Clash 全平台
安装配置大全

通用准备：确认平台、配置与接管方式

先区分客户端、内核和订阅

客户端提供配置列表、代理开关和日志界面；内核负责解析配置、匹配规则与建立连接；订阅则是服务提供方交付配置或节点信息的入口。安装客户端不会自动获得可用节点。开始前，准备一份有使用权限的订阅地址或本地配置，并确认它适用于所选客户端。不要把账户登录页面、付款页面或浏览器地址栏里的控制台地址当成订阅链接。

mihomo 是代理内核，不等于某一个图形客户端。使用它的客户端仍可能有不同的配置合并逻辑、权限管理和更新方式。本页在 Windows、macOS、Android 和 iOS 上首推 Clash Plus；Linux 桌面优先查看 Clash Verge Rev。先按平台选工具，再检查配置格式，避免因为产品名称相近而把不同格式直接混用。

确认系统与处理器架构

在 Windows 的“设置 → 系统 → 系统信息”查看系统类型；在 Mac 的“关于本机”查看芯片或处理器；Android 可查看设备信息，并结合下载页的架构说明选择安装包。Linux 执行 uname -m 查看架构，常见的 x86_64 对应 AMD64，aarch64 对应 ARM64。架构不匹配时，程序可能无法启动，不能靠反复重装配置解决。

再核对安装包的最低系统要求、可用磁盘空间和账户权限。图形客户端、辅助服务与内核可能各有兼容范围，下载页和项目说明优先于通用经验。若设备由单位管理，先确认是否允许修改代理、安装服务或创建虚拟网卡。不要为绕过管理策略删除系统描述文件，也不要停用来源不明的安全组件。

识别订阅与本地 YAML

URL 订阅是客户端定期请求的地址；YAML 是常见的结构化配置文本，用缩进表达字段层级；Base64 则是一种文本编码方式，本身不代表完整的 Clash 配置。某些地址返回完整 YAML，另一些只返回节点串。导入报错时先看格式，而不是立刻更换内核。详细区别可查阅订阅链接与导入格式说明。

订阅地址通常含有访问凭据，应按密码管理。复制时保留完整查询参数，不增加引号、空格或换行。需要求助时，隐去域名之外的敏感路径和参数，截图也要检查二维码、节点密码与控制接口信息。不要把真实地址粘贴到陌生转换网页；确需转换时，先了解服务端会接触哪些配置内容。

先用系统代理，再评估 TUN

系统代理让遵守操作系统代理设置的应用把请求交给本地监听端口，适合先验证浏览器访问。TUN 是虚拟网络接口，可在网络层接管更多符合路由条件的流量，但仍受绕过规则、应用范围和防火墙影响，并不意味着任何流量都会自动代理。它通常需要额外权限，也更容易与其他 VPN 或虚拟网卡发生路由冲突。

准备阶段先退出其他代理工具，记录原来的代理和 DNS 设置，再建立最小可用连接。不要同时改规则、节点、DNS 和接管方式，否则出现问题很难判断原因。以下片段只说明本地监听边界，需要合入已有可用配置，不包含远程节点，也不能单独提供代理连接。

mixed-port: 7890
allow-lan: false
bind-address: "127.0.0.1"
mode: rule
log-level: info

Windows：安装客户端与检查本地代理

下载后完成首次启动

打开Windows 安装包列表，优先选择 Clash Plus。其他选项依次为 Clash Verge Rev、FlClash、Clash Nyanpasu，以及已停止维护的 Clash for Windows。新环境不建议先选归档客户端，因为旧界面、内核能力和新配置字段可能不一致。需要迁移时保留原配置副本，不要先删除仍可工作的环境。

按系统类型选择安装包，在本地磁盘完成安装，再从开始菜单启动。若系统提示安全风险，先确认下载入口、发布者信息和包的来源，不要直接关闭整套防护。首次运行先保持普通权限；只有安装辅助服务、调整虚拟网卡等操作明确需要时，才通过系统授权窗口提升权限。公司设备出现阻止提示时，应先咨询设备管理员。

