CONFIGURATION / 配置大纲
先确定流量如何进入内核，再确定请求匹配哪条规则。以下配置片段用于说明字段关系，节点信息与监听地址需要按实际环境补充。
规则模式从上到下检查请求，命中后交给指定出口，不会继续寻找后面的规则。把明确的域名规则放在前面，再安排地理地址匹配，最后用 MATCH 接住剩余流量。排查网站走错出口时，先查看连接记录中的命中规则，再检查策略组当前选择。与全局模式相比，规则模式能让不同业务使用不同路径，但前提是请求已经进入内核，且域名信息能够被正确识别。
rules:
- DOMAIN-SUFFIX,github.com,PROXY
- GEOIP,CN,DIRECT
- MATCH,PROXY策略组为规则提供稳定的出口名称。规则可以始终指向 PROXY，而组内节点允许随时调整，避免每次换节点都修改规则。select 适合手动选择，url-test 按测试结果选择，fallback 用于按顺序寻找可用出口。自动测试只反映特定测试地址的连通情况，不能代表所有业务表现。使用订阅中的策略组时，先理解组间引用关系，再确认最终选中了哪个节点，避免把组名误当成实际服务器。
proxy-groups:
- name: PROXY
type: select
proxies:
- DIRECT
- AUTO
- name: AUTO
type: url-test
use: [subscription]
url: https://www.gstatic.com/generate_204
interval: 300TUN 通过虚拟网络接口接收系统流量，适合不读取系统代理设置的应用。启用前先确认普通代理连接正常，再按客户端提示安装服务或授予权限。自动路由会影响系统网络路径，与其他 VPN、虚拟机网络或安全软件同时使用时需要检查冲突。TUN 不等于全局代理：进入内核的流量仍然由当前模式和规则决定出口。关闭时应确认虚拟接口与路由已经恢复，尤其是在切换网络或休眠唤醒之后。
tun:
enable: true
stack: mixed
auto-route: true
auto-detect-interface: true
dns-hijack:
- any:53Fake-IP 让 DNS 返回保留地址，再由内核把该地址映射回原始域名，以便后续连接继续使用域名规则。它适合与 TUN 配合，但不是把所有解析请求都自动交给远端服务器。涉及局域网发现、特殊认证或依赖真实解析结果的应用时，可以按症状添加 fake-ip-filter。调整前应先记录当前 DNS 设置，每次只改一个变量，再清理相关缓存验证，避免同时更换上游与过滤规则后难以定位原因。
dns:
enable: true
enhanced-mode: fake-ip
fake-ip-range: 198.18.0.1/16
fake-ip-filter:
- "*.lan"
- "*.local"
nameserver:
- https://dns.alidns.com/dns-query订阅链接用于获取节点或完整配置，导入方式取决于客户端支持的格式。拿到链接后，先在配置页面导入并选中，再检查策略组与规则是否实际出现。完整 Clash YAML 与单纯节点列表不是同一种内容，导入成功也不代表已经启用。自动更新可能覆盖订阅原文件，长期保留的规则和 DNS 调整应优先放入客户端的覆写功能。分享截图或日志前隐藏订阅地址，其中可能包含用于访问服务的凭据。
配置管理
→ 从 URL 导入
→ 更新配置
→ 选中并启用
→ 检查策略组
→ 设置覆写与更新间隔Clash 生态包含不同图形界面与内核实现，界面名称相似并不表示所有字段都能通用。mihomo 延续了 Clash 风格的配置结构，并提供自身支持的协议与网络功能。切换内核前，应查看目标客户端的说明，确认协议、规则提供器与 TUN 设置是否受支持。遇到未知字段或解析错误时，先缩小到报错段落，不要直接删除整段配置。这里的兼容指配置适配思路，并非每个客户端都提供内核切换入口。
mixed-port: 7890
allow-lan: false
mode: rule
log-level: info
