Clash 常见问题
先区分配置来源、流量入口与代理出口，再按现象定位。以下问答覆盖订阅导入、字段设置、日常分流和连接故障；点击问题可展开操作说明。
基础认知
确认客户端、内核与配置的分工，避免在错误的层级反复修改设置。
Clash 客户端、mihomo 内核和订阅分别负责什么？
客户端负责配置导入、界面操作和系统集成；mihomo 内核负责监听代理端口、解析 DNS 并执行分流规则；订阅则是服务提供方交付配置或节点信息的入口。安装客户端不等于已经获得可用节点，导入订阅也不等于应用流量已经进入内核。首次使用应依次确认配置已启用、策略组已选中可用出口，再开启系统代理或 TUN。排查时分清这三层，可以避免把账户到期误判成安装失败，或把系统代理设置问题误判成节点故障。
规则、全局、直连模式应该怎么选？
日常使用通常选 rule，内核按 rules 从上到下匹配，并把连接交给对应策略。global 将连接交给 GLOBAL 策略，仍需检查该策略实际选择的出口；direct 则直接连接目标。全局模式不会自动接管未进入内核的应用流量，也不能修复失效节点。若某个网站分流不符预期，先查看连接记录中的匹配规则与最终策略，再调整规则或策略组。只切换模式却不检查出口，容易把分流问题和节点可用性混在一起。
免费节点能否直接使用，订阅链接可以公开分享吗？
公开节点的可用性、运营方和数据处理方式通常难以确认，不宜用于敏感账户或重要业务。HTTPS 能保护正常加密连接的内容，但不能替代对客户端、证书和服务来源的判断。订阅链接往往包含账户标识或访问凭据，应按敏感信息保存，不要贴到公开论坛、截图或陌生转换网站。需要协助排查时，提供去除凭据的错误信息与字段结构即可。若链接已经外泄，应通过服务提供方的账户页面重置订阅入口，并同步更新客户端配置。
Clash for Windows 停止维护后，配置可以迁移吗？
通常可以迁移订阅地址与标准 YAML 配置，但不能假设旧客户端的全部设置都能直接导入。选择仍在维护、支持所需协议的客户端后，先重新导入订阅，检查策略组、规则与节点协议是否被当前内核接受。旧客户端的界面偏好、服务安装方式、脚本和覆写逻辑可能需要单独重建。迁移时先退出旧客户端并关闭其系统代理与后台服务，再启动新客户端，避免两套程序争用端口或反复修改代理设置。保留原配置备份，确认访问正常后再清理旧环境。
安装配置
先确认配置能被内核载入，再检查监听端口和系统权限。
订阅导入失败或更新后节点为空，先检查什么？
先确认复制的是完整订阅地址，而不是账户页面地址，并检查是否带入空格或换行。随后查看客户端更新日志：401 或 403 通常提示授权或访问限制，404 可能是入口已变更，成功返回但无法解析则要检查内容是否为登录页、错误页或不兼容格式。账户到期、流量用尽和服务方更换入口也可能使订阅不可用。若更新必须经过代理，应在客户端支持时指定可用出口。不要反复覆盖本地配置；先保留最后一份可用副本，再向服务提供方确认入口状态。
配置提示 YAML 解析错误或字段不支持，怎么处理？
先根据报错行号检查缩进、冒号后的空格和列表层级，使用空格缩进，不要混入制表符。行号可能指向错误被发现的位置，实际问题也可能在上一行。节点名或密码含有特殊字符时，按 YAML 语法使用引号包裹。若语法检查通过却提示未知字段或不支持的代理类型，应核对客户端实际使用的内核与版本能力，而不是继续改缩进。建议在原配置副本上逐段恢复最近的修改，每次只变更一处，确认载入成功后再继续添加字段。
mixed-port、port 和 socks-port 有什么区别？
mixed-port 在同一个端口接受 HTTP 与 SOCKS 代理连接；port 用于 HTTP 代理；socks-port 用于 SOCKS 代理。应用必须按自己的代理协议填写地址和端口，不能只看到数字相同就认为设置正确。配置 mixed-port: 7890 时，本机应用通常连接 127.0.0.1:7890，但实际端口应以当前运行配置为准。出现 address already in use 时，先查找占用进程，再决定关闭旧实例或更换端口。更换后还要同步更新系统代理、浏览器扩展和终端环境变量。
TUN 开启失败，是否必须一直用管理员权限运行？
TUN 需要创建虚拟网络接口并修改路由，通常需要相应系统权限，但不一定要求整个客户端始终以管理员身份运行。部分客户端通过安装服务承担特权操作，具体方式取决于平台和实现。先查看服务是否安装并运行、虚拟接口是否创建成功，再检查日志中的权限或路由错误。与其他 VPN 同时运行时可能发生接口或路由冲突，可暂时退出另一套网络接管程序进行对照。不要为解决权限报错而长期关闭防火墙；应修复服务状态、授权或具体冲突项。
使用技巧
以实际运行配置和连接记录为准，分别验证测速、规则与应用入口。
