Clash 使用教程：
订阅、模式与连接验证

开始前：准备客户端与有效配置

Clash 生态中的图形客户端负责显示配置、策略组和连接记录，内核负责解析配置并处理流量。安装客户端后，还需要一份有效配置。订阅地址是用于获取配置的网络地址，不等于已经建立连接；打开客户端窗口，也不等于系统流量已经进入内核。本教程把这几个动作分开，便于在异常时找到具体停在哪一步。

尚未安装时，先到安装包页面选择对应系统与处理器架构的客户端。不确定界面差异时，可先看客户端选型指南。已有客户端则直接继续，无需为了跟随教程更换软件。准备好自己有权使用、来源可信的订阅地址，或一份可用的 YAML 配置文件；本站提供配置知识与客户端入口，不签发订阅，也不提供代理服务账号。

首次操作建议保留当前可用网络，暂时退出其他代理或 VPN 工具，避免两个程序同时修改系统代理、路由或 DNS。记下现有代理设置；如果设备由单位或学校管理，不要擅自覆盖其网络策略。以下步骤按顺序执行即可，初次验证不必同时开启 TUN、改写 DNS 和添加自定义规则。

一、导入订阅并激活配置

从订阅地址导入

打开客户端，进入“配置”或“订阅”页面，找到“新增”“导入”或“从 URL 导入”。将完整订阅地址粘贴到地址输入框，名称填写便于识别的文字即可。粘贴后先检查开头和末尾是否多出空格、换行或聊天软件附带的标点，再点击下载或保存。订阅地址往往含有访问凭据，不要把完整地址发到公开评论区，也不要在截图里露出查询参数。

提交后，客户端通常会显示正在下载，随后生成一张配置卡片或一条配置记录。此时先看结果提示：下载成功只表示取回了内容，还需要确认内容能够被当前内核解析。选择这份配置，点击“使用”“激活”或对应的选择按钮；若导入后已经自动激活，就确认它带有当前使用标记。接着进入“代理”页面，检查是否出现策略组和可选出口。这一步完成，才进入模式选择。

如果下载失败，先区分“地址访问失败”与“配置解析失败”。前者应检查网络、地址是否过期、服务方是否要求额外认证；后者应检查订阅格式是否为当前客户端支持的 Clash YAML，以及是否使用了不兼容的字段。能在浏览器打开一个网页，不代表该地址返回的是配置。登录页面、错误提示页或普通分享页即使能够下载，也不能直接作为配置使用。

从本地文件导入

已有配置文件时，选择“从文件导入”或客户端支持的文件拖入方式，选中对应的 .yaml 或 .yml 文件。手机端可能需要先把文件保存到系统文件应用，再通过分享菜单交给客户端。导入后同样要激活配置，并确认代理组出现。不要只改文件扩展名来转换格式；文件里面仍须是有效 YAML，且字段适配当前内核。

首次导入先保留配置原样，不急于修改端口、规则或 DNS。后续需要编辑时，优先使用客户端的覆写或合并功能，并保留原始副本，因为订阅更新可能替换远程配置。YAML 缩进、字段结构与合并行为可查阅config.yaml 配置参考。本步骤的完成标志是：当前配置已选中、加载没有报错、代理页面有可用的策略内容，而不是仅仅看到一个订阅名称。

二、选择代理模式与出口

配置激活后，回到客户端首页或设置页面，找到“模式”入口。首次使用选择“规则”，对应字段值为 rule。规则模式会按配置中的顺序匹配连接，决定交给某个策略组、直接连接或执行其他处理。因此，同一时间有的网站走代理、有的网站直连，是规则分流的正常结果，不能仅凭某一个网站的表现判断整个客户端是否工作。

模式选好后，进入“代理”或“策略组”页面。先找到配置里实际用于代理流量的组，再为它选择一个可用出口。组名由配置提供，未必叫“Proxy”或“节点选择”。如果组里包含其他策略组，可以继续查看下一级，直到确认最终出口。若当前选择是 DIRECT，该组会直连；切换到规则模式并不会自动把它改成代理出口。

有些配置提供自动选择、故障转移或负载均衡组，不需要逐个手动指定出口。这时应确认组内存在候选项，且健康检查没有全部失败。客户端中的连接测试可用于辅助筛选，但测试通过只说明测试目标可达，不代表所有网站和应用都能正常使用。选择后先保持当前出口不变，继续完成连接，避免一边测试一边频繁切换而失去对照。

还要区分“全局模式”与“接管所有应用”。模式只决定已经进入内核的流量怎样处理，并不负责让原本绕过代理的程序进入内核。因此，切到 global 不能代替系统代理或 TUN。规则匹配顺序、策略名称引用以及 MATCH 兜底规则的细节，放在规则语法参考中查阅；首次连接先使用订阅原有规则即可。

三、开启连接并完成系统授权

桌面端：先用系统代理验证

在桌面客户端首页确认内核已经启动。如果界面有独立的启动按钮，先启动，再打开“系统代理”开关。常见状态提示包括“运行中”“已连接”或系统代理开关处于开启状态，具体以客户端为准。这里的“系统代理”是把操作系统的代理设置指向客户端本地监听入口，让遵循该设置的应用把请求交给内核处理。

