Clash 使用指南
订阅导入与连接验证

一、导入订阅并激活配置

开始前，先准备已经安装好的客户端，以及服务提供方给出的订阅地址或本地配置文件。客户端负责读取配置、执行规则并建立连接，本身不会因为安装完成就自动获得可用代理。订阅地址也不同于账号登录页、购买页面或普通网页链接：需要的是明确标注支持 Clash 或当前内核格式的配置入口。暂时没有配置时，可以先熟悉页面，但不必反复切换连接开关。

在订阅或配置页添加地址

打开客户端，进入「订阅」「配置」或 Profiles 页面，寻找「新建」「添加」「导入」等入口。若页面提供导入类型，选择 URL 或远程配置，再把完整订阅地址粘贴到地址栏。名称只用于区分配置，可填写容易辨认的来源或用途；不要把链接误填进名称栏。保存前看一眼链接首尾，确认没有复制到换行、空格或聊天软件附带的说明文字，然后点击「导入」「下载」或「保存」。

接下来等待客户端下载并解析内容。成功后，列表通常会新增一项配置，显示名称、更新时间或其他配置摘要。出现这一项后，还要点击卡片或它旁边的启用按钮，使其成为当前配置；仅完成下载并不一定代表已经切换。随后进入代理页面，确认能够看到配置定义的代理组。若仍停留在空白页，先回到配置列表检查当前选中项，再查看是否有解析失败提示。

如果拿到的是本地 YAML 文件，应使用「从文件导入」而不是 URL 输入框。导入后同样需要选中并应用。文件导入通常不会自动关联远程更新地址，后续是否能更新取决于客户端和配置来源；不要把文件路径当成订阅链接。扫码导入则应先核对识别结果，确认它确实是配置地址，再允许客户端继续读取。

导入失败时先分清失败位置

「下载失败」通常意味着客户端没有取得远程内容，需要检查链接是否完整、订阅是否有效，以及当前网络能否访问该地址。「解析失败」则表示已经拿到内容，但内容可能是网页、错误提示或不兼容的配置。遇到协议类型不支持的提示时，优先核对客户端使用的内核，不要为了消除报错而随意删除字段。配置格式与内核的关系可查阅协议与内核参考，这里先以成功加载一份兼容配置为目标。

当配置已激活、代理组能够正常显示，就可以进入下一步。此时先不调整 DNS、自定义规则或其他高级选项，保留来源配置的默认设置，能让后续验证更容易定位问题。

二、选择规则模式与代理组

回到客户端首页或代理页面，找到「模式」「运行模式」或 Mode。常见选项是规则、全局和直连，英文界面可能显示 Rule、Global、Direct。第一次使用建议选择规则模式：请求进入内核后，按当前配置的规则决定直连、代理或拒绝。选择规则模式并不是让所有请求都走同一个出口，也不代表系统中的所有应用已经被接管。

先选运行模式，再看组内策略

规则模式选好后，打开代理组列表。组名由配置作者决定，可能按用途、地区或应用命名，因此不必寻找一个固定的「正确组名」。先查看主选择组或配置说明指定的入口组，再在允许手动选择的组内点选一条连接。选中项一般会出现勾选、边框变化或选中标记；点选后确认标记确实移动到了目标项，而不是只展开了详情。

部分代理组提供自动选择、故障转移或负载均衡，不一定允许固定到单一连接。若组内选项本身也是一个组，应继续展开，理解最终策略指向哪里。不要把 DIRECT 当成某个远程代理：它表示直连。也不要因为组名含有某个用途，就假定当前网站一定会命中该组，实际结果还需要在最后一步通过连接记录确认。

客户端若提供延迟测试，可以用它初步发现超时或不可达的选项，但测试成功仅说明特定探测请求完成。测试毫秒数不是下载速度，也不能保证目标应用一定可用。首次配置时先选一条能够完成测试的连接，再用实际网页验证；若测试功能本身不可用，也可以结合日志和真实请求判断，不必反复测试到所有条目都有数字。

到这里，客户端已经知道「收到请求后如何选择路径」，但请求是否会进入客户端，还取决于下一步的流量接管。保持当前规则模式与代理组选择不变，接下来只设置连接入口，避免同时改动多个变量。

三、启用连接与流量接管

先在首页确认内核处于运行状态、当前配置已经加载。有些桌面客户端启动后内核会自动运行，有些需要点击「启动」或「连接」。内核正在运行、代理组已经选好、系统代理已经开启，是三个不同状态；其中任何一个尚未完成，都可能出现界面看起来正常却没有请求进入的情况。首次测试期间，先退出其他正在工作的代理或 VPN 客户端，减少系统代理、路由和虚拟网卡之间的冲突。

桌面端先开启系统代理

在桌面客户端首页或设置页找到「系统代理」，将它开启。该操作会把本机代理入口写入系统代理设置，供遵循该设置的应用使用，常见浏览器通常能够读取。开启后回到浏览器，新开一个标签页进行测试。若浏览器设置了独立代理、代理扩展或手动 SOCKS 地址，它可能不采用系统设置；首次验证时先让浏览器使用系统代理，避免多个入口叠加。

