基础认知
区分内核、客户端与订阅，再选择合适的代理模式。
Clash 客户端、Clash for Windows 与 mihomo 有什么区别？
Clash 客户端是这类图形工具的统称，mihomo 是负责代理协议、规则匹配和 DNS 处理的内核。Clash Verge Rev、FlClash 等产品提供配置导入与系统集成界面；Clash for Windows 是已停止维护的具体产品。选型时同时看客户端维护状态与内核兼容性，不能仅凭名称相近判断功能一致。迁移前导出配置，并记录本地覆写和系统代理端口。
安装 Clash 客户端后，订阅链接从哪里获取？
安装客户端不会自动获得可用代理。订阅通常由已有服务的管理页面提供，也可以使用自行搭建服务对应的配置。导入前确认格式支持 Clash YAML 或所用客户端的导入方式，不要把账户登录页当成订阅地址。订阅链接可能包含访问凭据，不应公开粘贴到论坛、截图或陌生转换网站；链接泄露后，应到提供方重置。
规则模式、全局模式与直连模式应该怎么选？
日常使用先选规则模式，由 rules 按顺序匹配目标并交给相应策略。全局模式把进入内核的连接交给全局策略处理，但不会自动接管所有应用；应用是否进入内核仍取决于系统代理或 TUN。直连模式则让进入内核的连接直接访问。排查时可临时切全局并选择已确认可用的代理，验证后恢复规则模式，避免把临时设置长期保留。
系统代理与 TUN 模式需要同时开启吗？
不必默认同时开启。系统代理修改操作系统的代理设置，适合遵循该设置的浏览器和应用；TUN 通过虚拟网络接口及路由接管流量，适合不遵循系统代理的程序，但需要额外权限。首次连接先用系统代理验证订阅与策略组，再按应用需求启用 TUN。两者并用时若出现异常，先关闭其中一种接管方式，并暂停其他 VPN，缩小排查范围。
订阅链接、配置文件与策略组分别负责什么？
订阅链接是获取远程内容的入口，配置文件是内核实际读取的 YAML，策略组则把多个代理或处理方式组织成可选择的目标。完整配置通常还包含 DNS、规则和监听端口，并非只有节点列表。策略组名称要与规则引用一致，例如规则末尾使用 PROXY 时，配置中必须存在同名代理或策略组。只拿到单条协议链接时，应按客户端支持的方式导入，而不是直接作为完整 YAML 使用。
安装配置
从订阅返回内容、服务权限和监听地址逐项核对。
导入订阅提示 401、403 或 404，应该先检查什么？
先确认复制的是完整订阅链接，再到提供方账户页面检查服务状态与链接是否被重置。401 或 403 常与授权、访问限制有关，404 可能表示地址已更换，具体含义仍以提供方说明为准。不要连续重复导入；先用客户端日志确认返回状态，再检查订阅更新是否错误地依赖尚未可用的代理。需要反馈时只提供脱敏后的状态码和时间，不公开完整链接。
导入时出现 yaml: unmarshal errors，如何处理？
先检查下载到的内容是否真是 YAML：登录页面、网页错误提示和 Base64 节点列表都不能直接当成完整配置。若日志出现 yaml: unmarshal errors，结合后续行号检查字段类型、缩进与列表结构；YAML 缩进应使用空格，不用制表符。先回退到未修改的订阅配置确认能否加载，再逐项恢复覆写。分享错误片段前，删除服务器凭据与订阅地址。
TUN 模式提示权限不足，是否必须一直用管理员身份运行？
先按当前客户端说明安装或启用服务模式，再确认服务正在运行；不同产品的入口可能叫服务模式、Service Mode 或辅助服务。Windows 通常需要提权完成服务安装，macOS 可能需要授权辅助程序，Linux 则需按发行版与客户端说明配置权限。不要直接给所有可执行文件扩大权限。安装后仍失败时，查看创建虚拟网卡或添加路由的具体报错，再检查安全软件与其他 VPN 是否冲突。
系统代理显示已开启，浏览器为什么仍然直连？
先核对系统代理地址是否指向 127.0.0.1，以及端口是否与当前配置的 mixed-port 或 HTTP 监听端口一致。再检查浏览器是否使用独立代理设置、代理扩展或组织策略；这些设置可能覆盖系统代理。打开客户端连接页后访问一个新页面，观察是否出现对应连接。没有记录时优先查接管路径，有记录却直连则查看匹配规则与策略组，不要只反复切换系统代理开关。
如何让同一局域网的手机使用电脑上的代理？
电脑端需启用允许局域网连接，对应 allow-lan，并确认 bind-address 没有仅绑定回环地址。手机与电脑连接同一可信网络，在手机 Wi-Fi 的手动代理中填写电脑的局域网 IP 和 HTTP 或 mixed-port 端口。防火墙只向需要的专用网络放行，条件允许时配置认证。手机 Wi-Fi 代理不保证接管所有应用；使用结束后恢复设置，也不要把监听端口映射到公网。
使用技巧
保留本地修改，核对实际命中结果，而不是只看开关状态。
