Clash 入门配置教程

开始前：准备订阅和现有网络

完成本教程需要已经安装好的客户端，以及服务方提供的 Clash 兼容订阅链接或配置文件。客户端负责读取配置和转发连接，本身不等于代理服务；只有安装程序而没有可用配置，不能直接获得可连接的远程出口。订阅链接一般是一整段网址，其中可能带有账户标识，应当作为私人信息保存，不要贴到公开评论、截图或在线转换页面。

先确认设备能打开平时可直连的网站，再开始导入。若当前网络本身没有连通，订阅下载和后续连接测试都可能一起失败，难以判断问题出在哪一层。首次操作只保留一个客户端负责接管流量；已有其他 VPN 或代理软件时，先停止连接，不需要为了测试立即卸载。整个流程的完成标准是目标网页能够访问，且客户端记录能解释这次请求走向，而不是只看到一个绿色开关。

第一步：导入订阅，并设为当前配置

打开客户端，先进入配置、Profiles 或订阅页面。找到添加、新建或导入入口后，选择从 URL 导入，把服务方提供的订阅链接完整粘贴到地址栏。名称可以使用便于区分的本地备注，不影响连接。粘贴后检查首尾是否混入空格、换行、引号或聊天软件附带的说明文字，再点击保存、下载或导入，等待客户端返回结果。

成功导入后，页面通常会新增一项配置，并显示配置名称、更新时间或更新按钮。接下来还要点击这项配置，或使用启用、使用此配置等操作，把它设为当前配置。仅把链接保存进列表，不一定代表内核已经加载了它。可切换到代理页面检查：能够看到这份配置定义的策略组及节点，且没有配置解析错误，才说明可以继续下一步。部分客户端会自动选中新导入项，仍建议核对一次。

如果拿到的是本地 YAML 文件，使用从文件导入入口选择文件，不要把文件里的整段正文粘进订阅 URL 输入框。本地文件通常不会自动从服务方拉取更新；以后需要更新时，应按服务方的说明重新导入或替换。导入文件后同样要确认它已启用。不要只根据文件扩展名判断是否可用：扩展名相同，内容也可能不是当前内核支持的配置结构。

导入失败时，先看失败发生在哪一步

若提示下载失败、连接超时或无法访问地址，先检查链接是否过期、服务方页面能否打开，以及当前网络是否能访问订阅地址。首次导入时，客户端可能还没有可用代理，因此不能默认依靠尚未建立的连接下载订阅。若下载完成却提示 YAML 解析失败、未知字段或代理类型不支持，重点检查订阅格式与客户端内核是否兼容；网页登录页、错误提示页和其他客户端专用链接，都不能直接当作 Clash 配置加载。

不要连续点击更新来替代定位，也不要把私人订阅发给陌生人代查。先记下错误类型，确认链接来源和所选格式，再重试一次。更详细的原因可以到常见问题查阅。本步结束时应同时满足两个条件：配置列表中有导入项，而且代理页面已经出现对应内容。确认后再选择模式，避免在旧配置上继续操作。

第二步：选择 Rule 模式和实际出口

进入客户端的模式设置，选择 Rule、规则或规则模式。这个选项通常位于首页、代理页面顶部或设置中的运行模式区域。规则模式会按当前配置中的规则判断连接应当直连、经过某个策略组还是被拒绝，适合作为首次使用的起点。选好后暂时不要编辑规则文件，也不要同时改动多个模式相关开关；先让原有配置跑通，后面才有稳定的对照。

常见的 Global 或全局模式，会把进入内核且未被特殊处理的连接交给全局策略选择，但它不负责让设备上的所有程序自动进入内核。Direct 或直连模式则主要用于直连测试。换句话说，模式决定已接管流量如何选路，系统代理或移动端 VPN 决定哪些流量进入内核，这是两件事。只改成全局模式，却没有开启接管，浏览器仍可能完全绕过客户端。

接着打开代理或 Proxies 页面，找到配置中用于主要代理流量的策略组。它可能叫节点选择、代理、Proxy，也可能使用服务方自定义名称，并没有全站统一的固定叫法。点开组后查看可选项，首次使用优先选择一个明确的远程节点。若选中的是另一个策略组，还应继续查看下一级的实际选择；若最终落到 DIRECT，则对应连接会直连，不能据此验证远程节点是否可用。

先选一个可用节点，不必反复追最低测试值

使用客户端提供的连接测试或延迟测试，对候选节点测试一次。出现超时一般意味着该测试请求没有在限定时间内完成，但原因可能是节点不可达、测试目标不可达或网络暂时波动，不应直接把整份订阅判定为失效。可以换一个节点再试，保留能完成测试的选项。测试成功也只代表该测试路径当时可用，不能替代后面的网页访问验证。

配置中若已经有自动选择、故障转移或按用途区分的多个策略组，先保留其余组的原始设置，只检查当前目标会用到的主组。不要为了上手把所有组都改成同一出口，否则可能覆盖服务方设计的分流关系。策略组嵌套、自动切换条件和规则优先级属于后续内容，可在连接跑通后阅读配置进阶手册。本步完成的标志是规则模式已经选中，主策略组也有清楚的实际出口。