external-controller: 127.0.0.1:9090DOWNLOAD / 平台入口
先核对系统架构，再选择安装包。图形客户端负责配置与连接管理，mihomo 内核负责处理请求；只有内核文件时，不会自动获得配置列表、系统代理开关或订阅管理界面。
桌面使用先从 Clash Plus、Clash Verge Rev 或 FlClash 中选择，再按下载页说明安装。首次启动后先导入已有订阅，确认内核运行，再打开系统代理。浏览器能够访问并不代表全部应用都已接入，命令行工具可能需要单独设置代理环境变量。
如果要使用 TUN，按客户端提示配置服务和权限，不必一开始就同时开启所有接管方式。遇到端口占用时，先检查是否有另一个代理程序仍在后台运行；修改监听端口后，应用中的手动代理地址也要一起更新。退出客户端前关闭系统代理，能够减少残留设置造成的连接问题。
前往下载下载前在系统信息中确认芯片类型，分别选择 Apple Silicon 或 Intel 对应的安装包。安装完成后将应用移入“应用程序”，再按提示处理网络扩展或辅助服务权限。已有其他网络工具时，先停用它们的代理接管，避免多个程序反复改写同一组系统设置。
Clash Plus、Clash Verge Rev 和 FlClash 的配置入口各有差异，但基本流程一致：导入、选中配置、选择策略组、开启接管。切换无线网络或从睡眠恢复后，如出现网页访问异常，先检查当前网络服务的代理地址与 DNS，再查看内核日志，不要仅凭菜单栏图标判断连接状态。
前往下载Android 可从 Clash Plus、Clash Meta for Android、FlClash 等客户端中选择。安装时核对处理器架构；不确定时先阅读下载页的包类型说明，不要反复安装不匹配的文件。完成导入后，系统通常会请求建立 VPN 连接的授权，确认后才能通过该方式接收应用流量。
移动系统可能限制后台运行，出现锁屏后断开时，检查电池优化、自启动和后台联网设置。分应用代理与域名规则属于不同层级：应用是否进入代理由接管设置决定，进入后的出口再由规则决定。开启其他 VPN 或工作资料网络时也要留意冲突，按实际客户端支持情况安排同时使用方式。
前往下载iPhone 与 iPad 用户可前往下载页打开 Clash Plus 的 App Store 详情。产品官网为 clashplus.io。安装后导入适配客户端的订阅或配置，再根据系统提示添加 VPN 配置。授权完成只是建立接管条件，还需要选择配置与策略组，随后进行实际访问验证。
蜂窝网络和无线网络的访问条件可能不同，遇到只有某一种网络可用时，应分别检查订阅更新、节点连接与 DNS 解析。自动选择策略依赖测试地址，不能保证每个网站都得到同样结果。排查时先保持一个明确的手动出口，确认问题范围，再恢复自动策略，避免测试过程中出口不断变化。
前往下载图形桌面可选择 Clash Verge Rev 或 FlClash，按发行版的软件包格式安装。桌面环境的系统代理并非所有程序都会读取，终端、容器与后台服务还可能使用各自的网络设置。先在普通用户会话中验证基本连接，再决定是否需要 TUN 或服务化运行，便于区分权限问题与配置问题。
服务器和路由器用户可查看下载页内核区，按处理器与运行环境选择 mihomo。自行运行内核时，需要管理配置路径、服务启动顺序和日志输出。控制接口通常应限制在本机访问；需要远程管理时，先设计认证与访问边界。容器中的回环地址属于容器自身，不能直接当作宿主机地址使用。
前往下载SOURCE / 开源与维护
通过公开源码、配置文档与发布说明理解功能边界。客户端、内核和订阅分别维护，选择与排查时应把这三层分开。
Clash 最初以规则驱动的代理内核和 YAML 配置方式形成生态，之后出现了不同分支和图形客户端。原始项目的维护状态与后续项目并不相同，不能把某个旧客户端的教程直接视为所有新客户端的操作说明。mihomo 延续 Clash Meta 项目的技术路线，具体行为应以当前项目文档和客户端实际集成情况为准。查阅历史文章时，优先核对字段含义与适用内核，而不是只对照界面截图。
配置文件中的缩进、列表与引用关系都参与解析。修改前保存可用副本，每次只调整一个功能段；出现解析错误时，先看日志指出的字段与上下文，再核对该字段是否属于所用内核支持的范围。能够加载文件，仅说明结构通过了相应检查，不等于节点可连接、规则匹配正确或系统流量已被接管。这几层需要分别验证。