节点测速正常，为什么实际应用仍然不能用？
测速只说明当时能够访问所配置的测试地址，不代表所有目标站点、协议和应用均可用。先确认实际命中的策略组确实选择了该节点，再从连接页检查目标域名、匹配规则与连接错误。浏览器能用而游戏或通话失败时，还需核对 UDP 支持和流量接管方式。不要单凭测速结果排除节点问题；用同一目标、同一策略逐项对比，才能判断差异出在规则、协议还是远端服务。
订阅更新后，自定义规则为什么消失了？
直接修改订阅生成的配置，可能在下次更新时被远程内容替换。需要长期保留的规则应放到客户端支持的覆写、扩展配置或脚本中，具体入口以产品文档为准。恢复前先备份当前文件，再确认最终生效配置中的 rules 顺序：具体规则应放在 MATCH 之前。覆写中的策略组名称也要与订阅实际名称一致，否则可能出现找不到策略的加载错误。
如何设置开机自启，并避免启动后连接失败？
在客户端设置中启用开机自启后，还要确认系统的启动项权限没有阻止它。开机自启、启动后设置系统代理、服务随系统运行是不同设置，应分别核对。首次测试建议重启后先检查配置是否成功加载，再观察服务与网络是否就绪；若订阅更新过早失败，可在联网后手动更新验证。卸载或更换客户端前先关闭系统代理，避免系统保留一个已经无人监听的端口。
临时指定某个网站直连，应该改哪一项？
使用规则模式，在本地覆写中添加精确域名规则或 DOMAIN-SUFFIX 规则，并将目标指定为 DIRECT。规则按顺序匹配，因此应放在更宽泛的规则与 MATCH 之前。修改后查看最终配置是否包含该规则，再用新连接验证命中结果；已有长连接可能继续沿用旧策略。不要为了一个网站把整个客户端长期切到直连模式，也不要用过宽的域名后缀代替实际需要匹配的范围。
外部控制面板连不上，应该核对哪些设置？
先确认 external-controller 已启用，面板填写的地址、端口与 secret 和内核配置一致。只在本机使用时，控制接口绑定 127.0.0.1 即可；不要为了连接方便直接暴露到公网。若面板通过 HTTPS 打开而控制接口使用 HTTP，浏览器可能因混合内容策略拦截请求，需要按面板部署说明调整。分享截图前隐藏控制密钥，远程访问则应另行配置可信网络与访问保护。
故障排查
记录原始错误、发生时间与失败目标，再缩小到具体环节。
所有节点都显示 timeout，应该按什么顺序排查？
先关闭代理验证基础网络，再确认订阅有效、节点配置已成功加载。随后选择一个节点，用实际目标进行连接并查看日志；timeout 表示请求未在限定时间内完成，但不能单凭这一词判断是服务器故障。检查系统时间、服务器域名解析、防火墙以及其他 VPN 的干扰。多个节点都失败时优先查本机共用环节；仅个别节点失败时再向提供方反馈，附脱敏后的报错与发生时间。
浏览器可以访问，但 Microsoft Store 等 UWP 应用不能联网怎么办？
部分 Windows 应用容器受回环访问限制，无法直接连接本机代理端口。若客户端提供 UWP 回环工具，可按需为对应应用启用回环豁免，完成后重新启动该应用；不要一次为所有应用放开。也可在支持的环境下测试 TUN 接管，但仍需检查应用自身与系统的代理配置。回环豁免不是所有商店问题的通用修复，账户、系统服务和 DNS 错误也应结合日志分别排查。
日志出现 DNS 解析失败，是否应该直接关闭 Fake-IP？
先记录失败域名与完整错误，再检查配置中的 DNS 上游是否可达，以及上游域名解析是否形成循环依赖。DNS 超时不等于 Fake-IP 本身有错。只有确认某个应用不兼容虚拟地址时，再按需添加 fake-ip-filter，或对比 redir-host 模式验证。更改后清理相关 DNS 缓存并重新建立连接。不要同时替换所有 DNS 设置，否则即使恢复访问，也难以确认是哪项调整有效。
GeoIP 更新失败，GEOIP 规则还能正常使用吗？
若旧数据库仍存在且能被内核读取，更新失败不一定立即影响已有 GEOIP 匹配；若数据库缺失或损坏，引用它的规则可能加载或匹配失败。先查看日志中的数据库路径与下载错误，确认写入权限、磁盘空间和下载连接是否正常，再使用客户端提供的数据库更新入口重试。Country.mmdb 属于常见 GeoIP 数据文件，但具体格式取决于配置。GeoIP 与 geosite 用途不同，不能互相替代。
启动时报 address already in use，或者退出后完全无法联网怎么办？
address already in use 通常表示监听端口已被占用，先检查是否同时运行多个客户端或残留内核进程。停止重复实例，或调整 mixed-port 后同步修改系统代理端口，不要只改其中一处。退出客户端后无法联网时，先关闭系统里残留的手动代理；如果使用过 TUN，再按客户端说明停止服务并检查路由恢复情况。恢复基础网络后，再单独启动一个客户端验证。