导入订阅并确认已被选中

进入客户端的“配置”或“订阅”页，选择从 URL 导入，粘贴完整地址并保存。看到导入成功后，检查配置列表是否新增条目，再将它设为当前配置。列表里存在订阅不代表内核正在使用它；部分客户端允许同时保存多份配置，但只有当前选中的内容会参与启动。随后打开代理组页面，确认能看到该配置定义的组名。

若导入本地 YAML，使用文件导入功能，并保留原文件作为备份。不要把文件改成文本编辑器附加的双扩展名，也不要用制表符替代空格缩进。订阅更新后手动修改的内容可能被覆盖，长期需要的本地规则应放在客户端支持的覆写或合并区域。每次更新先看错误日志，再决定是否恢复旧配置。

开启系统代理并分层验证

确认内核已运行，再开启客户端的系统代理。打开 Windows“设置 → 网络和 Internet → 代理”，核对客户端写入的本地地址与端口。端口以客户端当前显示为准，不能因为教程用了 7890 就照抄。若端口被其他程序占用，可退出冲突程序或更换监听端口，同时同步修改所有手动设置过代理的应用。

先访问一个平时能直连的网站，再访问需要代理的目标，同时观察客户端连接记录。前者用于判断基本网络是否正常，后者用于检查规则和代理出口。浏览器能够访问不代表 PowerShell、软件商店或其他应用也已接管。终端可用下面的单次请求测试本地 HTTP 代理，端口需与当前配置一致；测试不修改全局环境变量。

curl.exe --proxy http://127.0.0.1:7890 --head https://example.com

TUN、UWP 与防火墙边界

确有应用不遵守系统代理时，再评估 TUN。按客户端提示安装或启动辅助服务，完成系统授权后开启虚拟网卡接管。测试期间先关闭其他 VPN，检查路由是否被重复接管；远程办公隧道、虚拟机网卡和游戏加速工具都可能改变路由。开启后如果整个网络异常，先关 TUN 回到已验证的系统代理路径，而不是继续堆叠 DNS 改动。

部分 UWP 应用在访问本机代理时受到回环隔离限制。先确认问题是否只出现在特定应用，再查看客户端是否提供回环管理入口，按实际应用授予例外。不要直接对所有应用放开隔离。防火墙询问网络访问时，也要区分本机连接和局域网共享：仅供本机使用通常不需要把代理端口开放给同一 Wi-Fi 下的设备。

处理休眠、退出与客户端迁移

休眠唤醒或切换网络后连接失败，先检查内核是否仍在运行，再关闭并重新开启系统代理。某些环境会由管理策略或其他软件重新写入代理设置，表现为开关打开但系统地址已经变化。日志若显示监听失败，应检查端口冲突；若能建立连接但目标超时，再检查节点和规则，避免把所有问题都归到 Windows 权限。

正常退出前先关闭系统代理和 TUN。若程序异常结束后浏览器断网，回到系统代理设置，清除该客户端留下的手动代理值，再测试直连。迁移到新客户端时先关闭旧客户端的接管与自启，仅导入必要配置，验证后再卸载旧程序。不要让两个客户端在登录后争抢相同端口和系统代理开关。

macOS：拖入 Applications 后完成接管

按芯片选择并安装应用

打开“苹果菜单 → 关于本机”。显示 Apple 芯片时选择 Apple Silicon 或 ARM64 安装包；显示 Intel 处理器时选择 Intel 或 x64 安装包。前往macOS 下载分区，优先安装 Clash Plus，也可选择 Clash Verge Rev、FlClash。ClashX Meta 已停止维护，保留归档用途，使用前应确认配置兼容性和系统支持范围。

打开 DMG 磁盘映像，将应用图标拖到 Applications 文件夹，等待复制结束，再从“应用程序”目录启动。不要长期从磁盘映像里运行应用，否则更新、权限记录和路径识别可能出现问题。复制完成后可以推出磁盘映像。替换已有应用时先退出旧进程，保留配置备份，再按系统提示完成替换。

首次启动若出现安全提示，先确认下载来源和提示内容。只有确认应用可信后，才使用系统设置中提供的允许打开入口；不要照搬删除隔离属性、停用系统保护的终端命令。辅助服务的授权与应用首次打开是两件事，后续安装服务时再次出现管理员验证属于独立操作，应逐次核对授权对象。

