CONFIG / 配置查阅
规则、策略组与流量接管
客户端负责操作入口，内核负责处理连接。先理解配置字段的作用，再判断需要哪个开关；以下片段以 Mihomo 配置语法为例，不是包含订阅与节点的完整配置。
规则模式按列表顺序判断连接，先命中的规则决定出口，末尾的 MATCH 处理其余请求。适合把指定域名直连、其他连接交给策略组，而不是让全部应用固定使用同一路径。修改前先确认策略名称存在，避免因引用错误导致配置加载失败。不同客户端的规则编辑入口并不相同，但使用兼容内核时可沿用相应语法。排查时查看连接记录中的命中规则，比只看代理开关更能确认分流结果。
mode: rule
rules:
- DOMAIN-SUFFIX,example.com,DIRECT
- IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
- MATCH,DIRECT策略组把多个出口组织成可选择或可自动判断的集合。select 用于手动选择，url-test 根据测试结果选择，fallback 按配置顺序寻找可用出口；它们不是规则模式、全局模式的另一种叫法。导入订阅后，应先检查组内是否出现预期节点，再把规则指向该组。测速只反映特定测试地址的请求结果，不能代替实际业务验证。下面使用内置出口展示组的结构，实际配置可加入订阅提供的节点名称。
proxy-groups:
- name: 手动选择
type: select
proxies:
- DIRECT
- REJECT
rules:
- MATCH,手动选择DNS 配置决定域名如何解析，Fake-IP 则借助虚拟地址保留域名与连接之间的映射，方便内核按域名分流。启用后看到保留地址段并不等于节点异常；应结合客户端日志和实际访问判断。需要真实解析结果的局域网服务，可根据内核文档加入过滤名单。相比直接更换客户端，先确认解析请求是否进入内核、上游解析器是否可达，通常更能缩小问题范围。片段中的解析器仅用于展示字段，需按网络环境调整。
dns:
enable: true
enhanced-mode: fake-ip
fake-ip-range: 198.18.0.1/16
fake-ip-filter:
- "*.lan"
- "localhost"
nameserver:
- https://dns.alidns.com/dns-query系统代理依赖应用遵循系统设置，TUN 则通过虚拟网络接口接管符合路由条件的流量，适合处理不读取系统代理的程序。启用通常需要管理员权限、服务组件或移动系统的 VPN 授权，具体入口由客户端决定。它不会让失效订阅恢复，也不能保证所有应用兼容。测试时先保留可用配置，再检查路由、DNS 和其他 VPN 是否冲突；确认普通网页可访问后，再验证目标应用，避免同时改动多个网络选项。
tun:
enable: true
stack: mixed
auto-route: true
auto-detect-interface: true
dns-hijack:
- any:53规则分流 · rules
规则模式按列表顺序判断连接，先命中的规则决定出口，末尾的 MATCH 处理其余请求。适合把指定域名直连、其他连接交给策略组，而不是让全部应用固定使用同一路径。修改前先确认策略名称存在，避免因引用错误导致配置加载失败。不同客户端的规则编辑入口并不相同，但使用兼容内核时可沿用相应语法。排查时查看连接记录中的命中规则，比只看代理开关更能确认分流结果。
mode: rule
rules:
- DOMAIN-SUFFIX,example.com,DIRECT
- IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
- MATCH,DIRECT策略组选择 · proxy-groups
策略组把多个出口组织成可选择或可自动判断的集合。select 用于手动选择，url-test 根据测试结果选择，fallback 按配置顺序寻找可用出口；它们不是规则模式、全局模式的另一种叫法。导入订阅后，应先检查组内是否出现预期节点，再把规则指向该组。测速只反映特定测试地址的请求结果，不能代替实际业务验证。下面使用内置出口展示组的结构，实际配置可加入订阅提供的节点名称。
proxy-groups:
- name: 手动选择
type: select
proxies:
