Clash 新手十问:订阅导入、规则与全局模式区别、连上却打不开网页

一、Clash 客户端、内核和订阅分别是什么？

客户端负责操作界面，内核负责处理连接，订阅提供节点或配置。安装好客户端，只是准备好了运行环境，并不代表已经获得可用的代理服务。先分清这三层，后面的故障才不会混在一起。

• 图形客户端：例如 Clash Verge Rev，提供订阅管理、策略选择、日志查看、系统代理开关等界面。
• 内核：例如 mihomo，也常被称为 Clash Meta 内核，负责协议连接、规则匹配、DNS 和 TUN 等实际处理。
• 订阅：由服务提供方或自建服务管理者提供的地址。返回内容可能是完整 YAML 配置，也可能只有节点列表。

同样带有 Clash 名称的客户端，支持的字段和协议未必一致。遇到配置解析失败，先记录客户端名称与版本、内核名称与版本，再检查配置要求。不要仅凭“都是 Clash”就认定配置可以直接互换。

二、订阅从哪来，能否把订阅链接发给别人？

订阅地址来自你有权使用的服务后台，或自己维护的配置服务。Clash 客户端不是订阅供应方；下载页面与订阅管理页面也不是同一个入口。

1. 进入服务后台的订阅区域，寻找明确标注为 Clash、Clash Meta 或 mihomo 的配置入口。
2. 复制完整订阅 URL，保留查询参数。地址里可能包含用于识别账号的令牌。
3. 先核对套餐状态、有效期和剩余流量，再导入客户端。

浏览器打开订阅后显示一大段文本，不一定是错误；有些链接会直接返回配置。若返回登录页面、验证码页面或 401 Unauthorized、403 Forbidden，应检查权限与服务端限制，而不是反复修改本地端口。

三、怎样导入订阅，为什么提示格式错误？

先确认订阅格式，再导入并激活。以 Clash Verge Rev 为例，从侧栏「订阅」进入，在订阅链接输入框粘贴地址并导入，再选择该订阅使其成为当前配置。不同版本的按钮文案可能变化，但“下载配置”和“启用配置”是两个需要分别确认的状态。

首次导入的检查顺序

1. 导入后检查更新时间或成功提示，不要只看是否出现一张订阅卡片。
2. 进入「代理」，确认能够看到策略组与节点名称。
3. 选择可用节点，再开启「系统代理」进行浏览器测试。
4. 若客户端提示配置错误，先看日志中的具体字段和行号。

完整 Clash YAML 常包含 proxies、proxy-groups、rules；也可以通过 proxy-providers 引入节点。单条 ss:// 或 vmess:// 链接、Base64 编码列表与完整配置不是同一种东西。是否能直接导入，取决于客户端的导入能力。

看到 yaml: unmarshal errors 时，先确认拿到的不是网页 HTML，再检查缩进、字段类型和内核兼容性。YAML 缩进用空格，不要混入 Tab。需要转换格式时，优先使用服务方提供的对应格式入口，避免向陌生服务提交订阅凭据。

四、规则模式、全局模式和直连模式怎么选？

日常优先使用规则模式；全局模式用于有目的的测试，不是通用修复开关。模式决定已进入内核的连接如何选择出口，不决定应用流量是否进入内核。

规则通常采用首次匹配结果，兜底规则 MATCH 应放在末尾。下面只是规则片段，不能单独作为完整配置运行；其中 PROXY 必须在完整配置中定义为可用的策略组或代理名称。

mode: rule
rules:
  - DOMAIN-SUFFIX,example.com,DIRECT
  - GEOIP,CN,DIRECT
  - MATCH,PROXY

如果全局模式能打开某个网站、规则模式却不能，查看该连接命中的规则与策略。不要立即把所有规则删掉，也不要把全局模式理解为“整台电脑的所有程序都已接管”。

五、系统代理与 TUN 模式有什么区别？

系统代理主要服务于遵循系统代理设置的应用；TUN 通过虚拟网络接口接管符合路由条件的流量。新手先用系统代理验证浏览器能否连接，再判断是否需要 TUN。

• 系统代理：通常把系统 HTTP/HTTPS 代理指向本机监听端口。浏览器一般会遵循，部分游戏、命令行工具或自带网络栈的应用可能不会。
• TUN：需要相应的系统权限与路由设置，可覆盖更多不遵循系统代理的连接；但不是开启后就保证所有流量都经代理出口。
• 移动端：Android 客户端通常通过系统 VPN 接口接管流量，界面操作与桌面“系统代理”并不等同。

在 Clash Verge Rev 中，可先确认「系统代理」开关，再按需要启用「TUN 模式」。若界面提示安装服务或授权，应按当前版本要求完成。另一款 VPN、虚拟网卡和安全软件可能造成路由或 DNS 冲突，测试时一次只启用一套接管方案。

TUN 不会自动修复失效节点，也不会让错误订阅变成有效配置。开启后反而断网时，先关闭 TUN 回到系统代理测试，再检查权限、路由和 DNS 日志。不要同时更换节点、修改 DNS、开启 TUN，否则很难定位是哪一步改变了结果。

六、策略组怎么选，延迟低为什么仍打不开？

先看策略组的实际选项，再看测速结果。手动选择组 select 与自动测速组 url-test 的行为不同。前者由用户选定出口，后者按测试配置自动挑选。

检查这三处状态

1. 当前网站命中的策略组是什么，是否与正在查看的组一致。
2. 该组最终选择的是节点、另一个策略组，还是 DIRECT、REJECT。
3. 节点测速是否成功，实际网页连接是否成功，两者分别记录。