导入订阅与选择代理组

在配置页选择 URL 导入或本地文件导入，保存后将条目设为当前配置。等待内核加载成功，再进入代理组选择节点。规则模式会按照配置中的匹配条件决定直连或代理；全局模式通常把未绕过的流量交给全局策略组，不能替代系统接管。切换到全局模式仍未出现连接记录时，应先检查应用流量有没有进入客户端。

不要只看节点测试结果。测试目标、协议和真实应用请求可能不同，单个测试成功并不能证明所有站点都可访问。先固定一个可用节点，以同一个目标重复测试，再逐步恢复自动选择。订阅更新失败但旧节点仍可使用时，保留当前配置，单独排查订阅获取路径，不必立即清空所有节点和策略选择。

核对系统代理与网络服务

开启客户端系统代理后，在“系统设置 → 网络”选择正在使用的网络服务，进入详细信息中的代理设置检查结果。不同 macOS 版本入口名称略有差异，应确认实际连接的是 Wi-Fi、以太网还是其他服务。切换网络接口后，如果客户端没有同步写入设置，重新切换系统代理并检查当前接口，而不是只看菜单栏开关。

浏览器一般可用于验证系统代理，终端工具则可能需要单独传入代理参数。下面命令只影响本次请求，适合判断监听端口能否使用。若返回连接被拒绝，检查内核与端口；若能连接本地代理但远端超时，检查代理组、节点和目标规则。使用 SOCKS 时还要区分域名由本地解析还是交给代理解析。

curl --proxy http://127.0.0.1:7890 --head https://example.com
curl --proxy socks5h://127.0.0.1:7890 --head https://example.com

安装辅助服务与启用 TUN

TUN 通常涉及虚拟接口、路由和 DNS 设置，需要客户端提供相应能力。按界面提示安装辅助服务，读取系统授权说明，再开启 TUN。部分客户端的普通系统代理也可能依赖辅助组件，不能把“安装服务”等同于“已开启 TUN”。完成后检查当前状态与日志，确认服务可用、配置加载成功，而不只是授权窗口已经关闭。

若开启后本地设备、企业内网或远程连接不可达，先停用 TUN 恢复访问，再检查私有网段绕过和路由策略。不要直接删除系统路由表，也不要在远程管理会话中首次试验全量接管。两种方式的适用范围可继续阅读macOS 系统代理与 TUN 原理对比，再决定是否长期启用。

处理更新、迁移与残留设置

应用更新后权限异常，先完整退出再启动，检查辅助服务是否需要按客户端提示更新。Apple 芯片设备若能运行旧架构程序，也不代表应长期保留该安装包；原生包可减少兼容层依赖，但具体功能仍取决于客户端实现。迁移时分别备份订阅来源、本地覆写和必要设置，不要直接复制不明用途的整个缓存目录。

卸载前关闭系统代理和 TUN，再使用客户端提供的服务卸载功能。只把应用拖进废纸篓，不一定会恢复系统代理或移除独立服务。若卸载后无法联网，先在当前网络服务的代理页检查残留地址，恢复原设置后测试直连。需要进一步定位时，记录出错操作和日志时间点，再到常见问题查找相应症状。

Android：授权 VPN 与管理后台运行

选安装包并保留原配置

前往Android 下载分区，优先选择 Clash Plus，其他选项依次为 Clash Meta for Android、FlClash 和 Surfboard。不同客户端接受的配置内容并不完全相同，尤其不能仅凭都支持代理就假定完整 YAML 可以互换。先看订阅提供方支持的客户端和格式，再按设备架构选择安装包，无法确定时参考设备厂商的系统信息。

安装 APK 时，Android 可能要求为浏览器或文件管理器授权安装未知应用。只为本次使用的来源授予必要权限，完成后可关闭该权限。安装提示冲突时，先检查是否已有同包名应用以及签名是否不同，不要立即卸载，因为卸载可能同时删除本地配置。跨来源迁移前应先导出可恢复的信息，并确认订阅仍可重新获取。

导入后检查配置与启动状态

打开客户端配置页，从剪贴板、URL 或本地文件导入。保存后检查更新结果，再将该配置设为当前使用项。若通过系统分享菜单导入，返回客户端确认新条目确实存在，不要把“分享完成”当成“内核加载成功”。遇到解析错误，查看日志中的字段或行号；同一地址在浏览器能打开，也可能返回登录页而不是配置正文。

