1. Clash 是什么：工具、内核和服务不是一回事

第一次接触 Clash 时，最容易把客户端、内核、订阅和节点都叫作“Clash”。实际上，它们承担不同任务：客户端提供图形界面，内核处理网络连接，订阅提供配置或节点信息，节点则是配置中定义的代理服务器。把这几层分开理解，遇到问题时才知道该检查哪里。

  • 客户端：安装在电脑或手机上的应用，例如 Clash Verge Rev、Clash for Android。它通常负责导入配置、切换策略、显示连接状态，以及管理系统代理或 TUN。
  • 内核：客户端调用的网络处理程序，负责读取配置、匹配规则、解析 DNS 并建立出站连接。mihomo 是常见内核之一，但客户端名称带有“Clash”不代表一定使用某个特定内核。
  • 订阅：一种配置来源，常见形式是订阅链接，也可能是本地配置文件。它可能包含节点、代理组和规则，也可能只提供其中一部分，具体取决于服务提供方。
  • 节点：配置中描述的远端代理服务器及其连接参数。节点能否使用，取决于服务状态、协议参数、网络路径以及当前内核是否支持相应协议。
  • 规则：决定一条连接使用直连、某个代理组或其他出站策略。规则不是节点，更新规则也不一定会增加可用节点。

可以把它们想成一套出行系统：客户端是操作面板，内核是负责执行路线的调度器，订阅像一份可更新的路线与车辆清单，节点是具体的远端出口，规则则是决定每类请求走哪条路线的条件。这个比喻有助于理解，但并不意味着订阅服务一定提供完整配置，也不代表所有客户端都能运行同一份配置。

2. 一次连接如何经过 Clash

理解流量路径，比一开始就修改大量配置更实用。以浏览器打开一个网站为例，浏览器发出的连接需要先进入 Clash 内核；内核再根据获得的域名或 IP 地址检查规则，选择直连或代理策略，最后尝试建立连接。每一步都有自己的前提，任何一步失败都可能表现为“网页打不开”。

  1. 流量进入：浏览器通过系统代理，或由 TUN 等网络接管方式，把连接交给内核。只有流量实际进入内核，规则才有机会处理它。
  2. 目标识别：内核根据连接信息和 DNS 处理结果识别目标。不同 DNS 模式、应用行为和接管方式，会影响内核可用的域名信息。
  3. 规则匹配：规则模式下，内核按规则顺序检查连接，命中后选择对应策略。全局模式和直连模式的行为不同，不能用它们来验证规则是否正确。
  4. 建立出站：选择代理策略后，内核使用该策略当前选中的节点；选择直连时，则由本地网络直接连接目标。节点连接失败和目标网站拒绝连接属于不同故障方向。

因此，“客户端显示已启动”只说明部分本地组件可能正在运行，不等于每个应用都已接入代理；“节点延迟很低”也只说明某种测试请求成功，不保证所有域名、UDP 流量或应用都能正常工作。排错时先查看连接列表中的目标、命中规则、策略组和最终出站，再决定是否需要改 DNS、规则或节点。

系统代理通常适合先做基础验证，因为设置步骤较少，但有些程序会忽略系统代理。TUN 可以接管更多类型的连接，却涉及路由、权限和 DNS 行为，开启后也不会自动修复错误规则或不可用节点。新手应先让一个明确使用系统代理的浏览器完成基础测试，再按实际需要评估 TUN。

3. 开始前先准备：下载、来源与兼容性

安装前先确认操作系统、处理器架构和客户端维护状态。Windows、macOS、Android 与 Linux 的安装包格式不同；同一平台也可能同时提供多个架构版本。不要只凭文件名里的“最新版”判断适用性，也不要因为某个配置文件能导入，就推断当前内核支持其中所有协议和字段。

