Clash 常见问题
与故障排查

内核负责代理连接、DNS 解析与规则匹配，图形客户端负责导入配置、选择策略组和管理系统代理。Mihomo 是 Clash 生态中持续发展的兼容内核，但不同客户端搭载的内核及支持字段并不完全相同。排查时先在设置 → 关于或内核信息中记录客户端名称和内核版本，不要只说安装了 Clash。某份配置能被另一款客户端读取，不代表当前内核也支持其中全部字段；出现 unsupported 或 unknown field 时，应按当前内核支持范围调整，而不是反复重装界面程序。

客户端与订阅服务是两回事，安装程序不会自动提供代理线路。需要导入自己的配置文件，或使用服务提供方给出的 Clash 兼容订阅。通常在配置或 Profiles 页面选择新建 → 从 URL 导入，下载完成后还要选中该配置，再到代理页面选择策略组。不要把服务商的登录网页地址当成订阅地址，也不要把仅含单条分享链接的内容当作完整 YAML。订阅 URL 中的 token 相当于访问凭据，截图、提问和公开日志中都应隐藏；已经泄露时，应到服务商后台重置订阅链接。

日常通常选规则模式，让流量按 rules 逐条匹配，再进入对应策略组。全局模式把进入内核的请求交给全局策略选择，但不会自动接管所有应用；未使用系统代理、TUN 或显式代理的程序仍可能绕过内核。直连模式则让进入内核的连接直接访问目标。全局不等于更快，它只改变路由选择，不改善线路本身。临时排查可用同一节点对比规则与全局：若只有规则模式失败，优先查看命中的规则和策略组；测试结束后切回规则，并确认全局组与业务组没有选到不同节点。

延迟测试测的是特定目标的小请求耗时，不是持续下载带宽。测速目标、测试超时和是否经过代理都会影响结果；低延迟也不能证明线路在晚高峰有足够容量。先确认实际连接使用了被测试的节点，而不是自动策略组选出的另一条线路，再用同一文件、同一时间段做对比。下载速度还受目标站限速、本地 Wi-Fi、跨网拥塞与服务商限额影响。不要连续对全部节点进行高频测试，容易增加负载或触发限制。出现 timeout 也只是本次测试失败，应结合实际访问和连接日志判断，不能单凭一个数字认定节点彻底失效。

先区分下载失败与配置解析失败。日志出现 401 或 403 时，优先检查订阅链接是否已重置、套餐是否到期以及服务方是否限制请求；403 也可能来自访问防护，并不一定是密码错误。若是连接超时，确认系统时间正确、当前网络能访问订阅域名，并检查更新订阅是否被设置为经过已经失效的代理。能切换更新路径的客户端可临时改为直连再试。下载成功却导入失败时，检查返回内容是不是登录页或错误说明，而非 YAML。重新从服务方后台复制 Clash 兼容链接，不要随意删除查询参数，更不要把完整链接发到公开讨论区。

先看报错中的行号与字段路径，再检查该行及其上一行。YAML 缩进使用空格，不要混入 Tab；列表项前需要连字符，键名后使用英文冒号，值含特殊符号时可用引号包住。常见问题是复制代码时带入全角标点、把 dns 下的字段放到顶层，或在同一层重复写两个 rules。修改前备份原文件，一次只修一处，然后使用客户端提供的配置检查功能。语法通过后若提示策略组或代理不存在，应核对名称引用，这已经不是缩进问题。远程订阅文件可能在更新时被覆盖，长期修改应放进客户端的覆写或合并入口。

先确认当前客户端和内核支持 TUN，再看启动日志中的具体失败原因。Windows 通常需要安装或启用客户端的服务模式，必要时按客户端说明以管理员权限完成首次配置；macOS 可能需要批准后台服务或网络扩展，具体取决于客户端实现。Linux 则要检查 /dev/net/tun 是否存在，以及服务是否具备创建接口和修改路由所需的权限。不要把长期以高权限运行整个桌面程序当作唯一解法。还应暂时关闭其他 VPN 的虚拟网卡接管，避免路由冲突。每次只启用一种接管方式，确认日志出现接口建立成功后，再检查 DNS 和应用连接。

先确认启动时已经允许系统的 VPN 连接请求，并能看到客户端的运行通知。Android 同一用户环境通常只能有一个活动 VPN，另一个 VPN 或使用 VPN 接口的过滤工具可能会替换当前连接。若只在锁屏后断开，到系统设置 → 应用 → 对应客户端 → 电池中允许后台运行或设为不受限制，再检查厂商提供的自启动、后台活动和任务锁定选项；菜单名称随系统而异。不要只把应用留在最近任务列表就认为已经加入白名单。若通知还在但流量中断，应查看日志是否是网络切换或节点重连失败，并分别测试 Wi-Fi 与移动网络。