首次连接前固定一个代理组选择，保留规则模式，以便后续对比。若客户端提供按应用代理，先确认使用的是“仅选中应用”还是“绕过选中应用”，两者含义相反。启用后只有部分应用进入代理，通常与范围选择有关；此时先检查连接记录，不要直接把现象判断为节点失效。

理解系统 VPN 授权

多数 Android 代理客户端通过系统 VPN 服务接管本机流量，首次启动会出现系统授权对话框。确认正在授权的应用后允许连接，再查看状态栏或系统 VPN 页面。这里的 VPN 表示系统提供的接管通道，不代表远程服务一定使用某种传统 VPN 协议。客户端内部的代理协议、DNS 与规则仍由实际配置决定。

一般情况下，同一用户空间不能同时由两个普通 VPN 应用接管流量。广告过滤、企业接入和其他网络工具也可能占用该通道。出现启动后立即断开时，先停止其他 VPN，再测试当前客户端。不要反复切换多个应用抢占连接；如果设备设置了始终开启 VPN 或断开时阻止连接，还要检查这些选项指向的是哪个应用。

处理后台限制与网络切换

锁屏后断开，先查看电池优化、后台活动和厂商自启动管理。按设备系统提供的入口允许客户端必要的后台运行，并保留系统要求的常驻通知。设置名称因厂商而异，不需要一次关闭所有省电策略。先验证锁屏几分钟后的状态，再验证较长待机，区分进程被清理、网络休眠与远端连接超时。

从 Wi-Fi 切到移动网络时，原有连接可能需要重建。先等待网络可用，再观察内核日志是否出现重新连接；若始终失败，停止并重新启动客户端连接。移动网络下还要检查系统是否限制该应用使用数据，以及订阅更新是否被设为仅在 Wi-Fi 执行。流量统计属于系统或服务提供方的计费范围，客户端连接状态不能替代套餐余量查询。

检查私人 DNS、局域网与退出恢复

Android 的私人 DNS、应用内加密 DNS 与客户端的 DNS 接管可能形成不同解析路径。出现域名打不开而本地监听正常时，先记下私人 DNS 原值，再按客户端说明做单变量测试。不要简单认为关闭加密 DNS 就能解决所有问题；应检查失败目标、解析错误和匹配规则，并在验证后恢复需要的设置。

打印机、投屏和家庭设备发现依赖局域网访问。代理启用后发现不了设备，检查是否绕过了相应私有地址，以及客户端是否支持所需的本地流量行为。修改路由前先关闭连接对比，确认问题确实由接管引起。若停止客户端后仍不能联网，查看系统是否启用了 VPN 断开阻断，再恢复正常网络设置。

日常更新先在客户端刷新订阅，再判断是否需要更新应用。导出日志前移除订阅地址、密码和目标站点中的私人信息。若某个应用始终直连，检查应用代理范围和已有长连接，必要时在保存工作后重启该应用，再查看新的连接记录。

iOS：安装 Clash Plus 与建立系统连接

从商店安装并确认应用信息

iPhone 和 iPad 优先使用 Clash Plus。打开Clash Plus 的 App Store 页面，按商店显示的信息完成安装；产品官网为 clashplus.io。也可从本站iOS 下载分区进入同一商店页面。系统要求和当前可用功能以商店与应用说明为准，不要按其他平台的截图判断手机端菜单。

安装前确认设备有足够空间，并能正常访问商店。受组织管理的设备可能限制 VPN 配置或应用安装，遇到限制时先检查管理要求。不要删除单位提供的配置描述文件来强行连接。安装完成后先打开应用了解配置入口和连接开关，暂时不要叠加其他网络工具，以免首次验证就混入多个变量。

按应用支持的格式导入订阅

在应用中查找订阅或配置导入入口，粘贴服务提供方给出的适配地址，再执行获取或更新。若通过二维码导入，先确认二维码来自可信来源，并避免在旁人可见的屏幕上展示包含凭据的内容。地址中的查询参数不可遗漏，聊天软件自动加上的句号、空格和换行也可能让请求失败。

