Clash 常见问题
Frequently Asked Questions · 名词 · 问答编录,凡四类二十条
本页按基础认知、安装配置、使用技巧、故障排查四类,编录 Clash 使用中的真实问题二十条:订阅链接的导入与失效处理、规则与策略组的用法、TUN 模式的权限与适用场景、系统代理不生效、UWP 回环限制与 DNS 泄漏排查等。每条问答给出可操作的处置步骤;涉及深入配置的条目附交叉引用,指向协议参考与专题文章。
基础认知
名词与生态关系类问题,共 5 条:Clash 的定位、内核与客户端的关系、订阅链接的性质与保管。
Clash 是什么?和 VPN 有什么区别?
Clash 是一款开源的代理客户端内核,职责是按规则转发本机网络流量,本身不提供任何节点服务。它支持 Shadowsocks、Vmess、Trojan、VLESS、Hysteria2 等代理协议,节点与分流规则由一份 YAML 配置文件描述。与 VPN 的区别在于工作方式:VPN 通常把整机流量交给单一服务商的隧道转发,而 Clash 对每个连接逐条判定——命中代理规则的走节点、命中直连规则的直接连接、命中拒绝规则的直接丢弃,节点来源可以是任意服务商或自建服务器。
原版 Clash、Clash Meta(mihomo)与图形客户端是什么关系?
原版 Clash 内核由 Dreamacro 开发,2023 年末归档停止维护;Clash Meta 是社区在原版基础上的功能增强分支,后更名为 mihomo,是目前的主流内核。图形客户端(Clash Plus、Clash Verge Rev、FlClash、Clash Nyanpasu 等)在内核之外封装了界面、订阅管理与系统代理设置。用户日常下载安装的是客户端,客户端再调用内核完成实际的流量调度;本站安装包页所列客户端均基于 mihomo 内核。
什么是订阅链接?它包含什么内容?
订阅链接是订阅提供方给出的一条 URL,客户端访问它即可一次性拉取全部节点信息与分流规则,并可定时刷新保持更新。内容形式通常是 Base64 编码的节点列表,或完整的 Clash YAML 配置。订阅链接相当于账号凭证:持有链接即可使用其中的节点,因此不应在公开场合分享;怀疑泄漏时应联系提供方重置。
Clash 软件本身收费吗?
不收费。Clash 内核与绝大多数图形客户端均以 GPL-3.0 等开源协议发布,下载与使用遵循各自的开源条款。需要付费的通常是节点服务本身,即订阅链接背后的代理服务器流量,这部分由订阅提供方定价,与客户端软件无关。
没有订阅链接,可以使用 Clash 吗?
可以。客户端支持手工添加单个节点——在配置中直接填写服务器地址、端口、协议类型与密码,也可以直接导入本地 YAML 配置文件。订阅链接只是批量分发与更新节点的便利形式,并非唯一入口;自建服务器的用户多以手工配置为主。
安装配置
装机与导入类问题,共 5 条:安装流程、订阅导入、失效处理、macOS 拦截与开机自启。
Windows 上安装客户端的基本流程是什么?
订阅链接如何导入客户端?
各客户端入口名称略有差异,一般在配置(Profiles / 订阅)页点击新建或导入,粘贴订阅 URL 并命名确认,客户端随即下载并解析订阅内容。导入成功后需选中该配置使其生效,部分客户端会自动选中。之后可在同一页面手动刷新,或设置自动更新间隔,保持节点列表与提供方同步。
订阅链接失效、拉取失败怎么办?
先验证链接本身:把订阅 URL 粘贴到浏览器地址栏,能下载到一段文本即说明链接有效。若浏览器可访问而客户端拉取失败,常见原因是客户端的订阅更新走代理设置与当前节点状态冲突——先关闭系统代理再更新,或切换客户端内使用系统代理更新订阅的开关后重试。若浏览器也无法访问,说明链接已失效,需要向订阅提供方索取新地址。
macOS 提示应用已损坏、无法打开怎么办?
这是 Gatekeeper 对未经苹果公证的第三方应用的默认拦截,并非安装包损坏。处理方式有二:在系统设置 → 隐私与安全性中找到对应提示,选择仍要打开;或在终端执行 xattr -cr /Applications/Clash Plus.app 清除隔离属性后重新启动。两种方式均为 macOS 运行开源客户端的常规步骤。
如何设置开机自动启动?