节点测速正常，为什么实际打开网站仍然失败？
测速通常只验证节点对指定测试地址的请求结果，不能证明所有目标网站、协议与端口都可用。先查看失败请求是否进入内核，以及最终命中的策略组是否真的选择了刚测试的节点。随后分别检查目标域名解析、节点对该站点的可达性和服务端限制。若测速结果来自较早记录，应重新测试并实际访问目标；若只有视频、游戏或语音异常，还需确认 UDP 支持和相关分流。不要仅按测速排序频繁切换节点，保留同一目标与同一网络条件才能进行有效对照。
订阅更新会覆盖自定义规则，怎样保留修改？
不要把需要长期保留的规则只写在会被更新替换的远程配置正文里。优先使用客户端提供的覆写、合并或扩展配置功能，把个人规则与远程订阅分开保存，并确认合并顺序。规则通常应放在兜底 MATCH 之前，否则连接可能已被提前匹配；引用的策略组名称也必须在最终配置中存在。不同客户端对数组追加、前置或替换的处理不一致，更新后应查看实际运行配置，而非只看编辑器中的片段。首次设置完成后手动更新一次订阅，验证修改是否仍然生效。
局域网设备怎样使用电脑上的 Clash 代理？
先确认两台设备能在局域网内互相访问，再开启 allow-lan，并检查 bind-address 是否允许从局域网接口连接。另一台设备的代理地址应填电脑的局域网 IP，不能填 127.0.0.1；端口则填写当前 HTTP 或混合监听端口。同时检查电脑防火墙是否只对可信网络放行该端口，以及无线接入点是否开启客户端隔离。仅在受信任网络中开放监听，必要时设置代理认证，不要把代理端口映射到公网。设置 HTTP 代理通常不会接管设备上的全部流量。
浏览器能走代理，终端为什么仍然直连？
许多命令行工具不会自动读取桌面系统代理，需要使用工具自身的代理参数或环境变量。可先执行 curl -x http://127.0.0.1:7890 https://example.com 进行单次对照，其中端口应替换为当前监听值。若单次请求成功，再按终端与工具文档设置 http_proxy、https_proxy 或 ALL_PROXY，并检查 no_proxy 是否排除了目标。环境变量通常只影响当前进程及其子进程，已打开的终端可能需要重新启动。HTTPS 目标使用本地 HTTP 代理时，代理地址仍可采用 http:// 前缀。
故障排查
每次只改一个条件，保留目标地址、测试时间与去除敏感信息的日志。
节点全部超时或只有个别节点超时，排查顺序是什么？
全部超时时，先确认本地网络能直连普通网站，再确认订阅更新成功、账户有效和客户端已载入正确配置。随后检查系统时间、节点域名解析、端口连通性与日志中的协议错误；可在另一网络下用同一节点对照，区分本地网络限制与服务端故障。只有个别节点超时时，优先比较其服务器地址、端口、协议参数和服务状态。不要同时更改 DNS、TUN 与节点参数，否则难以判断是哪一步起效。保留报错时间和去除凭据的日志，再向服务提供方核实对应出口。
系统代理已经开启，浏览器访问却没有变化怎么办？
先核对系统代理指向的地址与端口是否和内核监听一致，并确认内核仍在运行。再检查浏览器是否被代理扩展、独立代理设置或组织策略覆盖；暂时停用冲突扩展后，用同一个网址重新测试。查看客户端连接记录最有帮助：没有对应连接时，重点检查流量入口；连接已出现但走 DIRECT 时，检查规则与策略选择；连接走代理却失败时，再查节点和 DNS。退出其他会修改系统代理的程序，避免设置被来回覆盖。启用 TUN 前应先定位问题，不必把它当作所有故障的默认修复。
Microsoft Store 或部分 UWP 应用无法连接，怎样检查回环限制？
部分采用应用容器的 Windows 应用默认不能访问本机回环地址，因此浏览器正常也不代表这些应用能使用 127.0.0.1 上的代理。先确认应用确实读取系统代理，再通过客户端提供的回环豁免功能，为需要的具体应用授权；也可在了解系统工具用法后检查现有豁免列表。操作可能需要管理员权限，且不同应用的网络实现并不相同，不应对全部应用统一放开。设置后完全退出并重开目标应用，同时观察连接记录。仍失败时，再检查应用自身服务、账户状态与分流规则。
Fake-IP 导致内网域名或设备发现异常，应该直接关闭 DNS 吗？
不应直接关闭 DNS 来掩盖问题。Fake-IP 会为域名分配合成地址，依赖真实 IP 的局域网服务或应用可能需要例外处理。先检查内网域名应由哪台 DNS 服务器解析，再结合 fake-ip-filter 和 nameserver-policy 为相关域名配置过滤或指定解析路径。单纯切到 redir-host 不一定能解决路由、缓存或组播发现问题。修改后清理相关 DNS 缓存并重启受影响应用，观察解析结果与连接记录。若用于设备发现的流量是组播，还需单独检查网络隔离和 TUN 路由，不能只调整域名解析。