导入后先看配置是否出现可选策略或节点，再查看是否有明确的解析错误。不要假定桌面端可用的每个 YAML 字段都能在手机端保持相同含义；应用可能使用自己的导入与转换逻辑。遇到不支持的字段，应优先取得适配配置或查看应用文档，而不是随意删除 DNS、规则和策略组，留下表面能加载却行为变化的配置。

若应用提供配置选择，确认当前启用的是刚导入的条目。多份订阅并存时，名称应能区分用途，避免把过期配置误设为当前项。更新失败时保留原条目，查看失败原因和服务账户状态。已有节点可以连接而订阅不能更新，属于配置获取路径问题，不应通过反复删除系统 VPN 配置来处理。

允许系统添加 VPN 配置

首次启动连接时，iOS 可能要求允许应用添加 VPN 配置，并通过系统认证确认。核对应用名称后完成授权，再返回应用查看状态。系统 VPN 标识代表网络扩展正在运行，不代表某个远端节点已经成功建立全部连接。接下来仍需通过目标访问、应用记录或错误信息判断实际结果，不能只凭一个开关就认定配置完成。

手机端通常使用系统网络扩展接管流量，不应照搬桌面上的本地系统代理设置步骤。也不要为了“保险”同时给 Wi-Fi 配置手动代理：切换到移动网络后该设置未必适用，还可能形成双重代理。保留单一接管路径，先确认 Wi-Fi 下可用，再测试移动网络；若需要专门的局域网代理，应按独立场景配置。

分别验证 Wi-Fi、移动网络和本地访问

先在稳定 Wi-Fi 下连接，打开一个平时可直连的页面，再打开需要代理的目标。若前者正常而后者失败，检查策略组、节点和匹配规则；如果二者都失败，先断开客户端确认基础网络，再回到配置和接管层排查。测试时固定目标和节点，避免连续更换多个设置后无法重现结果。

随后切换移动网络，确认应用获准使用蜂窝数据，并观察连接是否重新建立。网络切换会让部分已有会话中断，重新打开页面比只看旧页面是否还在更有意义。遇到酒店、校园等需要网页认证的 Wi-Fi，应先暂停代理完成网络登录，再启动连接。认证网页未完成时，节点和 DNS 报错可能只是上游网络尚未放行。

访问打印机、路由器管理页或其他本地设备时，检查客户端是否需要本地网络权限，以及规则是否保留相应直连路径。系统的隐私网络功能、其他 VPN 和管理策略也可能影响访问，应逐项暂停测试，而不是长期关闭全部隐私设置。每次测试记录原值，确认原因后只调整必要项目。

管理自动连接与配置恢复

若应用支持按需连接或自动恢复，先在手动连接稳定后启用，再分别测试锁屏、唤醒和切换网络。前台应用被系统回收与网络扩展停止并非同一件事，判断时应结合系统 VPN 页面和实际访问结果。不要照搬 Android 的后台白名单步骤，iOS 的权限与生命周期机制不同，应用能提供的选项也不一样。

停止使用时先在应用内断开；需要移除 VPN 配置时，再到系统设置的 VPN 管理入口操作。移除系统配置不等于取消订阅服务，也不保证应用中的订阅数据同步删除，应分别检查。重新安装前备份可恢复的配置来源，并确认仍能登录服务账户。求助时说明设备系统、网络类型和失败步骤即可，不要公开完整订阅二维码。

Linux：桌面安装与 systemd 内核运行

在图形客户端与独立内核之间选择

桌面用户先看Linux 下载分区，推荐 Clash Verge Rev，另可选择 FlClash。按发行版选择 DEB 或 RPM，并确认包的架构与系统一致。不要把桌面客户端装到没有图形会话的服务器上期待出现托盘窗口。服务器、路由器和需要脚本管理的环境，可选择 mihomo 独立内核，但需要自行维护配置、权限与服务生命周期。

安装桌面包时，使用发行版包管理器处理依赖；遇到缺少运行库，先阅读包管理器输出，不要随机下载共享库覆盖系统目录。启动后检查托盘、配置存储和系统代理功能是否与当前桌面环境兼容。GNOME、KDE 及其他环境的代理入口不同，而且命令行程序不一定读取桌面代理，因此图形开关不能代表所有进程。