第三步：启动连接，开启流量接管

回到客户端首页，确认内核处于运行状态。有些桌面客户端启动后就会运行内核，有些需要点击启动或连接；若界面提示配置加载失败、监听端口占用或服务未就绪，应先处理这些错误。内核没有正常运行时，直接开启系统代理可能让浏览器请求被送到一个没有服务监听的本地端口，表现为原本能打开的网页也无法访问。

桌面端首次测试，先开启系统代理。这个开关可能位于首页、设置页，也可能出现在托盘或菜单栏图标的右键菜单中。开启后使用遵循系统代理设置的浏览器测试，不必马上进入操作系统设置手动填写端口。如果浏览器安装了独立控制代理的扩展，或之前配置过手动代理、PAC，应先确认它没有覆盖系统设置。开关显示开启，只能说明客户端尝试应用设置，不能单独证明每个应用都采用了它。

移动端通常需要点击连接按钮，并在第一次连接时确认系统弹出的 VPN 配置或连接请求。确认后回到客户端，检查连接状态是否保持，而不是点下按钮后立即恢复未连接。系统显示 VPN 图标，代表接管接口已经建立，不等于远程节点已经可用。若系统拒绝授权、存在其他正在连接的 VPN，或者设备管理策略限制了此功能，应先解决权限或冲突，再继续测试。

首次使用先不叠加 TUN 和其他网络改动

TUN 用于在虚拟网卡层接管流量，通常需要额外权限和路由设置。对于用浏览器完成第一次验证的桌面用户，先使用系统代理更容易排查；不要为了让状态看起来完整，同时打开 TUN、改 DNS、增加防火墙规则。只有浏览器已经能正常代理，而某个不遵循系统代理的程序仍需要接管时，再按客户端文档考虑 TUN。移动端使用系统 VPN 接口，也不意味着必须再找一个同名的 TUN 开关。

开启后，新建浏览器标签页发起一次访问，并观察客户端的连接列表是否出现活动。终端、游戏和部分独立网络应用可能不读取系统代理设置，因此第一次测试不建议以它们为准。若浏览器可用而命令行仍直连，先保留当前成功配置，转到常见问题查看应用接管范围，不要把已经工作的节点反复切换。到这里，配置、出口和接管三层已经接好，最后一步是用请求记录确认。

第四步：验证网页、规则命中和实际出口

先用浏览器访问一个已知可直连的网站，确认基础网络仍正常，再访问需要通过所选出口访问的目标站点。尽量新开标签页并重新加载，避免把此前已经打开的页面或缓存内容当作连接成功的证据。能加载目标页面是第一层验证，但还不足以判断它到底经过了哪个出口；同一站点的主文档、图片和接口也可能命中不同规则。

随后打开客户端的 Connections、连接或日志页面，再次加载目标网页，寻找对应域名或目标地址的记录。不同客户端展示字段不同，优先核对目标、命中规则、策略组和最终出口。若记录显示请求命中了某条规则并经过刚才选择的代理链，且页面正常返回，就可以把本次连接视为验证通过。若明确显示 DIRECT，说明该请求被直连处理，应先检查模式和规则，而不是认定节点已生效。

需要辅助确认时，可以访问可信的出口 IP 查询服务，观察这次查询显示的出口信息。规则模式下，查询网站自身也会受到分流规则影响，因此它的结果只代表该请求的路径；查询仍显示本地网络出口，并不能直接证明所有目标都没有走代理。反过来，查询出口改变也不代表设备上的每个程序都已被接管。以目标请求的连接记录为主，出口查询作为补充，两者结合比单看状态按钮可靠。

验证失败：按配置、出口、接管的顺序回查

如果完全没有对应连接记录，先确认当前配置确实启用、内核正常运行，再看系统代理或移动端连接是否仍开启。浏览器是否被扩展单独配置代理，也要在这一层检查。记录为空有时只是列表过滤条件或保留时间造成的，应清除筛选并在刷新页面的同时观察。只有排除这些因素后，才判断请求可能没有进入内核。

如果已经有记录但连接超时，先确认记录中的最终节点与预期一致，再换一个可用节点访问相同目标。只有某个网站失败时，不要立即修改全部网络设置；若多个代理目标都失败，才进一步检查订阅状态、远程节点和当前网络。遇到域名解析错误、证书错误或连接被拒绝，应保留完整错误类型分别处理，这些现象不属于同一个问题。提交求助信息时可以描述系统、客户端名称和复现步骤，但应遮去订阅地址、账户信息及其他私人数据。

完成验证后，记住当前配置名称、运行模式和主策略组选择，后续一次只改一个设置。开机自启、定时更新、按应用分流和 DNS 优化都可以稍后添加，不需要在首次连接时全部完成。如果仍无法定位，继续查阅Clash 常见问题；需要理解规则集、Fake-IP 或多订阅合并时，再进入配置进阶手册。本教程到目标访问正常、记录路径符合预期即可结束。