定覆盖游戏、命令行工具或自行管理网络连接的程序。若浏览器已验证有效，而某个应用仍然直连，应先查看该应用是否支持系统代理或单独的代理设置，再考虑 TUN。需要启用 TUN 时，按客户端提示安装服务或授予管理员权限；不同系统的实现并不相同，具体步骤见TUN 与 Fake-IP 配置章节。

移动端对应操作

Android、iOS 客户端通常在导入配置并选择策略后，通过首页连接按钮启动。首次连接会出现系统 VPN 授权或添加 VPN 配置的提示，应核对请求来自当前客户端后再确认。系统出现 VPN 标识，只能说明网络扩展或隧道已经启动，不能单独证明远程代理可用，仍需按下一步检查实际请求。

完成这一步后，桌面端应当处于“内核运行、配置已启用、规则模式、系统代理开启”的状态。接下来用一次可观察的网页请求确认路径，而不是只依赖开关颜色。

第四步：验证连接与实际去向

在客户端打开“连接”页面，让它保持可见，再在浏览器新建标签页，访问一个当前网络允许访问、且预计由配置走代理的网站。尽量重新加载页面或打开此前未访问的路径，避免只看到本地缓存。观察客户端是否出现与该网站域名相符的新连接；连接记录中的字段名称因客户端而异，常见有目标地址、规则、策略或代理链。

如果记录显示目标域名命中了某条规则，并经过刚才选择的策略组与代理，且页面内容可以正常加载，就有了比“开关已打开”更直接的依据。再访问一个按配置应直连的网站，比较两次记录。规则模式下两者去向不同通常正是预期结果，不需要为了让记录全部显示代理而切到全局模式。

连接列表里没有出现预期请求时，先不要立即更换订阅。检查浏览器是否设置了独立代理、是否启用了代理扩展，以及另一个 VPN 是否仍在运行；也可以完全退出并重新打开浏览器再试。部分短连接很快结束，可能需要查看历史记录或日志。应围绕同一次请求的时间与域名判断，不能把其他后台应用产生的连接当作测试结果。

按现象缩小排查范围

能看到请求进入客户端，但日志出现远程连接超时，说明流量入口可能已经工作，接下来应检查所选代理、服务状态与当前网络。若提示域名解析失败，则保留报错域名与时间，转到 FAQ 故障排查查看 DNS 相关处理。首次测试不要同时修改 DNS、规则和 TUN，否则即使恢复正常，也难以知道是哪项调整起了作用。

若只有一个网站打不开，而其他符合相同代理策略的网站可以访问，应分别考虑站点自身状态、账号要求和该域名的规则命中情况。出口 IP 查询可以作为补充，但不能独立证明所有应用或 DNS 都经过相同路径。需要检查 DNS 泄漏、域名嗅探或更细的路由行为时，再阅读DNS 配置优化，本次入门只确认基本连接链路。

退出前恢复系统代理

测试结束或暂时不需要代理时，先关闭客户端的“系统代理”，再使用托盘菜单正常退出。随后新开一个普通网页，确认网络恢复到原来的访问方式。若程序异常退出后浏览器无法上网，检查操作系统网络设置中的手动代理是否仍指向本机地址；只有确认该条设置由本次客户端写入时，才关闭它。公司或学校管理的设备可能有固定代理要求，不应直接删除全部设置。

需要继续使用时，重新打开客户端，确认当前配置和策略仍在，再开启系统代理即可。后续订阅更新应优先使用配置卡片的更新入口，更新失败时先保留可用配置，不要急于删除重建。至此，导入、选路、入口和验证四个环节已经连通；日常使用主要是检查订阅状态、按需要切换策略，以及在退出前恢复系统代理。