Clash 常见问题解答

Clash 是一类基于规则的网络代理工具的统称。核心是内核程序(如 mihomo),负责按配置文件中的分流规则匹配流量并决定出口;各平台的图形客户端(Clash Verge、Clash Meta for Android 等)在内核之上提供订阅管理、节点切换与开关界面。内核支持 VMess、VLESS、Trojan、Shadowsocks 等多种代理协议。

协议与规则相关名词的完整解释,见术语表。

mihomo 是内核,命令行程序,无图形界面,负责实际的流量处理。Clash Verge 是桌面图形客户端,内置 mihomo 内核,覆盖 Windows、macOS、Linux 三个平台。Clash for Windows 已于 2023 年停止维护,官方仓库已删除,不再获得任何更新;桌面端建议改用 Clash Verge 作为替代。

各平台客户端的获取入口见下载页。

客户端与内核均为开源软件,可免费获取。客户端本身不包含任何服务器节点,访问代理服务需要另行获得节点信息,即通常所说的订阅。订阅由第三方服务商提供,是否收费、流量额度多少由服务商决定,与客户端无关。

客户端只是流量调度工具,不提供节点。安装后需要导入包含节点信息的订阅链接或配置文件,选择可用节点并开启系统代理,流量才会经过代理出口。没有可用节点时,客户端处于空转状态,不产生任何代理效果。

从导入到验证的完整流程,见配置教程。

常见原因是开源安装包未购买商业代码签名证书,系统对未签名程序默认给出风险提示,并非检测到恶意行为。处理方式:在 SmartScreen 提示中依次点击更多信息、仍要运行;杀毒软件误报时,将安装目录加入信任列表。

打开系统设置中的隐私与安全性,在安全性一栏找到被阻止的应用,点击仍要打开即可完成首次授权。若提示应用已损坏无法打开,多为下载文件携带的隔离属性所致,可在终端执行 xattr -cr 加应用路径(例如 /Applications 下的客户端程序)清除属性后重新启动。

复制服务商提供的订阅 URL,打开客户端的订阅或配置页,选择从 URL 导入,粘贴后确认下载。导入成功后,代理页会列出订阅内的全部节点。多数客户端还支持剪贴板导入与本地文件导入,三种方式的操作差异见站内博客的订阅导入教程。

按顺序检查三点:

1. 订阅链接是否复制完整,是否存在被截断的参数;
2. 订阅是否已过期或流量用尽,可登录服务商面板确认;
3. 导入时本机能否连通订阅服务器,部分订阅地址需要先临时启用其他可用节点才能拉取成功。

若报格式错误,多为链接指向了非 Clash 格式的订阅,可向服务商索取 Clash 专用订阅链接。

Android 平台的流量接管通过系统 VpnService 接口实现,客户端需要建立一个本地虚拟网卡才能处理各应用的流量。该授权仅用于建立本地隧道,流量仍按配置的分流规则处理。拒绝授权则客户端无法接管流量。另建议在系统电池设置中将客户端设为不受限制,避免后台进程被系统清理导致断连。

规则模式按配置文件中的分流规则逐条匹配:命中代理规则的流量走节点,命中直连规则的流量不经代理,是日常推荐模式。全局模式将全部流量送入代理,适合规则不完善或需要临时全走代理的场景。直连模式下全部流量不经代理,常用于排障时做对照。切换入口在客户端主界面或代理页的模式选择器。

系统代理只对主动读取系统代理设置的程序生效,浏览器等大多数程序遵守;命令行工具、部分游戏与桌面程序会忽略系统代理。需要让这类程序也走代理时,开启 TUN 模式,由虚拟网卡在网络层接管全部流量。开启 TUN 在 Windows 上需要管理员权限或先安装系统服务,macOS 与 Linux 上需要相应授权。原理与���平台注意事项见站内 TUN 模式教程。

客户端的延迟测试是向测试地址发起一次 HTTP 请求并计时,单位为毫秒。数值越低响应越快;显示超时表示该节点当前不可达。延迟只反映握手响应速度,不等于带宽,视频等大流量场景还需实际测速验证。建议测试两三轮再下结论,单次结果受瞬时网络波动影响较大。

在配置文件 rules 段的最上方添加自定义规则,例如 DOMAIN-SUFFIX,example.com,DIRECT 表示该域名强制直连,末位改为代理组名则强制走代理。Clash 规则自上而下匹配,先命中先生效,因此自定义规则必须放在通用规则之前。部分客户端(如 Clash Verge 的全局扩展配置)支持在不改动订阅原文件的前提下追加规则,订阅更新后仍然保留。

规则优先级与常用写法详见分流规则优先级详解。

在订阅条目的编辑界面可设置自动更新间隔,常见取值为 1440 分钟,即每天更新一次。节点信息变动并不频繁,过短的间隔没有实际收益,还会增加订阅服务器压力。服务商更换节点后,也可以随时点击手动更新按钮立即拉取最新配置。

先确认系统代理开关已打开:客户端运行不等于系统代理已启用,两者是独立开关。再检查浏览器是否安装了代理类扩展覆盖了系统设置,浏览器自身的代理选项是否为使用系统代理。最后核对端口:系统代理指向的端口需与客户端混合端口(默认 7890)一致。完整的逐项排查清单见连接失败排查文章。

Windows 默认禁止 UWP 应用连接本机回环地址,因此这类应用无法使用本地代理端口,与节点是否正常无关。解决方式有二:

• 在支持的客户端中使用 UWP 回环豁免工具(Clash Verge 设置中提供入口),为目标应用解除回环限制;
• 直接开启 TUN 模式,在网络层接管流量,绕过回环限制。

按顺序缩小范围:

1. 切换直连模式访问普通网站,确认本机基础网络正常;
2. 手动更新订阅,排除节点信息过期;
3. 更换两三个不同地区的节点重测,排除单点故障;
4. 检查系统时间是否准确,VMess 等协议对时间偏差敏感,与标准时间相差超过约 90 秒会握手失败;
5. 以上均正常仍全部超时,联系服务商确认服务端状态。

默认混合端口 7890 被其他程序占用时,内核会启动失败。Windows 可用 netstat -ano 查找占用进程,macOS 与 Linux 可用 lsof -i :7890。常见冲突来源是未退出干净的旧内核进程或另一个代理软件,结束对应进程即可;也可以在客户端设置中把混合端口改为其他未占用的值,系统代理端口会随之同步。

多为权限或 DNS 问题。检查三点:

1. TUN 需要管理员或系统服务权限,Windows 上应先在客户端设置中安装服务模式再开启;
2. 确认配置中 DNS 已启用并开启了 enhanced-mode(常用 fake-ip),否则域名解析可能失败;
3. 避免与其他 VPN 或虚拟网卡软件同时运行,多个虚拟网卡争抢默认路由会导致断网。

关闭 TUN 后网络立即恢复,即可确认问题在上述范围内。