界面显示 80 ms 只能说明该次测试请求得到相应结果，不代表所有网站都可达，也不代表下载速度。测试地址、请求超时、节点出口和目标网站限制都会影响体验。timeout 同样不是“节点永久失效”的充分证据，还要排除本地网络与测试地址的问题。

遇到某个网站单独失败时，保持模式不变，只切换一个节点做对照。若所有节点都失败，再看规则与 DNS；若只有一个节点失败，优先排查该节点或出口，不必先重装客户端。

七、显示已连接，却打不开网页，先查哪里？

“内核正在运行”不等于“浏览器请求已走通”。按流量入口、规则、节点、DNS 的顺序排查，通常比反复开关客户端更有效。

1. 建立直连对照：关闭系统代理和 TUN，确认普通网络可用。直连也失败时，先解决 Wi-Fi、网关或系统网络问题。
2. 确认入口：重新启用系统代理，只用一个浏览器打开测试网页，同时查看「连接」或「日志」。没有新记录时，检查浏览器独立代理设置、代理扩展以及系统代理端口。
3. 检查出口：在连接详情中确认命中的规则、策略组和最终节点。若误命中 REJECT，应修正规则，而不是更换 DNS。
4. 切换节点：保持相同测试网址，只换一个节点，观察结果是否改变。
5. 看明确错误：记录 connection refused、i/o timeout 或解析失败对应的目标地址，不要只保留“打不开”的描述。

若浏览器报告证书错误，先核对系统日期、时间与时区，不要关闭证书验证。公司网络中的 HTTPS 检查、抓包工具证书与错误解析也需要分别排查。更多入口见帮助中心。

八、DNS、Fake-IP 与“部分网站打不开”有什么关系？

DNS 决定域名如何解析，代理规则决定连接走哪条路径，两者相互影响但不能互相替代。mihomo 的 fake-ip 模式会为域名分配虚拟地址，内核再把连接关联回原始域名。

例如配置采用 198.18.0.1/16 作为 Fake-IP 地址池时，看到该范围的解析结果不一定是故障。相反，客户端退出后仍有程序使用缓存的虚拟地址，或流量绕过了接管路径，就可能出现解析有结果但连接失败。

• 在日志里寻找 DNS resolve failed、no such host 等信息，确认失败域名。
• 检查浏览器「安全 DNS」或应用自带 DoH；它们可能改变预期的解析路径。
• 排除另一款 VPN、系统加密 DNS 或局域网 DNS 设置的影响，一次只改一处。
• 修改 DNS 后重试应用；必要时清理对应缓存。Windows 可在命令提示符执行 ipconfig /flushdns，但浏览器仍可能保留自己的缓存。

不要把所有 DNS 故障都归因于 Fake-IP，也不要直接复制一整套不明来源的 DNS 配置。先确认订阅现有的 dns 设置与客户端覆写内容，再参考进阶配置逐项调整。

九、7890、7897 是什么端口，冲突怎么处理？

端口是本机服务的入口编号，不是节点线路编号。7890、7897 都可能出现在配置中，但不存在所有 Clash 客户端统一使用的端口。以当前生效配置和客户端设置显示的值为准。

mixed-port: 7890
allow-lan: false

mixed-port 提供 HTTP 与 SOCKS 共用监听端口。上例仅说明字段作用，不包含节点、策略组与规则。如果另一个程序已占用 7890，日志可能出现 bind: address already in use。可以停止占用程序，或把监听端口改为其他未占用值，同时同步系统代理与应用代理设置。

用明确的本地代理测试

假设实际 HTTP 代理监听地址确为 127.0.0.1:7890，可用下面的命令测试。Windows 使用 curl.exe，可避免部分 PowerShell 环境把 curl 解析为其他命令；macOS 和 Linux 使用 curl。

curl.exe -I --proxy http://127.0.0.1:7890 --connect-timeout 10 https://example.com

连接本地端口立即失败，先查监听与端口值；请求进入日志后才超时，再查后续链路。不要为修复本机浏览器而直接启用 allow-lan: true。局域网共享还涉及监听地址、防火墙、访问控制与认证，需要单独配置。

十、订阅更新会覆盖修改吗，退出前要做什么？

直接修改订阅下载得到的配置，可能在下一次更新时丢失。需要长期保留的规则、DNS 或端口调整，应使用当前客户端支持的覆写、合并或脚本机制，并验证最终生成的配置。

• 修改前：记录客户端与内核版本，备份本地规则、覆写内容和必要设置。备份文件同样可能含订阅凭据，应妥善保存。
• 更新后：确认配置仍被选中，策略组选择是否保留，新增规则是否实际命中。不要只看订阅更新时间。
• 更换客户端：重新核对端口、系统代理、TUN、DNS 与启动项。不要直接复制旧软件的整个数据目录。
• 退出时：先关闭系统代理，再正常退出；使用 TUN 时确认相关接管已停止。若异常退出后浏览器失去连接，检查是否残留指向本机的代理。

Windows 11 可在「设置」→「网络和 Internet」→「代理」检查手动代理；macOS 可在「系统设置」→「网络」→ 当前网络服务的「详细信息」→「代理」检查。只有确认这些设置由已退出的客户端留下，才关闭对应项目；办公环境的组织代理不要随意删除。

首次配置只需先走通一条路径：导入有效订阅、启用配置、选择节点、开启系统代理、用浏览器验证。稳定后再处理 TUN、自定义规则和 DNS。完整操作入口见订阅导入与基础设置文档，字段含义可查术语表。