Clash 常见问题与故障排查

图形客户端负责订阅导入、菜单操作、系统代理和日志展示；内核负责协议连接、DNS 处理与规则匹配。ClashX 是 macOS 客户端名称，不能据此认定所有同名或衍生版本都使用 mihomo 内核。排查兼容问题时，先在关于页面或启动日志确认实际内核，再查看配置支持范围。更换界面不一定改变内核，替换内核也不保证旧客户端能管理新增功能。

客户端提供连接与分流能力，配置文件提供节点、策略组、DNS 和规则等实际参数。只有安装包而没有可用配置，通常无法建立代理连接。准备由可信服务提供的订阅地址，或导入自行维护的 YAML 文件；导入后还要选中该配置并检查策略组。订阅链接可能包含账户访问凭据，不应贴到公开论坛、截图或在线转换页面。本站的客户端安装说明不等同于节点服务。

日常使用先选规则模式，让请求按规则表依次匹配。全局模式通常把进入内核的请求交给全局策略组，仍需在该组选择可用节点；直连模式则让这些请求直接连接。模式只决定内核如何处理已接收的请求，不代表所有应用都已接入代理。某个应用完全不出现在连接列表时，应检查系统代理、应用自己的代理设置或 TUN 接管，而不是反复切换模式。

mixed-port 是客户端在本机监听的 HTTP 与 SOCKS 混合端口，7890 是常见示例值，不是所有安装环境的固定值。节点端口属于远端服务器，由节点配置决定，两者不能互换。给浏览器或命令行填写本机代理时，使用客户端当前监听地址与端口，例如 127.0.0.1 和 7890。若配置被界面设置或覆写覆盖，应以运行中的端口页面和启动日志为准。

只有格式兼容且服务器仍可用的节点才能连接，免费并不代表可信或持续可用。公开订阅可能被多人共享、限速或随时撤销，也可能包含不适合当前内核的配置项。导入前检查来源，避免提交账户订阅到陌生转换服务；连接后仍应保留网站的 HTTPS 证书验证。不要为了使用某条节点安装来源不明的根证书，也不要把客户端安装成功当作节点质量的证明。

在客户端的配置或订阅页面选择从 URL 导入，粘贴完整地址并保存；本地文件则使用文件导入入口。菜单名称因客户端而异，ClashX 可从菜单栏的配置入口管理配置。下载成功后选中该配置，确认策略组包含节点，再开启系统代理并访问一个已知站点。若只有下载记录却没有节点，先检查实际选中的配置和返回格式，不要立即修改端口或开启 TUN。

先看日志里的行号与错误类型，再检查该行及前后几行的缩进、冒号和列表符号。YAML 缩进使用空格，不要混入制表符；含特殊字符的字符串需要恰当引用。若响应开头是网页标签、登录提示或访问拒绝信息，说明拿到的不是配置文件，调整缩进没有作用。修改前保留原文件，每次只改一处并重新加载；也要确认订阅输出的配置格式支持当前内核。

先确认当前客户端确实支持 TUN，再按设置页面安装或修复服务组件。Windows 客户端通常需要以管理员权限完成服务安装，macOS 可能需要授权辅助组件，Linux 则需要相应网络管理权限。不要直接对所有文件放宽权限。授权后查看日志，确认虚拟网卡已创建且路由设置成功；如果仍失败，先关闭其他 VPN 或 TUN 客户端，保留日志中的具体错误再继续排查。

开机自启通常只表示启动客户端，不等于自动启用系统代理或 TUN。分别检查客户端的登录时启动、启动后启用代理、服务模式和配置选择状态。Windows 可查看任务管理器的启动应用，macOS 可查看系统设置中的登录项与扩展。若首次启动时网络尚未就绪，订阅更新可能失败；应保留一份本地可用配置，并在网络恢复后手动更新，不要依赖每次启动都重新下载配置。

优先迁移订阅地址、自建节点和已确认兼容的规则，不要直接复制整个应用数据目录。系统代理状态、服务组件、TUN 网卡和界面覆写往往属于客户端自身，不能靠复制 YAML 完成迁移。先关闭旧客户端及其系统代理，再在新客户端导入配置，核对端口与策略组名称后测试连接。确认新环境稳定后再清理旧数据，避免两个客户端同时修改路由或争用同一监听端口。

