Clash 常见问题
订阅、代理与 TUN

客户端是负责导入配置、切换策略和管理连接的图形界面；mihomo 是执行代理协议与分流规则的内核；订阅是提供配置或节点信息的远程地址。安装客户端后，还需要导入可用配置并选中策略，才能按规则转发流量。本站提供安装与配置资料，不发放节点账户。排查问题时，先确认出错的是客户端启动、配置下载，还是节点连接，避免把三个环节混在一起。

日常先选规则模式，让内核按配置中的域名、IP 等条件决定流量去向。全局模式会把进入内核的连接交给全局策略组，但仍需在组内选择可用策略；它不会自动接管所有应用。直连模式让进入内核的连接直接访问目标。切换模式后重新发起请求，已有长连接可能继续沿用原路径。若只有某个网站异常，可短暂切到全局模式对照，再回规则模式查匹配结果。

系统代理把代理地址写入操作系统设置，主要影响遵守这些设置的应用。TUN 是虚拟网卡模式，可在网络层接管更多流量，但具体范围仍受路由、排除项和 DNS 配置影响，通常还需要辅助服务权限。浏览网页先用系统代理验证配置；终端、游戏或其他应用未跟随时，再考虑 TUN。首次排查不要同时叠加多个代理工具，否则难以判断实际出口与路由归属。

打开苹果菜单中的“关于本机”，查看“芯片”或“处理器”。显示 Apple M 系列芯片时选 Apple Silicon 或 arm64；显示 Intel 处理器时选 Intel 或 x64。Universal 包通常同时包含两种架构，仍应查看项目的系统要求。不要仅凭 Mac 的购买年份判断。安装后若提示应用不支持当前系统，继续核对 macOS 最低版本，换架构并不能解决系统版本过旧的问题。

是否可用取决于配置字段、代理协议与所用内核的兼容性，停更不等于所有旧配置立即失效。迁移前保存原配置和策略选择，优先在持续维护的客户端中重新导入订阅，再检查规则、DNS 与 TUN 设置。不要直接覆盖新客户端的全部数据目录。旧内核可能不识别新的协议或字段，出现配置解析错误时，应根据报错定位字段，并向订阅提供方索取兼容配置。

打开 DMG 后，先把应用拖到 Applications 文件夹，再从该文件夹启动，不要长期在磁盘映像里运行。确认安装包架构与系统要求匹配。若系统阻止打开，先核对下载来源，再到“系统设置 → 隐私与安全性”查看对应提示，按系统提供的入口处理。不要为启动单个应用关闭整机安全机制。若出现损坏或签名相关错误，重新下载，并对照该客户端的发布说明检查已知问题。

进入客户端的“配置”或“订阅”页面，选择从 URL 导入，粘贴完整订阅地址并保存。等待下载完成后，确认新配置已被选中，再进入代理页面选择策略，最后开启系统代理并访问一个已知可用的网站。本地 YAML 文件应使用文件导入入口，不要粘进 URL 输入框。订阅地址可能包含账户凭据，截图、提交日志或求助前应遮去完整地址中的敏感部分。

先看报错中的行号与字段名。返回内容可能是登录页、订阅过期提示、Base64 节点串，而不是客户端需要的 Clash YAML 配置。向提供方确认应使用哪一种订阅格式，不要只修改文件扩展名。若确实是 YAML，检查缩进是否使用空格、冒号后是否留空格，以及字段是否受当前内核支持。手动修改前另存副本；含私人节点信息的配置不要提交给不熟悉的在线转换服务。

先关闭 TUN，在客户端设置中找到辅助服务或服务模式的安装入口，按系统提示授权。安装完成后重启客户端，再开启 TUN，并查看内核日志是否出现虚拟网卡或路由创建失败。不同客户端的入口名称可能不同，以当前版本说明为准。若设备受企业管理，权限策略可能阻止安装，需要管理员确认。只在核对应用来源后授权，不要照搬来源不明的提权命令。

先确认客户端内核正在运行、配置已选中且当前策略可用。再到 macOS 当前网络服务的代理设置中，检查代理地址和端口是否与客户端显示一致，尤其注意切换 Wi-Fi 或有线网络后的设置。浏览器扩展、独立代理设置及其他代理软件可能覆盖系统设置，先暂停它们再试。最后查看连接记录：请求未出现时查接管路径；请求已出现时查匹配规则、策略选择与节点状态。

