疑难解答档案

Clash 是一类基于规则的网络代理工具的统称。核心逻辑由内核完成:读取配置文件、匹配分流规则、转发流量。原版 Clash 内核已于 2023 年停止开发,目前社区主流内核为 mihomo(曾用名 Clash Meta),兼容原有配置格式并扩展了更多协议。

日常使用的 Clash Plus、Clash Verge Rev 等属于图形客户端,负责界面、订阅管理与系统代理设置,底层均调用 mihomo 内核。选择客户端时确认其内核为 mihomo,即可获得当前的协议支持能力。

订阅链接是一个 URL,指向服务商托管的配置文件,内含节点列表与分流规则。客户端定期拉取该链接,即可自动同步节点变动,无需手动逐个录入。

订阅链接由所使用的代理服务商在其用户面板中提供,通常标注为「Clash 订阅」或「Clash 配置」。本站仅提供客户端安装包与使用文档,不提供任何订阅服务。获取链接后注意保密——链接泄露等同于账号共享,他人可直接使用其中的节点流量。

三种模式决定流量的走向策略。规则模式按配置文件中的规则逐条匹配:命中直连规则的流量不经代理,命中代理规则的流量走选定节点,是日常推荐模式。全局模式忽略所有规则,全部流量一律走当前节点,适合临时测试节点连通性或规则异常时应急。直连模式则全部流量不经代理,等价于临时停用。

多数订阅自带完善的分流规则,保持规则模式即可。若某网站在规则模式下无法访问,可临时切换全局模式验证:全局能开则是规则问题,全局也不能开则是节点问题。

Clash for Windows 于 2023 年 11 月停止开发并删除仓库,现存安装包为社区归档版本。短期内程序仍可运行,但存在两个持续扩大的问题:一是内置内核陈旧,新协议与新配置字段无法识别,部分订阅会解析失败;二是不再有安全修复。

建议迁移到仍在维护的客户端,如 Clash Plus 或 Clash Verge Rev。两者均使用 mihomo 内核,订阅链接可直接复用,界面操作逻辑与 Clash for Windows 接近,迁移成本较低。

代理类软件需要修改系统网络设置、安装虚拟网卡驱动,这些行为与部分恶意软件特征重叠,容易触发杀毒软件的启发式误报,属于此类工具的常见现象。

处理步骤:第一,确认安装包来自本站下载页或客户端官方发布渠道,不使用来路不明的转载包;第二,在杀毒软件的隔离区还原被删除的文件;第三,将客户端安装目录加入信任区或排除列表,避免运行中核心文件再次被清除;第四,Windows Defender 的 SmartScreen 提示可点击「更多信息」后选择「仍要运行」。

这是 macOS Gatekeeper 对未经 App Store 分发应用的默认拦截。打开「系统设置 → 隐私与安全性」,页面下方会出现刚被拦截应用的记录,点击「仍要打开」并输入密码即可。

若提示「应用已损坏」,通常是下载文件带有隔离属性,可在终端执行 xattr -cr /Applications/应用名.app 清除隔离标记后再启动。另外注意区分芯片架构:Apple Silicon 机型下载 ARM 版,Intel 机型下载 x64 版,装错架构会经由转译层运行,性能下降且可能出现虚拟网卡异常。

各客户端入口名称略有差异,逻辑一致:找到订阅或配置管理页,粘贴链接后拉取。Clash Verge Rev 在左侧「订阅」页,顶部输入框粘贴链接后点「导入」,成功后配置卡片出现在列表中,左键点击卡片激活;Clash Plus 在「配置 / 订阅」标签页,选择「添加订阅」并粘贴链接;Clash Meta for Android 需先在「配置」页新建配置,类型选 URL,填入链接保存后回到主界面点击启动。

导入后务必确认该配置处于选中状态,再开启系统代理,否则内核仍在使用空配置。完整流程见配置教程。

TUN 模式通过创建虚拟网卡在系统层接管流量,创建网卡属于特权操作。Windows 上需要以管理员身份运行客户端,或按客户端提示安装系统服务,由服务进程代持权限,之后普通启动也能开启 TUN;macOS 首次开启会弹出授权对话框,需输入密码批准网络扩展或辅助工具;Linux 需要 root 权限或为可执行文件设置对应 capability。

服务安装失败时,先完全退出客户端(含托盘进程),右键以管理员身份重新运行后再装服务;仍失败可检查是否有其他代理软件残留的虚拟网卡或服务占用,先卸载冲突项再重试。

客户端的代理页通常有延迟测试按钮,点击后对每个节点发起一次 HTTP 探测,记录往返耗时,单位毫秒。这个数字反映的是经该节点访问测试地址的握手耗时,数值越小响应越快;但它不等于带宽——延迟低的节点下载速度未必快,延迟只适合用来排除超时节点与粗筛响应质量。测试显示「超时」说明该节点当前不可用。