导入配置并测试监听端口

图形客户端按配置页导入订阅，选中后再开启系统代理。独立内核则需要准备完整的 YAML，包含实际可用的代理和规则。下面命令假设已将匹配架构的二进制安装为 /usr/local/bin/mihomo，并把可用配置保存到指定路径；命令只检查配置，不会替你获取节点，也不会安装系统服务。

/usr/local/bin/mihomo -t -f /etc/mihomo/config.yaml

检查成功后，先以前台方式运行，观察是否能读取配置、规则文件和必要数据库，再从另一个终端发起代理请求。工作目录必须具有所需的读写权限；涉及相对路径的配置，应同时确认数据目录。不要直接在生产服务器上首次开启全局路由接管，尤其不要在唯一的 SSH 会话里试验可能改写默认路由的配置。

/usr/local/bin/mihomo -d /var/lib/mihomo -f /etc/mihomo/config.yaml
# 在另一个终端执行；端口以实际配置为准
curl --proxy http://127.0.0.1:7890 --head https://example.com

用普通账户建立 systemd 服务

需要常驻运行时，先创建专用服务账户和数据目录，再把已验证配置放入配置目录。下面示例面向常规 HTTP、SOCKS 监听，不授予 TUN 所需的网络管理能力。命令以采用 systemd 的常见发行版为例，需由管理员执行；若账户或目录已经存在，应核对现状，不要重复覆盖已有配置与权限。

sudo useradd --system --home-dir /var/lib/mihomo --shell /usr/sbin/nologin mihomo
sudo install -d -o mihomo -g mihomo -m 750 /var/lib/mihomo
sudo install -d -o root -g mihomo -m 750 /etc/mihomo
sudo chown root:mihomo /etc/mihomo/config.yaml
sudo chmod 640 /etc/mihomo/config.yaml

将以下内容保存为 /etc/systemd/system/mihomo.service。它要求配置和二进制已经就位。配置中的其他本地文件也要允许服务账户读取，数据目录则应允许写入。相比让整个内核长期以管理员身份运行，先从普通账户的本地代理服务开始，更容易分清文件权限与网络权限问题。

[Unit]
Description=Mihomo local proxy
Wants=network-online.target
After=network-online.target

[Service]
Type=simple
User=mihomo
Group=mihomo
WorkingDirectory=/var/lib/mihomo
ExecStart=/usr/local/bin/mihomo -d /var/lib/mihomo -f /etc/mihomo/config.yaml
Restart=on-failure
RestartSec=5
NoNewPrivileges=true
UMask=0077

[Install]
WantedBy=multi-user.target

查看日志后再启用开机启动

先重新加载服务定义并启动，查看状态和日志；确认监听、代理请求与配置加载都正常后，再启用开机启动。前台测试进程需要先停止，否则可能与服务争抢端口。若服务退出，日志中的首个明确错误通常比最后一条重启提示更有价值，应优先检查配置路径、权限、端口占用和缺失文件。

sudo systemctl daemon-reload
sudo systemctl start mihomo
systemctl status mihomo --no-pager
journalctl -u mihomo -b -n 80 --no-pager
sudo systemctl enable mihomo

网络在线目标只是启动顺序约定，不保证订阅站点或远程节点当时可达。更新配置前先保存旧文件并执行配置检查，检查通过后再重启服务。若新配置无法使用，恢复旧文件并重新启动，不要一边反复修改一边让服务持续重启。更完整的路线可参阅Linux 桌面与 systemd 部署笔记。

处理 TUN 权限与服务暴露

Linux TUN 还涉及设备节点、网络管理能力、路由和 DNS。上面的普通账户服务并未配置这些能力，不能只把 tun.enable 改为开启就认为部署完成。应结合发行版、内核环境和 mihomo 文档制定最小权限方案；容器内还需要考虑宿主机授权。远程环境先准备控制台或其他恢复通道，再进行接管测试。

仅本机使用时，把代理和控制接口绑定到回环地址，不要为了让面板连接就把监听改到所有网卡。确需局域网共享时，限定来源网段、配置认证并设置防火墙；控制接口应单独保护。停止独立内核不会自动清除手动添加的代理环境变量和路由，退出时需要按原设置恢复，并通过直连请求确认网络状态。

