Clash 术语手册

订阅是通过链接获取并更新代理配置的方式，返回内容可能是完整的 Clash YAML，也可能只是需要转换的节点列表。导入前确认服务端提供的格式与客户端兼容，更新后再检查当前启用的配置是否仍是该条目。

订阅链接通常带有账户标识，应按凭据保管，避免放入公开截图或讨论记录；导入步骤见订阅导入指南。

节点是一组连接代理服务端的参数，通常包含服务器地址、端口、协议与认证信息，在配置中常列于 proxies 下。策略组选择节点后，只有被规则送往该策略组的连接才会使用它。

节点名称是配置标签，不足以证明实际出口位置、带宽或可用性；这些信息需要结合实际访问结果和连接日志判断。

客户端通常经指定代理请求一个测试地址，再显示本次请求耗时，具体计时方式取决于实现。结果会受到测试 URL、连接握手、服务端响应与网络状态影响，不能直接等同于下载速度。

测试超时可能只说明测试地址不可达，测试成功也不保证所有网站可访问；选择节点后仍应访问目标站点，并在连接列表核对实际出口。

YAML 是 Clash 配置常用的结构化文本格式，通过缩进表达层级，通过连字符表示列表项。编辑时使用空格并保持同层缩进一致，含特殊字符的值需要按 YAML 语法加引号。

语法可解析不代表配置可运行，还要核对字段是否被当前内核支持、引用的策略组是否存在，以及客户端是否在启动时覆写了相关设置。

SOCKS5 是应用与代理入口之间使用的一种协议，可以处理 TCP 连接；UDP 转发还需要应用与代理实现共同支持。应用使用本地 SOCKS 入口时，地址通常填写回环地址，端口以客户端实际监听设置为准。

是否把域名交给代理解析取决于应用的连接方式；只选 SOCKS5 而未启用远程解析，仍可能先在本地发起 DNS 查询。

HTTP 代理接收应用发出的代理请求，访问 HTTPS 目标时通常通过 CONNECT 方法建立隧道。浏览器、命令行工具与开发环境经常支持这种入口，但未必自动读取系统代理设置。

界面中的 HTTPS 代理字段有时指访问 HTTPS 网站所用的代理，并不一定表示到代理入口的连接使用 TLS，应按应用说明填写协议和端口。

Shadowsocks 使用约定的加密方式和密钥传输代理流量，Clash 配置中通常以 type: ss 表示。服务器地址、端口、加密方法与密码需要对应服务端设置，不能只凭协议名称补齐参数。

不同内核支持的加密方法可能不同，遇到配置拒绝加载时先查支持范围；协议类型本身也不能说明节点速度或当前网络下的可用性。

Trojan 通常在 TLS 连接上完成认证并传输代理请求，配置时除了地址、端口与密码，还可能涉及服务器名称和传输设置。服务器名称参与 TLS 连接过程，应与服务端证书及部署要求对应。

连接失败时检查系统时间、证书、名称与端口是否正确；直接关闭证书验证会跳过服务端身份检查，不应作为常规修复步骤。

规则分流按域名、目标地址等条件，把连接交给直连、拒绝或指定策略组。Rule 模式下规则通常自上而下匹配，先命中的规则决定出口，因此具体条件应放在 MATCH 这类兜底规则之前。

例如 DOMAIN-SUFFIX,github.com,PROXY 会把匹配域名交给名为 PROXY 的出口；该名称必须在配置中存在，具体操作见规则分流指南。

策略组为规则提供可选择的出口集合，成员可以是节点、其他策略组，或配置允许的内置出口。常见类型包括手动选择的 select、按测试结果选择的 url-test，以及按顺序寻找可用出口的 fallback。

修改某一组不代表所有连接都切换；需要先确认目标连接命中了哪条规则、进入哪个组，再检查该组最终指向的节点。

GeoIP 使用地址数据库判断目标 IP 所属地区，常见用法是 GEOIP,CN,DIRECT。它匹配的是地址信息，不是网页内容或域名的注册地，CDN 调度和数据库更新滞后都可能影响结果。

