Clash 全平台
安装配置指南

01 / PREREQUISITES

通用准备：客户端、订阅与接管方式

区分图形客户端、内核与服务配置

Clash 生态里的图形客户端负责订阅管理、策略选择和系统集成，内核负责解析配置、匹配规则与建立连接。mihomo 是这一生态中持续演进的内核项目，但并非所有名为 Clash 的应用都使用同一内核，也不一定接受相同字段。准备配置前，先在客户端的关于或内核设置页面确认实际内核，再核对订阅提供方说明的配置格式；应用名称相似不能替代兼容性判断。

普通桌面与手机用户先从 Clash Plus 开始，下载页同时保留其他客户端供按需求选择。Linux 用户可选 Clash Verge Rev 或 FlClash；只有明确需要后台服务、路由器部署或自行管理配置时，再使用独立 Mihomo 内核。若要理解这些项目的关系，可阅读Clash、mihomo 与客户端生态关系。客户端安装完成只代表程序可以启动，不代表已经具备可用的代理出口。

准备订阅并保留可恢复副本

订阅通常是返回配置文本的 HTTPS 地址，其中可能附带访问凭据。它不是普通介绍网页，也不等于单个节点分享链接。复制时检查是否带入换行、空格或聊天软件附加标点，不要把带凭据的完整地址贴到公共论坛。确认服务状态、有效期和设备限制；若服务提供方分别提供通用格式与 mihomo 格式，应按当前内核选择，而不是反复尝试所有入口。

首次配置前，记下原有系统代理状态、正在运行的 VPN 和网络接口名称。已有配置应先导出或复制到独立目录，同时记录手动选择的策略。远程订阅更新可能覆盖本地编辑，个性化规则宜放在客户端支持的覆写或合并功能中。导出的配置和日志可能包含服务器地址、用户名或订阅地址，分享截图前应逐项遮盖，不要只隐藏节点名称。

先分清模式，再选择接管方式

规则、全局、直连决定出口选择逻辑；系统代理与 TUN 决定流量如何进入内核，二者属于不同层。规则模式按列表从上到下匹配，全局模式把进入内核的请求交给全局策略，直连模式则不经代理出口。第一次验证建议使用规则模式，明确选择一个可用节点，再观察连接记录。切换到全局模式可以用于定位规则问题，但不能修复订阅失效或节点不可达。

TUN 通过虚拟网络接口与路由接管请求，覆盖面通常比系统代理更广，但实际范围仍受系统限制、排除规则和客户端实现影响。手机端常表现为系统 VPN 配置授权，桌面端可能需要特权服务。首次安装不要同时叠加多个接管工具；先验证一种路径，再增加 TUN。出现问题时，必须能说明当前请求到底走了哪一个入口，而不是只看界面的连接开关。

建立最小验证基线

选择一个本来可以直连的网页和一个确实需要所选代理路径的目标，分别测试。记录当前网络、客户端模式、策略组选择和错误时间；随后在连接页查找相同域名，核对规则、策略链与出口。延迟测试只证明特定测试请求在当时完成，不能保证所有域名、UDP 或登录流程都可用。若基础网络本身异常，应先停用接管恢复普通上网，再处理客户端。

02 / WINDOWS

Windows：安装、系统代理与服务权限

按系统架构选择安装入口

在设置的系统信息页面确认处理器类型与系统架构，再进入Windows 客户端下载区。首推 Clash Plus，其他选项包括 Clash Verge Rev、FlClash 和 Clash Nyanpasu；Clash for Windows 属于已停止维护的归档选项，不建议作为新设备的常规起点。不要因为电脑品牌相同就沿用另一台机器的安装文件，架构和应用自身的系统要求需要分别核对。

运行安装程序时阅读发布者信息与目标目录，安装到普通应用目录，不要长期从浏览器下载临时目录启动。若安全软件拦截，应核对文件来源和拦截详情，不要直接关闭整个防护体系。程序启动后先保持系统代理与 TUN 关闭，检查界面、配置存储与日志是否正常；随后只保留一个代理客户端运行，避免另一个程序在后台反复改写代理设置。