配置与排错：按失败层级逐项检查

先给故障划定范围

先记录平台、客户端名称、接管方式和出错时间，再判断问题出在哪一层：基础网络、订阅获取、配置解析、内核启动、流量接管、规则选择或远端连接。关闭客户端后连普通网站也打不开，应先恢复网络登录、网关或系统代理，而不是换节点。只有订阅更新失败、旧配置仍可用时，优先调查订阅地址和服务账户状态。

每次只改一个变量，使用同一网络、同一目标和同一节点复测。保留最近一次可用配置，把改动和结果记在本地笔记中。日志时间与系统时间也要一致，否则容易把旧错误当成当前原因。需要暂时提高日志详细程度时，在排查结束后恢复常用级别，避免长期产生大量含访问目标的记录。

订阅失败与 YAML 解析错误分开处理

更新失败先检查地址是否完整、凭据是否过期，以及服务提供方是否要求特定订阅格式。请求返回登录网页、访问限制页面或节点串，都可能导致客户端报告解析失败。不要仅凭浏览器能显示内容就认定格式正确。部分客户端支持为订阅更新单独指定直连或代理路径，应在确认现有代理可用后再测试，避免用失效配置更新自身。

明确出现 YAML 行号错误时，检查该行及其前后层级的缩进、冒号和引号。一个字段出错可能让解析器在下一行才报错。不要把代码示例里的片段直接追加到完整配置末尾，造成重复的顶层键。下面是规则结构示例，PROXY 必须对应完整配置里实际存在的代理或策略组，不能只复制名字而不定义目标。

rules:
  - DOMAIN-SUFFIX,apple.com,DIRECT
  - DOMAIN-SUFFIX,example.com,PROXY
  - MATCH,PROXY

规则通常按顺序匹配，命中后便使用相应策略，因此更具体的条件应放在兜底规则之前。检查本地覆写是否改变顺序，以及订阅更新是否覆盖手工修改。配置能被解析只表示结构可读，不代表所有节点可用，也不代表规则语义符合预期。

连接记录决定下一步查什么

应用请求发生后完全没有记录，先检查系统代理、TUN 或应用自身代理设置；出现记录却走错出口，检查匹配规则与策略组；匹配正确但连接失败，再检查节点、协议支持和远端可达性。不要把规则模式与系统代理混成一个开关：前者决定进入内核之后怎样分流，后者决定部分应用的流量怎样进入内核。

“连接被拒绝”通常与目标端口没有服务或主动拒绝有关；“超时”只能说明期限内未完成操作，不能直接断定节点被封锁。读取错误发生在本地监听、远端握手还是目标响应阶段，比只看一个错误词更有帮助。分享错误时保留必要上下文，但删除凭据和私人访问目标。

DNS、IPv6 与 UDP 要分别验证

DNS 负责把域名解析为地址。浏览器的加密 DNS、系统解析器和内核 DNS 可能不走同一路径，不能只改一个服务器就期待全部请求改变。Fake-IP 是把域名映射到合成地址、再由内核关联处理的机制；若流量绕过内核却使用了合成地址，可能出现访问异常。启用前应确认接管链路完整，并按应用兼容性配置例外。

IPv6 是否可用取决于本地网络、节点和配置，关闭它只能作为有记录的对比测试，不应成为固定答案。UDP 也要同时满足应用、接管方式、节点和协议支持；浏览器网页成功并不能证明游戏或实时通信正常。不要用直接访问某个 IP 的 HTTPS 结果代替域名测试，因为证书校验和站点选择可能依赖域名。

更新、回退与恢复网络

更新前分别备份订阅来源、本地覆写和当前设置。升级应用、内核与配置时尽量分开进行，验证通过再继续下一项。归档客户端可能不认识较新的字段，迁移时优先选仍维护的客户端，并逐步恢复必要设置。不要把旧缓存、旧辅助服务和新客户端一并复制，随后再猜测是哪一部分引发异常。

恢复网络按相反顺序操作：停止 TUN 或系统 VPN，关闭系统代理，恢复手动修改的 DNS、应用代理和终端环境变量，再验证直连。需要卸载时先执行客户端提供的服务清理流程。仍无法解决，可携带脱敏日志到常见问题页对照症状；若只是忘记连接顺序，返回快速上手教程重新完成最小连接即可。