  • 选择可信来源：从经过核实的下载入口获取安装包，检查客户端名称、系统平台和文件扩展名是否符合预期。避免搜索结果中的仿冒下载按钮、捆绑安装器和要求关闭安全防护的软件。
  • 确认客户端与内核：安装后查看客户端的版本信息和内核信息页。客户端负责管理，内核负责实际处理连接；发生配置解析错误时，内核名称及完整版本通常比桌面图标更有用。
  • 区分配置类型：本地 YAML、完整配置订阅和仅含节点的订阅不是同一种内容。导入方式应以客户端支持的格式为准，不能把任意网址都当作节点订阅。
  • 保留系统原状：首次运行先使用常规权限。只有启用 TUN、虚拟网卡或其他需要系统授权的功能时，才根据客户端提示授予必要权限；不要在不清楚用途时安装额外证书或关闭系统安全功能。
  • 准备恢复路径：记下原有系统代理设置，并在修改配置前备份文件。若代理导致网络异常，可以先关闭客户端的系统代理或 TUN，再恢复原设置。

订阅链接可能包含访问凭据，任何拿到链接的人都可能读取或更新对应配置。不要把完整链接、二维码、节点密码、控制接口密钥或包含个人信息的配置截图公开发到论坛。排错时可先遮盖凭据，只保留错误类型、客户端版本、内核版本和必要的配置结构。

需要选择客户端时，可以先按操作系统和维护状态筛选，再比较界面、内核支持与更新方式。不要只按功能数量选择：对刚入门的使用者而言，配置导入清楚、错误提示可读、能够方便地关闭系统代理，往往比启用所有高级功能更重要。可从下载页面选择适用平台的安装包，并在安装前再次核对版本说明。

4. 动手操作：完成一次最小化验证

首次配置不必立刻开启 TUN、改写 DNS 或粘贴一大段规则。先使用可信来源的客户端和服务配置，保持改动少、结果可观察。以下步骤适用于常见桌面客户端；具体按钮名称会随客户端和版本变化，优先寻找名称相近的“配置”“代理”“系统代理”“日志”或“连接”页面。

  1. 安装并记录版本：确认安装包对应当前操作系统，启动后记录客户端版本与内核版本。若客户端尚未启动内核，不要先通过修改系统网络设置来“修复”它。
  2. 导入来源明确的配置：使用服务提供方给出的受支持订阅，或导入可信的本地配置。确认客户端完成更新，并查看配置列表中是否出现预期的策略组或节点；只有导入成功提示，不代表每个节点都可用。
  3. 先检查配置状态：在客户端中确认配置已选为当前运行配置，查看是否有 YAML 解析错误、缺失字段或节点列表为空。若显示协议不受支持，先核对实际运行内核及版本，不要通过不断重复导入来解决兼容问题。
  4. 选择合适的运行模式：如需验证规则，使用规则模式；只想做单一代理连通性测试时，可按客户端提供的模式说明选择对应策略。不要把全局模式测试结果当成规则分流正确的证据。
  5. 开启系统代理并做单一测试：先在客户端启用系统代理，通过一个明确遵循系统代理的浏览器访问目标网站。一次只测试一个目标，避免同时改 DNS、切节点、换规则，使结果无法归因。
  6. 查看连接记录：打开连接列表或日志，确认目标请求是否出现、命中了什么规则、使用哪个策略。如果请求没有进入内核，优先检查浏览器代理设置或系统代理状态；如果请求进入但失败，再区分 DNS、规则、节点连接和目标响应。
  7. 验证恢复操作：关闭系统代理后再做一次测试，确认流量回到原网络路径。若启用了 TUN，先用客户端提供的开关正常关闭，不要直接删除虚拟网卡或修改路由表。

混合端口常见示例是 7890，但这不是每个客户端固定使用的值。端口由配置和客户端设置决定，且本机其他程序也可能占用该端口。排查“端口已被占用”时，先查看客户端实际监听端口和错误日志，不要照搬网络教程中的数字。

mixed-port: 7890
mode: rule
log-level: info

这段仅用于说明三个字段分别控制什么，不是完整配置，也不能单独提供节点或规则。若客户端通过订阅生成运行配置，手动修改缓存文件可能在下一次更新时被覆盖；需要自定义时，应使用客户端明确支持的覆写、合并或本地配置功能。