主流客户端的设置页均提供开机自启开关,打开即可,无需手工添加启动项;配合启动后最小化到托盘可实现静默运行。Windows 客户端通过系统启动项或任务计划实现自启;macOS 走系统登录项,若关闭自启后仍有残留,可在系统设置 → 通用 → 登录项中检查移除。
使用技巧
模式与分流类问题,共 5 条:三种代理模式、策略组、延迟测速、TUN 模式与直连例外。
规则、全局、直连三种代理模式如何区分?
规则模式(Rule)按配置中的规则表逐条匹配:命中代理规则的走节点、命中直连规则的直接连接、未命中的由末尾 MATCH 规则兜底,是日常推荐模式。全局模式(Global)无视规则,全部流量走选定节点,适合临时整体出代理的场景。直连模式(Direct)则全部不走代理,相当于暂停代理功能。
如何让不同网站走不同节点?
节点列表里的延迟数字怎么看?
节点列表的延迟测试向节点发起一次 HTTP 请求并显示往返耗时。该数字只反映到节点服务器的连通性与延迟,不代表实际下载带宽;选择节点时延迟与带宽需要兼顾。显示超时的节点当前不可用,可改选其他节点或更新订阅后重新测试。
TUN 模式是什么?什么时候需要开启?
TUN 模式通过创建一块虚拟网卡接管整机 TCP/UDP 流量,不依赖应用自身的代理设置。默认的系统代理模式只对遵守系统代理设置的应用生效;游戏、部分命令行工具等不走系统代理的程序,只有 TUN 模式能够覆盖。开启 TUN 需要管理员权限,并会安装虚拟网卡驱动。日常浏览网页无需开启;需要代理上述顽固应用时再开启。
如何让某个应用或网站不走代理?
两个层面。其一,在规则靠前位置添加直连规则,例如 DOMAIN-SUFFIX,example.com,DIRECT,命中即直连;其二,Windows 客户端的系统代理设置中可维护绕过列表,列表内地址完全不经过 Clash,适合局域网地址与常驻直连域名。临时场景下也可以把对应策略组切换到 DIRECT,或整体切到直连模式。
故障排查
异常处置类问题,共 5 条:节点超时、系统代理失效、TUN 权限、UWP 回环与 DNS 排查。
节点全部显示超时怎么办?
按顺序排查:更新订阅,确认节点列表不是过期版本;切换网络环境,例如从 Wi-Fi 换到手机热点,排除本地网络对代理端口的干扰;校准系统时间——Trojan、VLESS 等 TLS 类协议对时间偏差敏感,误差超过一两分钟即握手失败;换一台设备或客户端测试同一订阅,定位问题在节点端还是本机。若多个网络下全部节点均超时,大概率是订阅本身失效。
系统代理已开启,浏览器却仍不走代理?
先确认客户端的系统代理开关确实处于开启状态,且监听端口未被其他代理软件占用——同时运行两个代理客户端是最常见的原因。其次检查浏览器是否安装了自带代理功能的扩展,扩展代理的优先级高于系统代理,两者冲突时以扩展为准。最后核对系统代理设置是否指向 127.0.0.1 与客户端监听端口,常见为 7890。
开启 TUN 模式提示权限不足或虚拟网卡创建失败?
TUN 需要操作系统级权限。Windows 请以管理员身份运行客户端,或开启客户端的服务模式,由常驻服务代持权限;macOS 首次开启会要求输入密码,授权安装帮助程序;Linux 需要 root 权限,或为可执行文件添加 cap_net_admin 能力。授权后仍失败的,检查是否与其他 VPN、加速器类软件冲突——多块虚拟网卡抢占路由表会导致创建失败,退出冲突软件后重试。
Windows 上 UWP 应用(Microsoft Store 等)不走代理?
原因在于 UWP 的沙箱回环限制:UWP 应用默认禁止访问 127.0.0.1,无法连接 Clash 的本地代理端口。解决办法有二:开启 TUN 模式,从网卡层接管流量,不受回环限制影响;或解除指定应用的回环隔离——部分客户端内置 UWP 回环工具,勾选目标应用即可。解除后 UWP 应用即可像普通桌面程序一样走系统代理。
怀疑 DNS 泄漏或域名解析异常,如何排查?
典型症状是域名打不开但直接访问 IP 正常,或访问站点被劫持到错误页面。Clash 内置 DNS 模块,配置中 nameserver 负责常规解析、fallback 处理受污染的域名。排查时先确认客户端的 DNS 配置处于启用状态,再检查浏览器的安全 DNS(DoH)是否与 Clash 的解析冲突——浏览器 DoH 会绕过 Clash 的 DNS,可临时关闭后对照测试。