- DIRECT
- REJECT
rules:
- MATCH,手动选择DNS 与 Fake-IP · dns
DNS 配置决定域名如何解析，Fake-IP 则借助虚拟地址保留域名与连接之间的映射，方便内核按域名分流。启用后看到保留地址段并不等于节点异常；应结合客户端日志和实际访问判断。需要真实解析结果的局域网服务，可根据内核文档加入过滤名单。相比直接更换客户端，先确认解析请求是否进入内核、上游解析器是否可达，通常更能缩小问题范围。片段中的解析器仅用于展示字段，需按网络环境调整。
dns:
enable: true
enhanced-mode: fake-ip
fake-ip-range: 198.18.0.1/16
fake-ip-filter:
- "*.lan"
- "localhost"
nameserver:
- https://dns.alidns.com/dns-queryTUN 模式 · tun
系统代理依赖应用遵循系统设置，TUN 则通过虚拟网络接口接管符合路由条件的流量，适合处理不读取系统代理的程序。启用通常需要管理员权限、服务组件或移动系统的 VPN 授权，具体入口由客户端决定。它不会让失效订阅恢复，也不能保证所有应用兼容。测试时先保留可用配置，再检查路由、DNS 和其他 VPN 是否冲突；确认普通网页可访问后，再验证目标应用，避免同时改动多个网络选项。
tun:
enable: true
stack: mixed
auto-route: true
auto-detect-interface: true
dns-hijack:
- any:53配置项的支持情况由实际内核决定。需要规则集、域名嗅探、本地覆写或外部控制面板时，继续查阅配置进阶手册；首次导入订阅则从上手教程开始。
客户端选型片段
按使用场景阅读，不以界面相似程度推断配置兼容性。
DOWNLOAD / 平台入口
按操作系统选择客户端
先确定系统和处理器架构，再比较客户端。下载入口负责区分安装包，订阅内容决定可用出口，两者需要分别准备；安装完成并不意味着已经获得代理服务。
Windows
先查看 Clash Plus，再比较 Clash Verge Rev、FlClash 与 Clash Nyanpasu。需要了解旧配置迁移时，可查阅已停止维护的 Clash for Windows 归档说明，不把旧客户端作为长期更新方案。
首次运行先导入订阅并确认内核成功启动，再开启系统代理。遇到端口占用，应先定位其他代理程序；需要 TUN 时按客户端提示安装服务或授予管理员权限，不必在初次启动就同时开启所有网络功能。
macOS
在系统的“关于本机”中确认 Apple Silicon 或 Intel，再选择对应安装项。Clash Plus、Clash Verge Rev 与 FlClash 是下载页中的主要选项，ClashX Meta 单独标为停止维护的归档客户端。
安装后的权限提示与订阅导入是两件事：网络扩展或服务授权影响流量接管，订阅决定节点与规则。钥匙串弹窗应先核对请求程序，再按系统设置处理；不要把所有启动提示都归因于节点不可用。
Android
下载页依次整理 Clash Plus、Clash Meta for Android、FlClash 与 Surfboard。多数较新的设备使用 ARM64，旧设备仍可能需要其他架构；不确定时先查设备信息，而不是根据手机品牌猜安装包。
导入后选择配置，再接受系统 VPN 连接授权。若切换应用或锁屏后连接中断，检查后台运行与电池管理策略；需要按应用分流时，确认客户端采用的是允许名单还是排除名单，避免把目标应用设置到相反的一侧。
iOS
Clash Plus 通过 App Store 提供安装入口，产品官网为 clashplus.io。先从下载页进入商店详情，了解设备兼容要求，再按客户端提供的导入方式添加配置。
首次连接需要允许添加 VPN 配置，连接状态可在系统设置中查看。桌面端的字段或操作路径未必能直接照搬到移动端；遇到订阅格式不兼容，应确认服务方提供的导出类型，再对照当前客户端说明处理。
Linux
桌面用户可比较 Clash Verge Rev 与 FlClash，根据发行版选择 DEB 或 RPM 等对应格式。服务器与路由器用户则需要区分图形客户端和 Mihomo 内核，不能把桌面安装包当成通用命令行程序。