系统代理开关只是向操作系统写入代理地址，不等于内核已经监听成功。先在日志中确认 mixed-port 的实际监听地址与端口，再对照系统网络设置中的 HTTP、HTTPS 代理。浏览器扩展、自定义代理设置和部分应用自己的网络选项可能覆盖系统配置，测试时先停用这些覆盖项。访问目标后查看客户端连接页：没有任何记录，说明请求尚未进入内核；已有记录但显示 DIRECT，则应查规则与策略组，而不是继续切换系统代理。某些应用不读取系统代理，需要显式设置或使用 TUN。还要注意代理绕过列表，目标域名若被排除，也不会按预期进入代理。

先查占用者，再决定是否改端口。Windows 可运行 netstat -ano | findstr :7890 并按 PID 找到进程；macOS 或 Linux 可使用 lsof -nP -iTCP:7890 -sTCP:LISTEN。如果是另一个客户端实例，优先正常退出旧实例，不要结束不认识的系统进程。确需改端口时，可使用下面的配置，将混合端口改为 7891，并保持只供本机使用。保存后重新加载配置，确认内核监听成功，再关闭并重新打开系统代理，使地址同步；浏览器、终端和其他显式配置代理的工具也要同步修改。若客户端有独立的端口设置页面，以最终生效配置和日志为准。

mixed-port: 7891
allow-lan: false

手机要连接电脑的代理端口，通常需要电脑开启 allow-lan，并让监听地址接受局域网连接；只监听 127.0.0.1 时，其他设备无法访问。两台设备应处于可互通的可信局域网，手机 Wi-Fi 的手动 HTTP 代理填写电脑的局域网 IP 和实际 mixed-port，不能填写 127.0.0.1。电脑防火墙只放行需要的网络范围，并根据内核支持情况设置代理认证。不要把代理端口通过路由器映射到公网。部分无线网络有客户端隔离，即使连接相同热点也可能互不可达。另外，手机的 HTTP 代理并不会接管所有应用及所有协议，测试时应先用浏览器确认基本连接。

先判断应用是否实际依赖本机代理。部分 UWP 或 AppContainer 应用受网络隔离限制，不能直接访问本机回环地址，所以浏览器正常并不能排除这类问题。若客户端提供 UWP 回环或 Loopback 工具，可按需对目标应用添加回环豁免。也可先用 CheckNetIsolation LoopbackExempt -s 查看现有豁免，再根据准确的应用包族名称，按 Windows 工具说明添加；修改通常需要管理员权限。不要一次性给所有应用放开隔离，也不要把回环豁免理解成联网修复万能项。若使用 TUN 后恢复，说明原来的系统代理路径值得检查；仍然失败则继续查应用账户、DNS 和命中规则。

先确认本地网络在关闭代理后能够正常联网，再检查订阅是否有效、是否还有可用流量，以及系统日期和时间是否正确。测试一个节点时同步查看日志，区分服务器连接超时、TLS 握手错误与域名解析失败，这三种情况不能用同一个办法处理。若只是统一测速失败，换一个明确可访问的测试 URL，并实际打开目标站，避免测试地址故障被误判为全部线路失效。还要确认没有同时运行两个代理客户端或 VPN。若同一节点在另一种网络正常，应优先排查当前网络限制与本地路由；若多个设备、多种网络都失败，再向服务提供方确认服务器状态。

可能是，但先用日志确认是否出现解析失败、超时或异常地址。系统的 nslookup 通常查询系统解析器，不一定等于应用经过内核时的解析路径，因此它成功也不能证明内核 DNS 正常。检查当前生效配置中的 dns.enable、enhanced-mode 与 nameserver，并确认上游解析器在当前网络下可达。使用 fake-ip 时还要检查 TUN、DNS 劫持及应用缓存是否配套；切换模式后可重启受影响应用并清理其 DNS 缓存。不要直接复制一整段陌生的 DNS 配置，也不要认为增加 fallback 就一定解决污染。先恢复订阅原配置，再一次调整一个字段，观察同一域名的结果。

最常见的是系统仍指向已经停止监听的本机代理。Windows 到设置 → 网络和 Internet → 代理中检查手动代理；macOS 到系统设置 → 网络 → 当前连接 → 详细信息 → 代理中检查 HTTP、HTTPS 和 SOCKS。只关闭确认由客户端留下的项目；公司网络原有代理应先记录，不要直接清空。终端若设置过 HTTP_PROXY、HTTPS_PROXY 或 ALL_PROXY，也需要在当前会话及启动配置中检查。若此前使用 TUN，可重新启动客户端后先关闭 TUN，再正常退出，让程序清理路由与 DNS。仍异常时记录当前网络配置后重连网络，避免一上来就重置全部网络设置。

先保留配置与日志，再考虑重装。通过客户端的数据目录或系统崩溃报告查找退出前最后几行，重点区分配置解析失败、内核文件无法启动、权限被拒绝和图形运行环境缺失。若刚修改过配置，可先备份后恢复上一个可用版本；若换回配置仍闪退，再确认安装包架构与系统匹配，并检查安全软件是否隔离了内核文件。不要通过整体关闭安全防护来长期规避问题。重装前确认订阅、覆写及策略选择是否已有备份，因为重新安装程序不一定会清除损坏的用户数据。提交问题时提供客户端和内核版本、系统信息、复现步骤及脱敏日志，不要附带订阅凭据。