许多命令行工具不会读取 macOS 系统代理。先查看客户端实际监听的 HTTP 或混合端口，再按工具文档设置 HTTP_PROXY、HTTPS_PROXY 或 ALL_PROXY 等环境变量。HTTPS_PROXY 通常描述访问 HTTPS 目标时使用的代理，并不表示代理地址必须写成 https 协议。先在单个终端会话中测试，确认有效后再考虑写入 shell 配置；测试结束清除相关变量，避免客户端退出后命令仍指向本地端口。

先按订阅提供方建议设置，不必为了保持可用而频繁拉取。配置变化不多时，可从数小时到一天的间隔开始，并在需要时手动更新。不同客户端的时间单位和休眠后补更新行为可能不同，保存前查看界面说明。更新失败先保留当前可用配置，不要连续删除重建。订阅更新只负责获取配置，节点能否连接还取决于账户状态、网络路径以及节点服务本身。

打开客户端的连接页面，再访问目标网站，按域名或进程查找新连接，查看匹配规则、策略组与实际出口。必要时临时提高日志级别，复现一次后恢复，避免日志持续增长。规则通常按顺序匹配，宽泛规则放得过早可能遮住后面的精确规则。修改配置后重新加载，并重新建立请求；浏览器缓存、连接复用与加密 DNS 都可能让观察结果和预想不同。

先在连接记录里确认该网站实际经过了所选策略，而不是命中直连或另一个策略组。再关闭相关页面并重新连接，必要时仅关闭该网站对应的旧连接。网站也可能依据账户地区、Cookie、定位权限或历史记录判断位置，不能只凭页面语言判断出口是否改变。若要测试网络出口，应使用可信的 IP 查询服务，同时注意同一网站的不同域名可能匹配不同规则。

先确认当前网络能够直连访问基础服务，完成公共 Wi-Fi 的网页登录，再恢复代理。随后重新测试节点；仍异常时关闭再开启系统代理，使用 TUN 的设备则重新启动 TUN，并检查日志中的路由与 DNS 错误。网络切换后旧连接可能失效，重新打开受影响的应用即可验证。若问题每次出现，记录网络类型与发生步骤，分别在仅系统代理和仅 TUN 下测试，缩小触发条件。

先核对地址是否复制完整、账户是否到期，以及提供方是否更换了订阅入口。查看更新日志中的状态码：401 或 403 常与认证、访问策略有关，404 常与地址或资源变化有关，429 表示请求受到频率限制；具体仍以提供方说明为准。超时、域名解析失败则优先查网络与 DNS。若更新过程依赖当前已失效的代理，可按客户端支持的方式改用直连更新，或使用其他可用网络测试。

不一定。延迟测试往往请求指定的测试地址，测试地址不可达、DNS 异常或超时时间过短，都可能造成超时。先换一个节点对照，再用浏览器实际访问目标网站，并查看连接日志。若所有节点同时失败，检查账户状态、订阅更新、系统时间和本地网络；若只有单个节点失败，向提供方反馈。不要把延迟测试结果当作带宽测试，也不要仅凭一个数字判断全部服务可用性。

先关闭 TUN，确认基础网络恢复，再检查是否同时运行其他 VPN、虚拟网卡或代理工具，暂时只保留一个接管工具。查看日志中的路由冲突、DNS 监听失败与权限错误，按报错逐项处理。不要直接复制整套 DNS 配置覆盖现有配置。若退出客户端后仍异常，检查系统 VPN 与代理设置是否残留，必要时重新连接网络或重启设备；恢复后用最小配置重新启用 TUN 验证。

部分使用 AppContainer 隔离的 Windows 应用访问本机代理地址时，可能受到回环限制。先确认普通浏览器通过同一代理可以联网，再使用客户端提供的回环豁免工具，仅为受影响的应用设置豁免，按提示授予管理员权限。UWP 是通用 Windows 平台，回环问题并不覆盖所有商店应用。若豁免后仍失败，继续检查应用自身网络权限、防火墙及代理方式；撤销时也只移除对应应用的设置。

退出后断网时，先到系统网络设置中检查手动代理是否仍指向已经停止的本机端口，关闭残留设置后重试。若启动时提示端口被占用，先退出其他代理客户端，检查是否有旧内核进程仍在运行，再根据日志确认冲突端口。修改监听端口后，要同步检查系统代理、终端变量与浏览器设置。不要随机结束不认识的系统进程；仍无法定位时，保存日志并记录操作顺序再求助。