安装前核对处理器架构与运行环境。桌面系统代理、终端代理环境变量和 TUN 接管范围并不相同，浏览器可访问不代表命令行也已走代理；应分别验证目标程序，并检查服务权限、路由设置和 DNS 解析路径。
Clash 生态与 Mihomo 的关系
Clash 生态中有多种图形客户端，它们提供配置导入、策略组选择、日志查看和网络开关等操作入口。Mihomo 是由 Clash.Meta 发展而来的代理内核项目，负责协议处理、规则匹配、DNS 与连接转发。客户端名称中出现 Clash 或 Meta，并不表示所有软件共用相同的内核构建，也不表示可以直接复制彼此的全部设置。判断一个字段能否使用，需要核对实际内核及客户端生成配置的方式。
了解这层关系有助于拆分故障：界面打不开，先看程序运行环境；配置加载失败，先看语法与字段；规则命中不符，查看最终配置和连接记录；只有某个出口不可用，再查订阅服务或目标网络。把这些层次混在一起，容易反复重装客户端，却没有触及真正的问题。首页示例只用于解释字段，具体参数仍应以对应项目当前文档为准。
开源项目的可查阅资料
Mihomo 的源代码、议题讨论和文档提供了理解内核行为的依据。遇到协议支持、DNS 行为或路由相关疑问，可先搜索文档中的字段名称，再查看相应讨论。提交问题时，应提供系统类型、复现步骤和经过脱敏的日志，并区分订阅生成的配置与本地修改。公开资料便于追踪设计与修复过程，但开源并不意味着每个客户端拥有完全相同的功能、授权方式或发布节奏。
下面的命令用于获取 Mihomo 源代码，适合需要阅读实现、准备构建环境或研究配置行为的用户。克隆仓库不会自动安装桌面客户端，也不会创建可用订阅。只是希望导入配置并开始使用的用户，直接选择上方的平台下载入口即可；查看内核文档时则可访问 Mihomo 文档，按字段名称定位相关说明。
客户端更新与订阅更新分开处理
客户端更新影响界面、系统集成与随附内核；订阅更新影响节点、策略组及服务方下发的规则。这两种更新可以独立发生。节点列表没有变化时，应先看订阅请求是否成功、地址是否有效；某个协议无法加载时，再检查当前内核支持情况。远程订阅重新拉取后，直接写进订阅原文的修改可能被覆盖，因此长期保留的规则应按客户端支持的覆写机制管理。
更新前保存当前可用配置，记录曾手动调整的端口、DNS 和接管方式。更新后先确认配置能够加载，再用日常访问的目标验证，最后检查分流是否符合预期。不要同时更换客户端、订阅地址与 DNS 上游，否则一旦出现问题，很难判断是哪一项改变了行为。已停止维护的客户端适合查阅历史配置，不宜把归档状态理解为持续适配新系统或新协议的承诺。
订阅来源与连接验证
客户端是连接工具，订阅通常由用户自行准备。订阅地址可能含访问凭据，应像密码一样保存；截图、公开日志和在线求助时，要移除完整订阅地址、控制面板密钥以及节点认证信息。添加配置前确认来源可信，并了解服务范围、有效期和流量限制。将不明链接交给第三方转换服务，可能使完整配置暴露给转换方，应先了解其处理方式。
导入成功后，不只观察连接图标。先确认当前启用的是刚导入的配置，策略组中存在可选出口，再访问需要验证的目标，查看连接记录中的规则与出口。节点测试成功只说明测试请求完成，并不能证明所有网站、应用或 UDP 场景都可用。若直连和代理都异常，先检查本地网络；若仅特定域名失败，再检查解析、规则和目标服务。这条验证顺序能减少没有依据的配置改动。
NOTES / 使用心得
安装与连接问题排查
按出现的现象选择文章：启动失败先查端口，首次运行遇到提示先查系统权限，连接后无法访问则沿着代理、解析、规则和出口逐层确认。
Clash 端口被占用怎么办：7890 冲突定位与 mixed-port 修改步骤
启动报错 address already in use 时，先用 netstat 或 lsof 找出占用 7890 的进程，再在配置里改 mixed-port 与外部控制端口，并同步系统代理设置。
阅读端口排查步骤 →macOS 安装 Clash 提示无法打开：网络扩展授权与钥匙串弹窗处理
梳理 macOS 上首次运行客户端遇到的“无法验证开发者”、网络扩展未允许、钥匙串反复索要密码等提示，按系统设置路径逐项放行。
查看系统权限说明 →Clash 已连接却打不开网页：系统代理、DNS 与规则逐项排查清单
客户端显示已连接但浏览器无法访问时，按系统代理是否生效、DNS 解析、规则命中、出站节点四层顺序检查，每步给出可验证的判断方法。
阅读连接排查清单 →