规则按从上到下的顺序匹配，自定义规则应放在会提前命中的宽泛规则或 MATCH 之前。例如 DOMAIN-SUFFIX,example.com,DIRECT 表示该域名及其子域名直连。目标策略必须是内置策略或已存在的策略组名称，大小写也要核对。优先使用客户端的覆写或持久化规则入口；直接修改远程订阅生成的文件，可能在下次更新时丢失。保存后重新加载，并在连接详情检查命中的规则。

先让设备处于可互通的可信局域网，在电脑客户端开启允许局域网连接，确认监听地址允许其他设备访问。随后在手机或电视的代理设置中填写电脑的局域网 IP 与实际混合端口，不要填写 127.0.0.1。电脑防火墙只向需要的本地网段放行该端口，避免在公共网络开放。设备是否使用该代理仍由应用实现决定，手动 HTTP 代理通常不能接管所有 UDP 请求。

不少命令行工具不读取桌面系统代理，需要单独设置代理参数或环境变量。以 curl 为例，可用 curl -x http://127.0.0.1:7890 https://example.com 做一次显式代理测试，端口改为客户端实际值。测试成功后再查该工具对 HTTP_PROXY、HTTPS_PROXY 或 ALL_PROXY 的支持。环境变量只影响读取它的进程，已有终端或后台服务可能需要重启；清理测试设置时也应同步移除这些变量。

部分受 AppContainer 隔离的应用无法直接访问本机回环代理。先确认浏览器通过相同端口能连接，再使用客户端提供的 UWP 回环工具，仅为需要的应用启用回环豁免；工具可能要求管理员权限。没有集成入口时，可通过 Windows 的 CheckNetIsolation 工具检查对应包的豁免状态。不要给所有应用批量开放。若问题实际来自 DNS、应用登录或防火墙，回环豁免不会解决这些故障。

把服务提供方维护的节点与本地长期设置分开管理。客户端支持覆写、合并配置或脚本处理时，将 mixed-port、DNS 和自定义规则放到对应持久化入口，再检查最终生成的运行配置。不同客户端的合并顺序和数组处理方式并不一致，不能默认规则会自动追加。第一次设置后手动更新订阅，确认节点已更新而本地修改仍在；若客户端没有持久化能力，应备份独立配置并明确维护方式。

先在配置页确认失败的是哪条订阅，再查看日志中的状态码。401 或 403 可能与授权、到期或访问策略有关，404 可能是地址已变化，不能只凭状态码直接断定原因。检查链接是否完整、账户是否有效，以及返回内容是否为兼容配置。更新路径也可能依赖当前代理，尝试客户端提供的直连更新方式。只有该订阅失败时联系提供方；所有订阅都失败时，优先查本机网络、DNS 和系统时间。

超时只说明当前测试没有在限定时间内完成，可能涉及本地网络、DNS、测试地址、协议参数或服务器状态。先换同一订阅中的另一节点，再换网络测试，并确认测试 URL 可通过该节点访问。若延迟测试失败但实际网页能打开，检查测试地址设置；若所有节点与直连都失败，先恢复基础网络。日志出现认证失败时核对订阅与凭据，出现连接超时时再检查服务器可达性，不要把两类错误混为一谈。

先看客户端连接列表是否出现该浏览器请求。没有请求时，检查系统代理地址与实际监听端口是否一致，并关闭浏览器中覆盖系统设置的代理扩展。出现请求但仍直连时，查看命中规则与目标策略，确认不是 DIRECT。还要区分浏览器使用的 HTTP 代理与未被接管的其他流量。可用显式代理命令验证本机端口是否可用；若端口都无法连接，先处理内核启动失败或监听冲突。

先关闭 TUN，确认基础网络恢复，再逐项检查，不要连续叠加路由修改。保留报错日志，检查是否有另一套 VPN、虚拟网卡或安全软件同时接管网络，再核对 DNS 与自动路由设置。能连接 IP 却不能解析域名时，重点查看 DNS 监听、上游可达性与路由循环。必要时正常退出客户端并重新连接网络；仍无法恢复时再重启设备。企业受管设备应先遵循管理员策略，避免自行删除系统网卡。

退出后断网先检查系统是否残留指向本机的代理设置，关闭残留代理，再核对终端环境变量和浏览器扩展。证书警告属于另一类问题：先校准系统日期与时间，查看证书颁发者和访问域名，检查是否存在 HTTPS 检查或 MITM 配置。不要点击忽略警告，也不要随意安装根证书。若只有某条节点触发警告，停止使用该节点并向服务提供方反馈；若直连同样报错，应继续检查设备或网站本身。