导入订阅并确认当前使用配置

在配置或订阅页面选择从地址导入，为条目设置容易辨认的名称，等待下载与解析完成。若导入成功却看不到节点，先确认导入的是完整配置还是代理集合；只含节点的内容可能需要 provider 或模板支持。不要把下载完成提示当作配置已启用，进入列表选中刚导入的条目，再确认代理页出现了该配置定义的策略组。

切换到规则模式，在手动选择组中选定一个节点。自动测试组可能根据测试结果自行选择出口，第一次排错最好暂时使用明确的手动选择，减少变量。如果订阅更新后策略组名称变化，原先保存的选择可能失效，应重新检查，而不是只重启应用。客户端若提供配置检查功能，先处理语法和策略引用错误，再打开系统代理。

使用系统代理验证浏览器流量

打开客户端的系统代理开关后，进入 Windows 设置中的网络和代理页面，确认手动代理指向本机回环地址与实际监听端口。常见地址是 127.0.0.1，端口以客户端为准。回环地址只表示当前电脑；把它填到另一台设备上不会指向这台 Windows 主机。开启允许局域网之前，应明确访问来源并设置防火墙边界。

浏览器能上网但终端不通，常见原因是终端工具没有读取系统代理。可用下面命令对一个公开 HTTPS 站点进行显式 HTTP 代理测试，其中端口必须替换为当前实际值。收到 HTTP 响应说明该请求经过了所指定的入口；若返回代理认证或目标站拒绝信息，应继续区分入口、出口与站点策略，不能把所有非成功状态都解释成端口故障。

curl.exe --proxy http://127.0.0.1:7890 --head https://example.com/

TUN、回环限制与端口冲突

需要覆盖不遵循系统代理的应用时，再启用客户端提供的服务模式与 TUN。服务模式通常负责以系统权限管理虚拟接口和路由，普通界面能打开不代表该服务已经安装或运行。按客户端提示完成一次授权，回到日志确认虚拟接口创建与路由设置成功。不要为了尝试 TUN 给来源不明的脚本管理员权限，也不要同时开启另一套接管相同路由的 VPN。

部分 UWP 应用受回环访问限制，可能在浏览器正常时仍无法连接本机代理。先确认它确实使用系统代理，再参考UWP 回环豁免处理方法处理目标应用，而不是给所有应用批量放行。若使用 TUN 后行为改变，也应在连接记录中确认请求是否进入内核，避免把应用自身的登录或证书错误误判为回环问题。

端口被占用时，可在 PowerShell 执行 Get-NetTCPConnection -LocalPort 7890 -ErrorAction SilentlyContinue，再根据进程编号核对占用者。确认旧客户端退出后再启动当前客户端；不要终止无法识别的系统进程。修改监听端口后，系统代理、浏览器扩展和终端变量也要同步调整。退出前关闭接管；若异常退出后网页全断，先恢复系统代理为原状态，再重新启动客户端检查日志。

03 / MACOS

macOS：架构、网络权限与代理恢复

确认芯片并完成应用安装

打开苹果菜单中的关于本机，查看显示的是 Apple 芯片还是 Intel 处理器，再进入macOS 下载区选择相应安装文件。首推 Clash Plus，也可按界面与功能需求选择 Clash Verge Rev 或 FlClash。ClashX Meta 是已停止维护的归档选项，旧教程中的菜单位置和内核能力不应直接套用到当前客户端。

使用磁盘映像安装时，先将应用拖入应用程序目录，再从该目录启动。长期从挂载映像内运行可能影响升级、权限关联与辅助服务路径。首次打开若出现系统安全提示，应先核对来源与应用信息，再按系统设置中的隐私与安全性提示处理。遇到应用损坏或无法验证时，先重新获取正确架构的文件，不要把递归移除安全属性作为所有报错的统一解决办法。