图形客户端负责展示配置、管理进程和对接系统能力；内核负责解析规则、建立连接与处理 DNS。两者可能分别更新，因此更换界面不一定改变内核行为，更新内核也不一定改变订阅导入入口。选择客户端时，除了平台和安装方式，还应确认服务模式、覆写机制、日志入口与配置导出方式，确保以后能够定位问题并迁移设置。
不同项目的开放范围与许可约定应分别查看，不能因为使用同一个内核就推断整个应用采用相同许可证。mihomo 仓库公开了源码与许可信息，适合查阅具体功能实现、问题讨论和发布记录。本站将下载入口与中文操作说明放在一起，帮助用户找到对应资料；实际项目的发布行为、商店分发与订阅服务仍由各自维护者负责。
客户端更新处理应用本身，内核更新处理协议与网络行为，订阅更新处理服务方提供的节点或配置。遇到节点失效，先检查订阅是否过期、是否已启用更新后的配置，而不是立即重装客户端。遇到未知协议或字段，再检查内核支持范围。更新前阅读变更说明，保留当前可用配置；更新后复查监听端口、接管开关与策略组选择，避免默认值变化影响原有环境。
订阅内容可能包含服务方预设的 DNS、规则和策略组，本地直接编辑的内容可能在下一次更新后被替换。需要长期保留的规则，应使用客户端支持的覆写或合并功能，并检查合并顺序。不要把完整订阅文件上传到公开讨论区；反馈问题时提供经过删减的配置段、系统环境与相关错误行，保留问题复现所必需的信息即可。
先确认内核正在监听，再确认应用请求进入连接列表，最后检查命中规则和实际出口。这比连续切换多个节点更容易定位断点。延迟测试只针对指定地址执行，测试成功不能代替真实业务验证；同样，网页能打开也不能证明所有应用走了同一条路径。使用命令行工具时，注意当前终端是否设置了代理变量，测试前明确它与浏览器采用的接管方式是否一致。
调试日志可能包含访问域名、目标地址和本地路径，分享之前先删去与问题无关的内容。排查完成后恢复适合日常使用的日志级别，避免长期记录过量请求。控制端口与混合代理端口用途不同，前者用于管理接口，后者用于接收代理请求；不要把管理地址填进浏览器代理设置。默认端口只是常用配置，最终以客户端当前显示的监听信息为准。
客户端负责管理配置和处理连接，并不自动提供可用代理服务器。可以导入已有的服务订阅，也可以使用自行维护的节点配置。先确认内容来源和格式，再进行导入。公共分享链接的可用性和访问权限可能随时变化，不适合作为排查客户端是否正常的唯一依据。参阅节点与订阅说明。
规则与全局决定进入内核的请求如何选择出口，TUN 决定系统流量通过什么方式进入内核，属于两个维度。启用 TUN 后仍可使用规则分流；使用全局模式也不代表所有应用自动被接管。建议先使用一个明确的接管方式完成验证，再按需求扩展。具体操作见代理模式与规则教程。
先确认配置已被选中，再查看系统代理或 VPN 接管是否生效。如果连接列表没有对应请求，重点检查接管方式与端口；如果已经有请求，则查看出口、规则与 DNS 错误。不要同时更换节点、解析服务器和代理模式，否则很难确认哪一步起作用。按疑难解答中的检查顺序逐项定位。
优先使用客户端提供的数据更新与网络设置入口，先查看当前生效值，再决定是否修改配置。GeoIP 主要参与地理地址规则匹配，不能解决全部域名解析问题；端口用于本机程序与内核通信，修改后还要同步手动代理设置。分别查阅GeoIP 更新说明与端口配置说明。
NOTES / 使用心得
从具体症状进入操作步骤。订阅更新、DNS 映射与流量接管分开处理，避免把所有网络问题都归结为节点不可用。
客户端显示已连接但网页无法访问时，按系统代理、端口占用、TUN 权限、DNS 配置、规则匹配和节点状态的顺序逐项检查，快速定位断点。
阅读排查清单 →按报错现象归类订阅更新失败的常见原因，包括链接过期、网络无法直连、证书问题和格式不兼容，并介绍各客户端自动更新间隔的设置位置。
查看订阅更新说明 →从 DNS 查询流程讲起，解释 Fake-IP 如何用保留地址段换取更快的建连，对比 redir-host，并说明哪些域名应加入 fake-ip-filter 白名单。
理解 Fake-IP 映射 →