Clash 配置教程
订阅导入与连接验证

开始前：准备客户端与有效订阅

这条上手路径适合已经安装客户端、手边有有效订阅的用户。通常可在约十分钟内完成基本操作，但订阅下载、系统授权和网络排查所需时间取决于实际环境。Clash精选提供客户端选型与配置资料，安装客户端本身不会自动获得代理服务；订阅地址、服务有效期和账户状态需要向对应服务提供方确认。

开始前准备订阅链接，或一份客户端支持的本地 YAML 配置文件。订阅链接通常来自服务提供方的账户页面，选择标有 Clash 或对应内核兼容格式的入口。不要把账户登录页地址、付款页地址或普通分享页面当成订阅链接。链接中可能包含个人授权信息，复制时保留完整内容，但不要发到公开评论、截图或在线转换工具中。

暂时退出其他代理客户端，避免两个程序同时修改系统代理或建立虚拟网卡。保留当前可用网络，先不要改 DNS、混合端口或高级路由选项。后续如果出现异常，每次只改一个设置，再回到最后一步重新验证，才能判断哪次操作产生了影响。首次启动出现系统权限提示时，确认提示对应刚安装的客户端，再按功能需要授权。

第一步：导入订阅并启用配置

打开客户端，进入“订阅”或“配置”页面，找到“新建”“添加”或“导入”入口。有些客户端把链接导入放在加号菜单中，有些则在页面顶部提供输入框。选择远程订阅后，填写便于辨认的名称，例如“日常配置”，再把完整订阅链接粘贴到地址栏。名称只是本地标签，不会改变代理服务，也不要把名称填进链接字段。

粘贴后先看一遍地址：开头协议是否完整，末尾是否漏了参数，前后是否带入空格或换行。某些账户页面提供“复制订阅”与“打开订阅”两个按钮，优先使用复制功能，避免从浏览器地址栏拿到重定向后的登录页面。确认无误后点击保存、下载或导入，等待客户端完成请求；在此期间不要连续点击添加，以免生成多个相同配置。

下载完成不等于配置已经生效。回到配置列表，点击刚导入的条目，或使用“启用”“设为当前配置”操作。当前条目通常会出现选中标记，但具体表现由客户端决定。随后打开代理页面，确认能看到策略组及其可选项。如果列表仍是旧内容，先检查是否选中了新配置，再查看导入提示，而不是立刻开启系统代理。

只有本地配置文件时，选择“从文件导入”，在文件选择器中打开对应的 .yaml 或 .yml 文件。导入后同样需要启用该配置。不要把网页另存为 YAML 后直接导入：扩展名正确并不代表内容正确。文件里应当是结构化配置，而不是登录页的 HTML、错误提示或仅包含一串分享链接的文本。

如果导入失败，先读提示中的具体原因。请求超时通常要检查当前网络能否访问订阅地址；授权失败要回到服务提供方确认链接是否过期；解析失败则检查订阅格式是否匹配客户端。订阅下载有时会沿用客户端现有代理设置，如果当前代理已经失效，可按客户端提供的选项尝试直连更新。不要为了让导入通过而随意关闭证书验证。

成功导入后，保留订阅作为主要更新来源。后续点击“更新”可以重新获取提供方发布的内容，但手工修改远程配置可能被下一次更新覆盖。初次上手不需要编辑文件；确实要添加个人规则时，再查阅配置文件与本地覆写说明。不清楚订阅与配置的区别，可先看概念速查，再继续选择代理模式。

第二步：选择规则模式与代理出口

确认配置已经启用后，进入“代理”页面，找到“规则 / 全局 / 直连”模式选择区。首次配置先选“规则”。这个模式会按照当前配置中的规则决定每条连接的去向：有的目标直连，有的进入代理策略组。它不会自动判断所有网站该走哪条路径，实际行为取决于订阅携带的规则，因此接下来还需要确认策略组的出口。

