Clash 使用教程

第一步：导入订阅并启用配置

打开客户端，进入「订阅」「配置」或类似的配置管理页面，找到「新增」「导入」或加号入口。如果使用订阅地址，选择从链接导入，将完整地址粘贴到 URL 输入框。名称可以填写便于识别的文字，用来区分不同配置；名称不会改变订阅内容。确认地址首尾没有多余空格、换行或聊天软件附带的标点，再点击保存或下载。

订阅地址与服务商的网站首页、账户登录页不是同一项。正确地址返回的是配置或客户端可识别的订阅数据；把网页地址粘贴进去，可能得到 HTML 内容或格式解析错误。复制时应使用服务提供方标明的 Clash 或 mihomo 兼容订阅入口。地址中可能含有账户授权信息，不要把完整链接贴到公开讨论区，也不要为了排错上传带有地址的完整截图。

保存后等待订阅下载结束。部分客户端会自动启用新配置，另一些需要点击配置条目、勾选标记或「使用」按钮。留意页面是否出现当前配置标识，然后切换到「代理」页面。如果能够看到该配置提供的策略组及其选项，说明导入和配置加载已推进到下一阶段。仅出现一条订阅名称，不足以证明该文件已经成为当前运行配置。

使用本地 YAML 文件

如果拿到的是配置文件，在导入菜单选择「从文件导入」，打开本地的 .yaml 或 .yml 文件，再将其设为当前配置。不要把整段 YAML 粘贴到订阅 URL 输入框。导入本地文件一般只保存当时的内容；除非另行设置更新来源，否则不能假定它会随服务商的订阅自动更新。

首次导入不建议立即编辑节点密码、协议字段和规则。先用原始配置完成一次连接，能减少排查范围。客户端提示字段不支持时，应确认订阅格式与内核要求是否匹配，而不是直接删除报错行。某些节点协议或字段需要 mihomo 支持，旧客户端未必能够读取；可先查看客户端选型指南，再决定是否更换客户端。

下载失败时先检查来源

如果出现超时、授权失败或解析失败，先确认设备当前能正常联网，再重新复制订阅地址。授权类错误通常需要到服务方账户页面确认链接是否仍有效；解析错误则应核对是否选错订阅格式。自动更新间隔暂时保留默认值，不要反复短时间刷新。更详细的错误分类见订阅更新失败排查。

完成这一步后，应能明确指出当前启用的是哪一份配置，并在代理页面找到策略组。接下来先决定请求如何分流，再启用系统网络入口；这样首次连接就有可核对的路径。

第二步：选择规则模式与策略组

回到首页、代理页面或模式设置区，找到「规则」「全局」「直连」选项。首次使用建议选择规则模式。它对应配置中的 mode: rule：已经进入内核的请求按 rules 顺序匹配，再交给规则指定的节点、策略组或直连出站。规则模式不是自动识别所有网站用途的开关，实际行为仍由当前配置中的规则决定。

「全局」模式将进入内核的请求交给全局策略组，通常还要在该组选择出站。「直连」模式则让进入内核的请求直接连接目标。这里的模式只决定内核收到请求后如何处理，不负责把所有应用流量送进内核。因此，即使选中全局，也不能据此判断某个游戏、命令行工具或其他应用已经使用代理。

展开策略组并选择出站

模式设为规则后，打开「代理」页面，展开配置提供的主要选择组。组名由订阅作者定义，可能是中文名称，也可能是英文名称，不一定叫「PROXY」。找到允许手动选择的组，点选一个可用节点。对应配置类型通常是 type: select；如果组内包含其他策略组，还需要展开下一级，确认最终选中的出站符合预期。

如果目标组当前选中 DIRECT，引用该组的请求就会直连；选中拒绝出站则可能使请求失败。不要只检查某个节点旁边是否有选中标记，还应确认规则实际引用的是不是这个组。对于 url-test 等自动选择组，客户端通常按配置中的测试逻辑选择节点，不必强行把它当作手动选择列表操作。

客户端提供延迟测试按钮时，可以执行一次，确认节点是否能完成指定测试请求。测试结果只反映该测试地址和当时网络条件，不等于所有网站都可访问，也不是实际下载速度。不要连续切换多个节点后再猜测哪次生效；保留一个选择，进入下一步建立连接，最后用实际网页请求与连接记录核对。

部分客户端会记住上次策略组选择。切换订阅后，仍应重新查看当前选项，不要假定名称相同就代表节点内容相同。需要理解组之间的引用关系时，再查阅策略组字段参考；首次上手只需确保目标组有明确、可用的出站。

第三步：启用系统代理或 VPN 连接

现在配置已加载，模式与策略组也已确定，还需要把应用请求送到客户端。客户端显示「运行中」通常说明内核已启动，但不一定说明浏览器正在使用它。桌面系统代理、手机 VPN 和 TUN 是不同的流量入口，不要把它们与规则模式混为一项，也不要为了首次连接同时打开所有开关。