完成验证后，保存一份可恢复的配置，并记录当时使用的客户端、内核和模式。这样的记录在未来升级后很有用：如果故障只在更新内核后出现，可以比较版本差异；如果切换网络后才出现，则应优先检查 DNS、路由和节点可达性，而不是立即删除整个客户端。

5. 新手常见误区：先找出故障所在层

刚开始使用时，看到网站无法打开就立刻更换客户端或订阅，往往会增加变量。先根据现象定位所在环节，再做一个小改动并复测，通常更容易找到原因。

  • 误区：安装客户端就会自动有节点。客户端是本地工具，通常需要另外导入配置或节点。先确认是否拥有合法、可用且格式受支持的配置来源。
  • 误区：订阅能更新就表示节点可用。订阅更新只是成功取得配置内容。节点的服务状态、网络连接和协议参数还需要单独验证。
  • 误区：所有写着 Clash 的客户端都支持同一套协议。协议支持由实际内核及版本决定。遇到配置不兼容，应查看内核信息和启动日志，而不是仅凭客户端品牌判断。
  • 误区：打开系统代理后所有应用都会走代理。有些应用不遵循系统代理；这类连接可能需要其他接管方式。先确认目标连接是否出现在客户端连接列表，再判断是否需要 TUN。
  • 误区：TUN 一开就能解决所有问题。TUN 负责接管符合路由条件的流量，不负责自动提供节点、修复 DNS 上游或纠正规则顺序。启用前要考虑权限和网络影响。
  • 误区：网页打不开就是 DNS 错误。失败也可能发生在连接未进入内核、规则选错策略、节点不可达、目标拒绝访问或 TLS 握手阶段。错误日志的具体内容比“打不开”更能缩小范围。
  • 误区：关闭客户端后网络设置一定自动恢复。这取决于客户端运行状态和系统代理开关。出现网络异常时，检查系统代理是否仍指向本机端口，并确认客户端是否仍在监听。

排错可以按一条简单顺序推进：先确认内核运行，再确认请求进入连接列表，接着查看规则和策略，最后检查 DNS 与节点连接。每次只改变一个条件，例如只切换策略组中的节点，或只关闭系统代理后复测。这样得到的结果更容易解释，也能避免用重装软件掩盖真正原因。

6. 安全使用与下一步学习

代理工具可以改变应用连接的出站路径，但不会自动让用户匿名，也不能保证传输内容、设备或账号绝对安全。网站仍可能通过账号登录、浏览器指纹、Cookie 或应用自身的遥测识别会话；加密连接也不能替代可信的设备防护和谨慎的账号管理。不要把“连接已代理”误解为“所有风险都已消失”。

选择配置和服务时，优先查看提供方的隐私说明、支持范围、续订条件与数据处理方式。对要求提交无关个人资料、索取账号密码、安装不明根证书或远程控制软件的来源保持谨慎。公共网络中的连接保护也应结合 HTTPS、设备更新和账号多因素验证等措施判断，不要只依赖代理客户端。

使用前应了解所在地及目标服务的相关规则，并遵守网络服务、单位或学校网络的使用政策。企业设备可能由组织统一管理代理、DNS 和安全策略；未经许可更改这些设置，可能影响工作网络或违反设备管理要求。遇到管理策略提示时，应先联系管理员，而不是绕过限制。

推荐的学习顺序是：先弄清客户端与内核的区别，再理解系统代理和 TUN 的入口差异，然后学习订阅格式、策略组、规则匹配与 DNS。配置出错时，保留最小复现信息，避免公开订阅凭据。需要从安装开始逐步操作，可查看入门教程；下载客户端前也可以先按平台核对适用版本。