系统代理不是全设备接管开关。部分命令行程序、游戏和其他应用不会读取它，因此「浏览器可用，某个应用仍走原路径」不一定是订阅失效。先完成浏览器验证，再判断那个应用是否支持独立代理设置，或是否需要 TUN。不要为解决单个应用的问题，立即修改所有端口、DNS 和规则；保持已验证的路径稳定更容易继续排查。

确有需要时再启用 TUN

TUN 通过虚拟网络接口接管符合路由条件的流量，通常能覆盖更多不读取系统代理的应用。若需要使用它，在设置中找到「TUN 模式」或「虚拟网卡」，按客户端提示安装服务、授予系统权限或启用相关组件。不同系统的授权方式不同，应以当前客户端的提示为准。出现权限不足或服务未运行时，先解决提示中的具体问题，再重试开关。

系统代理与 TUN 不必为了完成首次配置而同时开启。若已通过系统代理确认浏览器可用，可以记录当前状态，再单独测试 TUN。网络中存在其他 VPN、虚拟机网络或企业网络工具时，路由可能相互影响；一旦开启后原本正常的连接中断，先关闭刚启用的 TUN，恢复到已验证状态。TUN、DNS 与规则之间的深入关系留到协议与内核参考查阅，不需要在本轮上手中全部调整。

手机端确认系统 VPN 授权

在手机客户端选择好配置和代理后，点击「连接」或「启动」。首次启动通常会弹出系统 VPN 连接请求，确认请求来自当前安装的客户端，再按系统提示允许。授权后返回应用，查看连接状态，并结合系统状态栏或 VPN 设置确认连接已经建立。手机上的 VPN 标识表示流量接管接口正在工作，并不能单独证明所选远程连接可用。

如果允许后立刻断开，先确认没有其他 VPN 应用正在接管连接，再查看客户端是否报告配置或权限错误。Android 设备还可能在后台限制应用活动；只有在确实出现锁屏后断连时，再检查电池与后台运行权限。iOS 则可在系统 VPN 设置中核对当前连接项。此时不要仅凭状态图标结束操作，下一步还要检查实际请求是否经过预期策略。

四、验证请求路径与实际访问

保留客户端运行，在浏览器中打开一个自己熟悉、当前应当可访问的网站。尽量新开标签页或重新加载内容，避免只看到缓存页面。随后回到客户端的「连接」「活动连接」或日志页面，寻找刚才请求对应的域名。不同客户端展示的字段不同，优先关注目标域名、命中规则、使用的策略组以及最终连接，而不是只盯着首页的流量数字。

把访问结果与连接记录对应起来

如果网页能够加载，并且连接记录显示请求进入了客户端，再检查策略是否符合预期。规则模式下，一部分网站显示 DIRECT 完全可能是正常结果，因为配置可能安排它们直连。应选择配置中明确需要代理的目标继续确认；若不确定规则如何安排，先查看命中记录，不要仅凭网站能打开就断言所有流量都已代理。

出口 IP 查询可以作为辅助观察，但不是唯一验证依据。规则可能让查询网站直连，浏览器缓存也可能影响结果，IPv4 与 IPv6 的出口还可能不同。更可靠的做法是把一个明确请求与客户端记录对应起来，确认目标、规则和策略形成完整路径。验证某个桌面应用时，也要在该应用产生新请求后查看记录，不能用浏览器的成功结果替代它的测试。

连接不通时按固定顺序回查

如果网页无法加载，先回到第一步确认当前配置仍处于启用状态，最近更新没有报错；然后检查代理组是否选中了可用连接，而不是意外切到了直连或其他策略。接着确认内核正在运行，桌面系统代理或手机 VPN 连接已经建立。最后观察这次请求：完全没有记录时，优先排查应用是否进入客户端；有记录但建立连接失败时，再关注远程连接、协议兼容性和日志中的具体错误。

若只有一个网站或一个应用失败，先测试另一个已知目标，区分局部问题与整体连接问题。若切换网络后异常，先断开再重新连接，让客户端按当前网络重新建立连接。每次只改一项，例如只换代理选择或只关闭 TUN，然后重复同一个请求；同时修改模式、DNS、端口与订阅，会让结果难以解释。涉及协议支持、DNS 或复杂路由时，再沿深文档中的协议与内核说明继续查阅。

确认可用后再保存日常设置

验证通过后，可以按需要开启订阅自动更新与客户端开机自启。订阅更新可能改变代理组成员或规则，更新后若体验变化，应先检查当前选择是否仍然有效。客户端自启、内核启动与系统代理自动开启也可能是分别设置的项目；建议下一次重启设备后重复一次简短验证，而不是假定所有开关都会自动恢复。

准备退出桌面客户端时，先关闭系统代理，再结束应用，避免系统仍把请求发送到已经关闭的本地入口。手机端停止使用时，在客户端正常断开，并检查系统 VPN 状态是否同步结束。以后更换订阅时，可从导入订阅重新开始；仅调整运行模式时，则从模式选择继续，不需要重装客户端。保留一条已验证的操作路径，后续排查就有清楚的参照。