更新 GeoIP 不等于更新订阅，也不等于更新域名规则集；出现异常匹配时先核对实际目标地址，再查GeoIP 更新设置。

规则提供者把规则集合放在独立资源中，主配置通过 RULE-SET 引用，适合分别维护广告域名、应用域名或地址段。配置时要核对资源格式、behavior 与刷新周期，避免把域名列表按其他类型读取。

规则资源自身通常不决定出口，出口由引用它的规则指定；下载成功后仍要确认引用顺序，否则前面的宽泛规则可能已经先行匹配。

DNS 把域名解析为地址等记录，系统、浏览器、应用和代理内核都可能参与这一过程。配置内核的 dns 段，只规定内核收到查询后的处理方式，并不代表设备上的所有查询都自动进入内核。

排查解析异常时要检查系统解析器、应用自带的加密 DNS、TUN 的 DNS 接管与缓存；同时区分无法解析域名和已经解析但连接失败。

Fake-IP 为查询的域名分配内部映射地址，应用向该地址连接时，内核再恢复域名并选择出口。这个地址不是目标服务器的真实地址，因此不能仅凭解析结果判断目标位置，也不宜交给绕过内核的设备直接访问。

局域网服务或依赖真实地址的应用出现兼容问题时，可有针对性地检查 fake-ip-filter，并在调整后处理旧 DNS 缓存。

DNS 泄漏指查询偏离预期解析路径，使其他解析服务看到目标域名；它描述的是路径与预期不一致，而不只是解析器位于某个地区。规则配置也可能有意让部分域名走本地解析，这与意外绕过代理需要分别判断。

检查时结合检测结果、内核日志与应用 DNS 设置；使用加密 DNS 只能改变查询传输方式，不能自动证明查询经过了预期代理。

TUN 模式通过虚拟网络接口接收流量，可覆盖部分不遵循系统代理的应用，具体范围取决于路由、权限与排除设置。桌面客户端可能需要服务或管理员权限，移动平台通常通过系统 VPN 接口完成接管。

启用后仍需检查 DNS 路径，以及与其他 VPN、虚拟网卡或局域网路由的冲突；TUN 接管成功不等于所有连接都被规则指定为代理出口。

mihomo 是由 Clash Meta 演进而来的代理内核，负责协议连接、规则匹配、DNS 与流量转发。图形客户端可以集成内核并提供管理界面，也可以通过客户端支持的方式调整内核相关设置。

界面应用更新与内核更新不一定同步；使用某项配置前应确认实际运行的内核及其支持范围，而不是只看客户端名称或配置文件扩展名。

图形客户端提供订阅管理、策略选择、日志查看和系统集成界面，例如不同平台上的 Clash Plus、Clash Verge Rev 与 FlClash。客户端可能在启动时合并订阅、覆写与本地设置，所以运行时配置不一定等于原始订阅文件。

需要长期保留修改时，先查客户端的覆写或合并机制，避免订阅刷新后覆盖手工编辑；可在下载页按平台选择客户端。

系统代理向遵循系统代理设置的应用提供本地代理入口，常见填写方式是回环地址加客户端监听端口。它不是对全部网络流量的统一接管，部分游戏、终端工具或自带网络设置的应用可能忽略该入口。

客户端退出后若浏览器也无法访问，检查系统中是否仍保留失效的代理地址；清除入口可以恢复直接连接，但不会修复节点或订阅本身的问题。

mixed-port 为 HTTP 与 SOCKS 请求提供同一入口，external-controller 则提供管理 API，用于控制与查询内核。常见端口分别是 7890 与 9090，但客户端可以修改它们，填写前应查看实际配置。

应用的代理地址不能填成控制端口；本地使用时优先绑定回环地址，如需开放给其他设备，应同时检查认证与防火墙，操作见端口设置说明。