基础认知
先区分客户端、内核、订阅与流量接管方式。
Clash、mihomo 与图形客户端是什么关系？
Clash 是代理工具生态中的项目名称；mihomo 是兼容 Clash 配置体系并持续扩展功能的内核。图形客户端负责订阅管理、策略选择、系统代理和日志展示，实际连接通常由内核处理。同一个客户端的不同发行版本也可能搭载不同内核，因此不能只凭界面名称判断字段是否受支持。排查前先在关于页面或启动日志中确认客户端名称、内核名称与版本，再查对应配置文档；不要把其他内核的配置段直接混入当前文件。
规则模式、全局模式与直连模式怎么选？
日常使用通常选择规则模式，连接按 rules 自上而下匹配，交给指定策略组、DIRECT 或 REJECT。全局模式把被客户端接管的连接交给全局策略，并不意味着所有进程都会自动进入代理；接管范围仍由系统代理或 TUN 决定。直连模式让已接管连接直接访问目标，可用于对照排查。测试时只切换模式，不同时修改 DNS 和节点；比较同一目标的连接记录，才能判断差异来自分流规则还是出口。
Clash 免费节点与订阅链接从哪里获得？
客户端是连接和分流工具，安装客户端不会自动获得可用出口。订阅应来自自行维护的服务器、所属组织提供的服务或有明确使用授权的服务提供方。公开传播的免费节点可能很快失效，也可能记录连接信息，不宜用于敏感业务。导入前确认来源、有效期和适用客户端，本站不提供节点订阅。订阅地址往往含有账户标识，应按凭据管理；求助时遮盖完整地址、节点密码和个人信息，不要直接发布配置文件。
系统代理与 TUN 模式有什么区别？
系统代理向操作系统登记 HTTP 或 SOCKS 代理入口，是否使用该入口取决于应用自身的网络实现；部分游戏、命令行程序和自带网络栈的应用不会遵循它。TUN 通过虚拟网络接口与路由接管流量，覆盖范围通常更广，但需要相应权限并协调 DNS、路由和其他 VPN。先用系统代理完成基础连接验证，再按应用需求启用 TUN。TUN 并非节点加速选项，无法修复出口失效、订阅过期或服务端拒绝连接。
安装配置
从订阅返回内容、YAML 校验和系统权限开始检查。
订阅导入失败、返回 403 或更新后为空怎么办？
先记录更新日志中的 HTTP 状态码与解析错误。403 通常表示服务端拒绝请求，但具体原因需由提供方确认；检查账户状态、订阅有效期及客户端类型。解析失败则确认地址返回的是兼容配置，而非登录页、错误页或普通节点列表。若客户端支持选择更新走直连或代理，可分别测试一次，避免只因下载链路不可达而误判订阅失效。保留仍可用的旧配置，不要反复删除重建；向提供方反馈时仅提交已遮盖敏感内容的错误信息。
导入 YAML 后提示配置错误，应该先检查哪里？
先看报错行号附近的缩进、冒号和列表短横线，YAML 缩进使用空格，不要混入制表符。接着区分语法错误与字段校验错误：前者无法解析文件，后者通常是策略名称不存在、节点字段缺失或当前内核不支持某项功能。检查 proxy-groups 与 rules 中引用的名称是否逐字一致，并确认 MATCH 位于规则末尾。每次只改一处，保存后执行客户端提供的配置检查；含账号信息的文件不应上传到公开的在线解析工具。
TUN 开启失败或提示权限不足怎么处理？
先查看日志，区分创建虚拟接口失败、权限不足与路由冲突。Windows 客户端通常需要安装或启动其服务模式，部分客户端也支持以管理员权限运行；macOS 可能要求授权辅助服务，Linux 则取决于服务权限及 /dev/net/tun 是否可用。按当前客户端的说明授予最小必要权限，不要照搬不明脚本。关闭其他正在接管路由的 VPN 后再试；接口创建成功但不能访问时，应转查 DNS 和路由，而不是继续反复提升权限。
Clash Linux 客户端如何选择，安装包架构怎么看？
需要托盘、订阅管理与可视化策略选择时，优先选择图形客户端；服务器和路由器用户可按环境部署 mihomo 内核。先执行 uname -m 判断架构，x86_64 通常对应 AMD64，aarch64 通常对应 ARM64，再根据发行版选择 deb、rpm 或项目实际提供的其他格式。不要仅凭处理器品牌推断安装包。安装成功后还需确认桌面依赖、服务权限与配置路径；内核能启动不等于系统已经接管流量，仍要检查代理入口或 TUN 路由。
使用技巧
依据最终生效配置与连接记录判断，不只依赖开关状态。
规则没有命中预期策略组，怎样定位原因？