“全局”适合临时对照排查，通常让已被客户端接管的连接统一进入全局策略组；“直连”则让已被接管的连接使用直接连接。注意，模式决定的是内核如何处理已经收到的流量，不是系统接管范围。切成全局并不等于所有应用都会经过 Clash，也不会替你打开系统代理或 TUN。先选规则模式，第三步再把流量交给客户端。

在策略组列表中，先找名称和用途明确的主代理组。不同订阅的组名由提供方决定，可能包含“代理选择”“自动选择”或应用分类，不能只凭名称猜测结构。点击组名后查看可选项：如果组内直接列出代理条目，可手动选择一个；如果列出另一个策略组，则需要继续查看下一级，确认最终不是误选了直连或拒绝。

配置提供“自动选择”组时，可以先使用它，但要知道自动选择依赖配置中的测试地址和检查周期，不是对所有网站速度的保证。手动选择时，可点击客户端的延迟测试按钮，观察是否能得到有效结果。测试超时意味着这次检查没有在时限内完成，不足以单独证明服务永久不可用；有延迟数值也只说明测试请求的表现，不能推断实际下载带宽。

若列表中有多个按网站或应用分类的组，不必在初次配置时逐个调整。先检查默认主组，再检查你马上要访问的目标对应的分类组。比如某类连接被规则送进专门的策略组，就应在那个组里选择出口，而不是只改主组。第四步会通过连接记录确认实际命中了哪条规则，避免出现“已经换了代理，却没有影响当前访问”的误判。

如果策略组没有任何可选代理，先回到第一步检查当前配置、订阅状态与下载结果，不要凭空添加服务器地址。客户端需要真实有效的服务信息才能建立代理连接。完成选择后，记住当前模式和主组选择，暂时保持不变，再去开启连接。策略组嵌套、自动测试与规则优先级的完整解释放在配置进阶手册，这里先完成最短上手路径。

第三步：开启连接与系统接管

现在已有当前配置，也选好了规则模式和出口。接下来让应用流量进入客户端。部分桌面客户端启动后内核已经运行，部分需要先点击启动或连接；检查首页的内核状态和错误提示，再开启系统代理。不要把“客户端窗口已打开”当成连接已经建立，也不要只看托盘图标颜色就结束操作。

桌面端：先开启系统代理

在 Windows、macOS 或 Linux 客户端的首页或设置页，找到“系统代理”并开启。客户端会尝试把系统代理地址指向本机监听端口。开启后先使用遵循系统代理的浏览器访问目标网站，不需要同时开启 TUN。macOS 首次修改网络代理时可能要求管理员授权；Linux 的桌面环境和浏览器对系统代理支持不同，需要按所用客户端及桌面环境检查是否写入成功。

端口先保留客户端默认值。不同客户端可能使用 7890、7897 或其他端口，这些数字不是统一标准，必须以当前客户端显示的监听值为准。浏览器若另装了代理扩展，扩展可能覆盖系统设置；先将其切到使用系统代理，或暂时停用再测试。终端和某些专业软件不会读取系统代理，暂时不要用它们判断初次配置是否成功。

开启时报端口被占用时，先确认其他代理程序已经退出，检查是否还有同一客户端的后台实例。不要反复开关系统代理来碰运气。如果需要改混合端口，客户端监听端口、系统代理指向以及应用内手动代理地址都必须一致。具体排查和修改方法见Clash 端口设置；完成调整后再回来进行浏览器验证。

手机端：连接并授权 VPN

Android 与 iOS 通常在客户端首页提供连接按钮。点击后，系统可能弹出建立 VPN 连接的授权提示，确认应用名称与当前客户端一致，再按提示允许。iOS 可能要求添加 VPN 配置并完成设备验证；Android 可能显示 VPN 连接请求。首次拒绝授权后，需要再次点击连接或到系统设置中处理，不能仅靠选择代理条目恢复连接。

系统显示 VPN 标识，只能说明隧道建立到一定阶段，不能证明所有目标访问正常。若手机上已有其他 VPN、工作配置或安全软件的网络隧道，先确认当前系统允许的并行方式，避免互相替换。测试期间让客户端保持运行；Android 如果锁屏后断开，再检查系统对该应用的后台运行和电池限制，不要在刚导入配置时一次性修改全部系统选项。