桌面端：先使用系统代理

在 Windows 或 macOS 客户端的首页、设置页或托盘菜单中找到「系统代理」，将其启用。它通常把系统 HTTP／HTTPS 代理指向本机监听地址和端口。首次验证先使用遵循系统代理设置的浏览器，并保持客户端运行。macOS 可能要求允许更改网络设置；阅读系统提示，确认请求来自刚安装的客户端后再授权。

Linux 桌面环境对系统代理的支持不同。如果客户端已经开启系统代理，但浏览器没有产生连接记录，需要检查桌面网络设置或浏览器自身的代理设置。手动设置时，本机地址通常是 127.0.0.1，端口以客户端当前显示的监听端口为准，不能把示例端口当成所有安装的固定值。使用 mixed-port 时，同一端口可接受 HTTP 与 SOCKS 请求，但应用仍需选对代理类型。

首次使用不需要开启「允许局域网连接」。本机浏览器使用本机代理，与让其他设备访问电脑代理是两件事。也不需要为了浏览器验证同时启用 TUN；TUN 涉及虚拟网卡、路由和 DNS，适合在基础连接确认后再单独配置。具体字段与权限要求见配置参考中的网络入口说明。

手机端：允许系统 VPN 配置

在 Android 或 iOS 客户端点击「启动」「连接」或主开关。首次连接时，系统可能弹出添加 VPN 配置或连接请求。确认应用名称后允许，按系统要求完成设备认证，再回到客户端查看连接状态。系统显示 VPN 标识，说明相应网络入口已建立；是否通过代理节点出站，仍取决于第二步的模式、规则与策略组选择。

测试期间先断开其他 VPN 或代理工具，避免路由竞争。Android 若配置了按应用代理或绕过列表，应确认测试浏览器没有被排除。手机锁屏后才出现断连时，再检查客户端的后台运行与系统电池限制；不必在首次连接前批量修改所有后台选项。

如果开关立即回到关闭状态，先打开「日志」查看启动附近的错误。端口占用、配置解析失败与系统授权未完成，处理路径不同。记录错误文字和发生位置即可，不要直接公开整份配置。待客户端持续运行、入口开关保持开启后，进入最后一步验证；仅看状态图标还不能结束检查。

第四步：验证请求是否经过预期出站

打开浏览器，访问一个已知可正常使用 HTTPS 的网页，发起新的请求。不要只观察原先已经打开的页面，因为页面可能命中缓存，已有连接也可能继续沿用旧路径。可以打开新标签页并重新加载目标地址，然后立即切回客户端的「连接」页面，按域名或进程查找刚才的请求。

先看连接记录，再看出口地址

客户端支持展示规则和出站链路时，核对三项：目标域名是否对应刚才访问的网站、命中了哪条规则、最终使用哪个节点或直连出站。规则模式下，某些网站命中 DIRECT 是正常结果，不能把所有直连记录都当成失败。应选取预期走代理的目标，检查它是否进入指定策略组，并沿组链路找到最终出站。

如果需要比较出口地址，可在同一网络条件下，对比连接前后可信出口查询页面显示的公网地址。关闭并重新开启浏览器请求，避免沿用旧连接。地址不同只能作为一项证据；查询页面若被规则安排直连，地址没有变化也不能证明所有代理请求都失败。应把出口结果与客户端连接记录一起判断，而不是只凭网页显示的地区名称下结论。

日志和连接页面可能包含访问域名等信息。排查时只保留与测试请求相关的片段；分享前移除订阅地址、账户信息和不相关访问记录。验证完成后，可以关闭临时开启的详细日志，避免持续记录超出实际排查需要的内容。

未生效时按入口顺序回查

1. 代理页面没有策略组：回到订阅导入步骤，确认下载已完成且配置已被启用。不要先改系统网络参数。
2. 浏览器访问时没有对应连接：检查系统代理或手机 VPN 是否开启，浏览器是否绕过系统代理，以及是否被按应用规则排除。连接记录可能很快消失，可重新发起请求并观察。
3. 有记录但走了直连：检查当前模式、命中规则和策略组选择。临时用全局模式作对比时，记得选择全局组，并在测试后恢复规则模式。
4. 有代理记录但请求失败：保留同一目标，换一个已知可用节点重试，再查看相关日志。节点测试成功与目标网站访问成功并不等价。

每次只改变一项设置，再发起一次新请求，才容易确定原因。若浏览器可用而其他应用不可用，说明首次连接主线已完成，后续应检查该应用是否支持系统代理、是否使用独立代理设置，以及是否需要其他流量入口。DNS、Fake-IP、TUN 和规则覆写不在首次连接步骤中展开，相关语法统一查阅config.yaml 配置参考。

结束使用与下次启动

桌面端准备退出客户端时，先关闭系统代理，再退出程序。否则系统仍可能把请求送往已经停止监听的本机端口，表现为浏览器突然无法联网。手机端使用客户端的停止或断开按钮结束连接；如果之前启用了系统的始终开启 VPN 或阻止非 VPN 连接选项，也要确认它们符合当前使用需要。

下次启动后，先看当前配置与策略组选择是否保留，再启用网络入口。订阅更新可能改变节点和规则，更新后出现异常时应重新检查对应策略组，而不是直接覆盖整份文件。能够在连接页面核对一次真实请求的规则与最终出站，才算完成这次上手流程。