按实际功能批准权限

系统代理、特权辅助服务和网络扩展是不同机制。部分客户端只需修改当前网络服务的代理设置；部分 TUN 实现依赖辅助服务，另一些应用使用系统网络扩展。只有客户端实际请求且功能确实需要时才批准，不必在系统设置中寻找本应用从未使用的开关。授权后返回应用确认状态，有些更改需要重新启动应用或按系统提示重新连接。

钥匙串弹窗通常对应应用保存或读取凭据，先检查弹窗里的应用名称、钥匙串项目和请求动作，再决定是否允许。不要因为看到代理相关提示就把所有密码访问都设为始终允许。若每次启动都重复弹窗，应检查应用是否被移动、签名身份是否变化、辅助组件路径是否仍正确。具体路径差异可查阅macOS 网络扩展与钥匙串授权说明。

订阅导入与网络服务检查

在客户端配置页面添加订阅地址，下载完成后启用对应条目，再到代理页面检查策略组。macOS 的菜单栏入口和主窗口可能分别显示连接状态与配置列表，关闭窗口通常不等于退出应用。确认菜单栏里没有另一个客户端仍在接管网络，避免前台看的是一个程序、系统代理却由另一个程序写入。规则模式下先选择明确的节点，再进行目标站测试。

开启系统代理后，进入当前 Wi-Fi 或有线网络的详细设置查看代理项。系统按网络服务保存配置，切换扩展坞网卡、有线网络或新 Wi-Fi 后，设置可能与之前不同。下面命令可以查看当前生效的代理信息；重点核对启用标记、服务器和端口，而不是只寻找某个固定字段。终端工具未读取系统代理时，仍需显式指定代理或设置进程环境。

scutil --proxy
networksetup -listallnetworkservices
lsof -nP -iTCP:7890 -sTCP:LISTEN

TUN 与休眠后的恢复路径

需要接管更多应用流量时，按客户端流程安装或启动对应服务，再开启 TUN。确认日志没有权限不足、接口创建失败或路由冲突提示。公司设备可能受管理策略限制，系统设置中可见某项配置不代表普通用户可以修改它。若同时使用企业 VPN，应先了解其路由范围与使用要求；不要删除设备管理配置来强行接管流量。

休眠唤醒后连接失败时，先确定普通网络已经恢复，再观察内核是否仍在运行、订阅配置是否仍处于启用状态。Wi-Fi 切换可能改变默认路由和 DNS，旧连接也可能尚未重建。依次停止连接、等待网络稳定、重新连接，并用新请求验证；不要只刷新一个长期保持连接的网页。若仅 TUN 失败而显式代理正常，应优先检查虚拟接口、路由与 DNS，而不是重装所有配置。

卸载或迁移前先在应用中关闭系统代理与 TUN，再按客户端说明移除辅助服务。应用异常退出后，检查当前网络服务是否留下本机代理，必要时恢复到安装前状态。不要随意删除所有网络位置或钥匙串项目，这会影响其他应用。确认普通上网恢复后再安装新客户端，并从备份导入配置；一次只恢复一个设置层，便于判断问题来自配置还是系统集成。

04 / ANDROID

Android：订阅格式、VPN 授权与后台运行

选择安装包与兼容配置

进入Android 下载区，首推 Clash Plus；其他选项依次为 Clash Meta for Android、FlClash 和 Surfboard。下载前核对设备架构与应用最低系统要求，多数较新的手机使用 ARM64，但旧设备和特殊系统不能仅凭外观判断。若安装包提示不兼容，应核对架构、系统与已有应用签名，而不是反复下载同一个文件。

通过浏览器或文件管理器安装时，系统可能要求允许该来源安装应用。只给当前使用的来源临时授权，安装完成后可按需要关闭。升级前保留订阅地址和本地配置；签名不一致导致无法覆盖安装时，不要立即卸载，因为卸载可能清除应用数据。先确认是否误用了同名的其他应用或不同发布渠道，再根据备份情况决定迁移。