建议在选择节点前先整组测一次延迟,优先选择数值稳定的节点;也可使用自动选择类策略组,由客户端按延迟结果自动切换。

通过自定义规则实现。Clash 规则自上而下逐条匹配,先命中先生效,因此把自定义规则放在订阅规则之前即可覆盖默认行为。常用写法:DOMAIN-SUFFIX,example.com,DIRECT 表示该域名及其子域名直连;把末尾的 DIRECT 换成代理策略组名称则强制走代理;按 IP 段控制可用 IP-CIDR,按进程控制在部分平台可用 PROCESS-NAME。

Clash Verge Rev 支持通过「全局扩展配置」的 prepend 方式追加规则,不会被订阅更新覆盖;直接修改订阅文件的做法在下次更新订阅时会丢失,不推荐。规则语法详解见规则分流实战一文。

GeoIP 是 IP 地址与国家地区的对照数据库,配置中 GEOIP,CN,DIRECT 这类规则依赖它判断目标 IP 归属,实现中国大陆 IP 直连、其他地区走代理的分流效果。配套的还有 GeoSite 数据库,按域名归类。

数据库随 IP 段变动会逐渐过时,过旧的数据会导致部分流量分流错误。多数客户端在设置页提供 Geo 数据更新按钮,建议每一到两个月手动更新一次;部分客户端支持设置自动更新间隔。更新失败多为下载源不可达,可先开启代理再执行更新。

DNS 泄漏指流量本身走了代理,但域名解析请求仍发往本地运营商 DNS,解析记录暴露了访问目标。规避要点:第一,在 Clash 配置的 dns 段开启 enhanced-mode: fake-ip,让客户端接管解析,应用拿到的是虚拟 IP,真实解析在代理侧完成;第二,nameserver 使用加密 DNS(如 DoH 地址);第三,开启 TUN 模式并保持 DNS 劫持默认配置,可拦截应用绕过系统代理直连 53 端口的解析请求。

配置完成后可用浏览器访问 DNS 泄漏检测类网站验证,结果中不应出现本地运营商的解析服务器。逐字段配置示例见 DNS 配置详解。

按顺序排查三点。第一,确认已导入订阅且配置处于激活状态——内核空配置时开启系统代理,全部请求无处转发,表现为整体断网。第二,切到全局模式并手动选一个延迟正常的节点测试:能访问说明是规则或节点选择问题;仍不能访问则测试该组节点延迟,全部超时按订阅失效处理。第三,检查端口一致性:系统代理指向的端口须与客户端混合端口一致,若曾修改过端口设置,关闭再重新开启系统代理让其重写。

临时恢复网络的办法是先关闭系统代理与 TUN,确认裸连正常,再按上述顺序逐项定位。

整组节点同时超时,原因通常不在单个节点。依次确认:一,本机裸连网络是否正常,关闭代理后能否打开普通网页;二,订阅是否过期或流量用尽,登录服务商面板查看账户状态,这是最常见原因;三,更新一次订阅——服务商更换节点地址后,旧配置里的节点会集体失效;四,检查系统时间,部分协议对时间偏差敏感,相差数分钟即握手失败,开启自动同步时间后重试;五,更换网络环境测试(如切换手机热点),判断是否为当前网络对代理端口的干扰。

逐项排除后仍全部超时,联系服务商确认服务端状态。

先区分是网络问题还是内容问题。网络问题:订阅地址本身可能已被当前网络屏蔽,可在客户端开启「使用代理更新订阅」的选项,或临时连接可用节点后再更新;也可在浏览器直接打开订阅链接,能看到一段配置文本即说明链路可达。

内容问题:报错含 yaml 或 parse 字样说明配置解析失败,常见于订阅格式不是 Clash 专用格式——回到服务商面板确认复制的是 Clash 订阅,而非其他客户端格式的链接;链接被截断或多复制了空格也会导致 404 或解析错误,重新完整复制一次。

系统代理只是向应用「公告」代理地址,是否遵循由应用自行决定。浏览器普遍遵循,而许多桌面程序、命令行工具与游戏使用自有网络栈,直接无视系统代理。

分情况处理:Windows 的 UWP 应用受网络隔离限制,默认禁止连接本机回环地址,需在客户端的 UWP 回环豁免工具中为对应应用解除限制;命令行工具需手动设置 http_proxy 与 https_proxy 环境变量指向本机混合端口;对不读任何代理设置的程序,开启 TUN 模式在网卡层接管是通用解法,无需逐个配置。

推荐顺序:一,换节点,同一线路不同节点负载差异明显,优先尝试同地区其他节点;二,看协议与端口,部分网络环境对特定协议存在干扰,可换用服务商提供的不同协议入口;三,测本地带宽,关闭代理测速,确认瓶颈不在本地网络;四,查规则,确认大流量应用没有被错误规则送进低速节点,可临时切全局模式对比速度;五,检查客户端是否正在经代理下载大体积文件——更新订阅、更新 Geo 数据等动作也占用节点带宽。

高峰时段整体变慢多为服务端拥塞,属服务商侧问题,换时段或换线路验证即可。