首次验证建议只开启系统代理，暂时保持 TUN 关闭。打开浏览器的新标签页，访问一个普通网页，随后按下一节的方法查看连接记录。若系统要求允许客户端访问网络，应结合当前网络环境确认授权；如果端口被占用或内核启动失败，先处理错误，不要不断重复切换系统代理开关。端口值以当前客户端配置为准，不必照搬其他教程里的固定数字。

浏览器通常能够使用系统代理，但命令行工具、游戏或带独立代理设置的应用可能不会跟随。遇到只有某个程序未生效时，先检查该程序是否有自己的代理选项，而不是马上判断订阅失效。命令行环境中的代理变量也可能与系统设置不同。本教程先验证浏览器路径，确认配置与出口可用后，再按需要扩展到其他程序。

Android 与 iOS：允许建立 VPN 连接

在手机客户端选好配置和模式后，点击首页的连接按钮。Android 通常会弹出系统 VPN 连接请求，iOS 可能提示添加 VPN 配置并要求系统身份验证。核对发起应用后允许授权，再返回客户端查看连接状态。不同系统版本的提示文字会变化；关键是完成系统授权，而不是只停留在客户端按钮已点击的界面。

手机状态栏出现 VPN 标识，说明系统层连接已建立，但不证明远端出口、DNS 和规则全部正常，仍需执行下一节验证。如果已有其他 VPN 正在运行，先明确保留哪个连接，再进行切换。Android 在锁屏后经常断连时，可检查后台运行和电池限制；这些设置通常不是首次连接的必要步骤，只有实际出现后台中断时再调整，避免无目的地修改大量系统选项。

需要接管更多程序时再启用 TUN

TUN 通过虚拟网络接口和路由设置接管流量，适用于部分不遵循系统代理的程序。它与 rule 模式可以同时使用：前者解决流量怎样进入内核，后者解决进入后怎样分流。只有浏览器路径已经验证可用、确实存在额外接管需求时，再单独开启 TUN，并按客户端提示安装服务或授予所需权限。

如果开启 TUN 后反而无法访问，先关闭 TUN 回到刚才可用的状态，确认问题是否由新增的接管方式引起。不要同时修改路由、DNS 和策略组。auto-route、stack 和 DNS 接管涉及平台及内核差异，完整参数说明见配置参考。本步骤完成后，应有明确的流量入口，接下来检查实际请求是否沿预期路径处理。

四、验证规则命中与实际出口

用新请求观察连接记录

保持当前配置、模式与出口不变，在客户端打开“连接”或“Connections”页面，再用浏览器新建标签页访问一个你有权访问的测试网站。优先观察新建连接，因为已经建立的长连接可能继续沿用旧策略。客户端列表通常能显示目标域名或地址、命中的规则、策略链和实际出口；短请求结束后可能很快消失，可结合日志查看。

先核对目标是否对应刚才访问的网站，再看策略链最终是代理出口还是 DIRECT。如果命中了直连规则，即使开启系统代理，最终公网出口也可能与关闭时相同，这是分流结果，不是连接开关失效。若预期走代理，却完全看不到相关连接，应优先检查应用是否遵循系统代理、当前配置是否激活，以及是否有其他工具覆盖了代理设置。

有记录但访问失败，则把排查范围缩小到该连接：看日志是解析失败、连接超时，还是远端拒绝。尝试同一策略组中的另一个可用出口后，再产生一次新请求。一次只改变一个条件，并记录改变前后的结果。不要把所有异常都归为“网络不通”，也不要一开始就重装客户端；保留错误时间和目标域名，通常更容易定位。

公网地址对照只能作为辅助

需要进一步确认时，可使用可信的公网地址查询页面，在相同网络条件下对比直连路径与代理路径。对照前确认查询站点确实命中了预期策略；如果它被规则安排为直连，地址不变并不能说明其他流量没有走代理。查询结果还可能分别展示 IPv4 与 IPv6，应对比同一种地址类型，并结合客户端记录解释结果。

同样，页面能够打开不代表整台设备的所有应用都已接管。较完整的首次验证应同时满足：内核运行、当前配置有效、目标请求出现在连接记录中、命中策略符合预期、网页能够完成加载。某个应用仍有问题时，回到它自身的代理和网络设置检查，而不是把已经验证可用的配置全部推倒重来。

结束测试与恢复原网络

桌面端停止使用时，先关闭客户端中的系统代理；如果启用了 TUN，也将它关闭，再退出程序。直接强制结束进程可能留下指向本地端口的系统代理设置，此时浏览器会因找不到监听服务而无法访问。遇到这种情况，进入操作系统网络设置，检查手动代理是否仍然开启，并恢复开始前记录的状态。

手机端在客户端点击断开，并确认系统 VPN 状态已经结束。使用自动连接、始终开启 VPN 或阻止非 VPN 连接等系统选项的用户，还应检查这些选项是否符合当前需求。后续重新使用时，通常只需确认配置仍有效、出口可用，再开启连接，不必重新导入同一订阅。

需要分享问题时，提供操作系统、客户端名称、发生异常的步骤，以及经过脱敏的错误片段即可。隐藏完整订阅地址、认证信息和私人访问记录。涉及字段修改时，转到config.yaml 配置参考按章节查阅；需要重新跟随操作时，可从导入订阅开始，逐步确认，不要一次重置所有设置。