TUN：浏览器验证后再考虑

桌面端某个应用不遵循系统代理时，再考虑 TUN。它通过虚拟网络接口扩大接管范围，可能需要管理员权限、服务组件或额外网络设置。首次上手不必把系统代理和 TUN 一起打开，因为两个路径同时变化会增加排查难度。浏览器验证正常后，按TUN 配置说明开启，并对目标应用重新测试；手机客户端的 VPN 接管入口与桌面 TUN 开关也不能机械对照。

第四步：验证访问与实际路由

完成连接后，打开一个你确实需要通过代理访问、且通常可用的目标网站，确认页面正文能够加载，而不是只出现缓存中的标题或旧图片。接着打开客户端的“连接”页面，刷新浏览器页面，观察是否出现对应域名的新连接。第一次验证的重点不是测速，而是确认请求进了客户端、命中了预期规则，并且选到了有效出口。

在连接记录中查看目标域名、命中规则、策略组与最终代理。不同客户端显示字段不同，有的需要点击某条连接展开详情。如果目标连接显示直连，而你预期它走代理，就回到第二步检查模式与对应分类组。不要直接把所有流量改成全局后当作问题解决：全局可以做短暂对照，但正常规则模式仍需要正确的规则与组选择。

再打开一个按当前配置应当直连的网站，对照连接记录检查去向。规则模式下两类目标可能采用不同路径，这是正常现象。公网出口查询网站只反映那个查询请求的出口，不能证明所有应用都被接管；浏览器访问成功也不能证明终端、游戏或其他程序采用同一路径。需要验证某个应用时，就在该应用中产生新请求，再观察对应连接。

如果浏览器能打开网页，但连接列表没有目标记录，先确认页面不是从缓存读取，并检查浏览器是否另用了代理扩展、独立代理或其他网络路径。有些连接很短，会在刷新时迅速消失，可打开日志页面辅助观察。客户端支持保留已关闭连接时，也可使用该功能查看刚才的记录。不要因为系统代理开关显示开启，就跳过实际流量路径检查。

异常时：沿四步反向检查

完全无法访问时，先检查客户端是否还在运行、内核是否报错、当前配置是否仍是刚导入的条目，再看策略组是否有有效选择。随后确认系统代理或手机 VPN 是否真的开启。桌面端先关闭系统代理，检查原有直连网络是否可用；手机端先断开 VPN 做同样的对照。如果原有网络也异常，应优先处理本地网络，而不是继续更换代理。

只有部分目标失败时，先查看该连接的规则与出口，再尝试同一策略组中的另一有效代理，每次只调整一个变量。若连接记录已经指向预期出口，但仍报连接失败，可查看日志中的目标地址、解析错误或握手错误，并结合服务状态判断。DNS 与协议细节不在本次初始配置中展开，可到概念速查理解术语，再到配置进阶查具体设置。

网页正常、某个应用仍失败时，先确认它是否读取系统代理，以及修改后是否需要完全退出并重启。有些应用会复用旧连接，切换策略组后也不会立即重建连接。先关闭目标应用再打开进行验证，不必清空整个客户端配置。确定是不遵循系统代理的流量后，再考虑应用自己的代理设置或 TUN，而不是反复重新导入订阅。

完成后：保留可复现的设置

初次配置完成的判断标准是：当前配置正确、规则模式明确、策略组有有效出口、目标连接出现在客户端记录中，并按预期路径完成访问。记下当前配置名称、代理模式和接管方式即可，不必截图保存订阅链接。后续出现问题，先与这组已验证的设置对照，能减少重复安装和无目的地改参数。

退出桌面客户端前，先关闭系统代理，或确认客户端会在正常退出时恢复系统代理设置。只关闭窗口可能只是缩到托盘，不一定停止后台运行；强制结束程序则可能留下指向本机端口的系统代理，造成直连也打不开。手机端不再需要接管时，使用客户端的断开按钮，并确认系统 VPN 状态已结束。至此，上手主线完成，后续订阅更新、规则覆写和 TUN 优化按需查阅即可。