在连接面板中找到实际请求，核对目标域名、目标 IP、命中规则和最终出口，避免只看浏览器地址栏。规则按顺序匹配，较宽的 DOMAIN-KEYWORD、GEOIP 或提前出现的 MATCH 可能覆盖后面的精确规则。若连接只显示 IP，域名规则还可能受 DNS 映射或嗅探结果影响。临时增加精确域名规则并放在相关宽规则前方，再关闭旧连接重新请求。确认命中后再整理长期规则，不要直接用全局模式替代全部分流检查。
订阅更新后，本地规则和 DNS 修改为什么消失？
直接编辑由订阅生成的配置，可能在下次更新时被远端内容覆盖。需要长期保留的规则、DNS 或策略调整，应使用当前客户端支持的覆写、合并或配置脚本机制，并先确认它处理的是完整配置还是局部片段。尤其注意数组可能被替换而非追加，规则插入位置也会影响命中。修改前备份原配置，更新后检查最终生效配置而不只看编辑器内容。不要把另一个客户端的覆写语法原样复制过来，各客户端的合并行为并不统一。
如何设置 Clash 开机自启并确认代理已经恢复？
先区分登录后启动客户端、后台服务随系统启动，以及启动后恢复系统代理，这三项不一定由同一个开关控制。桌面用户先在客户端启用开机启动，再确认代理设置是否保留；使用 TUN 时还要检查所需服务能否自动启动。重启后查看进程、当前配置和一条真实连接记录，不要只凭托盘图标判断成功。Linux 的 systemd 服务还应检查运行用户与配置路径。若启动时网络尚未就绪导致订阅更新失败，可在联网后手动更新验证。
局域网设备如何使用电脑上的代理？
电脑与设备先连接到可互访的局域网，在客户端开启允许局域网连接，并检查 allow-lan、bind-address 与实际监听端口。设备端代理地址填写电脑的局域网 IP，不能填写 127.0.0.1；端口填写当前配置里的 HTTP 或 mixed-port。若仍不可达，检查防火墙入站规则、访客网络隔离以及电脑地址是否变化。仅在可信网络开放监听，按需设置 authentication，并限制访问来源。不要把代理端口直接暴露到公网，也不要为排查而整体关闭防火墙。
故障排查
按基础网络 → 本地入口 → DNS → 规则 → 出口的顺序缩小范围。
所有节点都超时，怎样区分出口问题与本机问题？
先关闭代理确认本机基础网络能否访问，再检查订阅是否过期、节点地址是否能解析，以及系统时间是否准确。延迟测试失败只说明该测试请求未完成，不能单独证明节点完全不可用；应结合实际网页请求与内核日志判断。若仅某个节点失败，切换其他已知可用出口；若全部失败，重点看 DNS、网络限制、认证信息和其他 VPN 冲突。分别在不同网络复测有助于定位，但每次只改变一个条件，并保留错误发生时的日志。
系统代理已开启，浏览器或命令行仍然不走代理怎么办？
先确认内核已运行、监听端口与系统登记值一致，再查看连接面板是否出现该应用的请求。浏览器可能使用独立代理扩展或自身设置，命令行工具也可能只读取 HTTP_PROXY、HTTPS_PROXY 等环境变量；变量名含 HTTPS 不代表入口必须使用 HTTPS 协议。检查代理绕过列表、旧代理软件和应用级配置，调整后重启目标程序。若应用本身不遵循系统代理，可设置其专用代理入口，或在基础连接正常后使用 TUN，并再次核对接管范围。
Microsoft Store 或 UWP 应用无法通过本地代理联网怎么办？
部分 AppContainer 应用受回环隔离限制，不能直接连接本机代理入口。先确认普通浏览器能使用同一代理，再使用客户端提供的 UWP 回环工具，仅为实际需要的应用设置豁免；工具可能要求管理员权限。也可在管理员终端运行 CheckNetIsolation LoopbackExempt -s 查看现有豁免，但不要批量为所有应用放开。豁免后完全退出并重启目标应用。若仍失败，继续核对系统代理、应用错误码和连接日志；回环豁免不能修复订阅或节点故障。
开启 TUN 后无法上网，或怀疑 DNS 泄漏，应该检查什么？
先关闭 TUN 保留系统代理做对照，再查看虚拟接口、默认路由、DNS 监听地址和 dns-hijack 是否实际生效。域名打不开而 IP 可达时，优先检查解析链路；浏览器安全 DNS、系统加密 DNS 或其他 VPN 都可能绕过预期路径。fake-ip 模式需要域名映射与路由配合，不能只切换 enhanced-mode。修正后关闭旧连接并重新解析，用连接日志结合 DNS 检测复测。检测页面显示的解析服务位置只是线索，不能单凭所在地判断是否泄漏。