客户端格式需要单独确认。Clash Plus、Clash Meta for Android 与 FlClash 的具体字段支持仍取决于内核和实现；Surfboard 使用的配置体系与 Clash YAML 不同，不能把完整 Clash 配置原样粘贴后期待通用。若订阅提供方给出多个格式入口，应选择当前应用明确支持的格式。转换服务会接触订阅信息，使用前应评估来源，不要把带凭据的地址交给不明网页。

导入后先检查配置，再发起连接

在配置或配置文件页面添加远程地址，完成下载后查看是否出现策略组与节点，再把该配置设为当前使用项。远程地址请求成功但内容是登录页、到期提示或错误 HTML 时，仍会解析失败。可先检查订阅状态和错误摘要；不要在手机浏览器中反复公开打开带凭据的地址，也不要为绕过错误而随意删除 YAML 结构。

首次连接时，Android 通常显示系统 VPN 授权对话框。确认请求来自刚安装的应用后批准，随后检查系统 VPN 状态与应用连接日志。这里的 VPN 是应用通过系统接口接管流量的方式，不等于已经连接到某个代理节点。即使状态栏出现 VPN 标识，策略组仍可能选择直连、节点仍可能失效，因此还要用目标请求核对实际出口。

应用分流与其他 VPN 的边界

Android 的 VPN 接口通常不能由多个普通 VPN 应用同时占用。若设备正在运行企业 VPN、广告过滤器或其他基于 VPN 的网络工具，启动当前客户端可能使原连接断开。先明确要保留哪条接管路径，并检查系统是否配置了始终开启 VPN。若组织策略锁定了该项，应遵循设备管理要求，不要通过重置系统网络来规避。

按应用代理常见包含名单与排除名单两种语义：前者只有选中应用进入接管，后者选中应用绕过接管。修改后阅读当前模式说明，并重新启动目标应用建立新连接。一个聊天应用正常而浏览器异常，可能只是两者在不同名单中，不一定是节点问题。配置修改后也要区分既有长连接与新连接，旧会话不一定立即迁移出口。

后台限制、DNS 与网络切换

锁屏一段时间后断开，先查看客户端进程是否被系统结束、VPN 状态是否消失。按手机厂商提供的电池设置，允许必要的后台活动与自启动；若应用提供前台服务通知，应保留其正常运行条件。不要一次关闭所有应用的省电限制。可以在同一网络下分别测试亮屏、锁屏与唤醒后的请求，记录断开是否稳定发生，判断是进程管理还是网络切换造成。

Android 的私人 DNS、浏览器安全 DNS 和客户端 DNS 是不同入口。出现域名解析失败时，先记录这些设置，不要同时改动。系统使用严格私人 DNS 时，相关服务器不可达可能影响联网；浏览器自行解析则可能改变按域名分流的观测结果。先恢复到可确认的基线，再逐个启用，检查连接日志中的域名和错误类型，而不是只看节点测速。

Wi-Fi 切换到移动网络后，运营商网络、IPv6 路径与 UDP 条件可能变化。先暂停连接确认基础网络正常，再重新连接并测试新请求。若只有某个协议失败，尝试服务方明确支持的其他节点作对照，不要在没有记录的情况下修改大量内核参数。出行前可保存必要的配置副本，但节点是否仍可用取决于服务状态；本地有配置不代表远程出口始终可达。

05 / IOS

iOS：Clash Plus 安装、导入与系统 VPN

从商店安装并核对支持范围

iPhone 与 iPad 用户从iOS 下载区进入 Clash Plus，或直接打开其App Store 页面。客户端官网为 clashplus.io。安装前在商店页面核对设备兼容性和系统要求，安装后先打开应用查看配置与连接入口，不要照搬 macOS 菜单栏教程或把桌面辅助服务步骤应用到手机。

iOS 的网络接管依赖系统提供的扩展能力，应用可展示的开关与桌面客户端不同。不能因为某份 mihomo 配置在电脑上通过解析，就假设其 TUN、文件路径、外部控制和脚本设置都能在手机上生效。导入前查阅应用支持的配置说明；遇到不支持字段时，优先向订阅提供方获取适配格式，避免不加区分地删掉整段设置。

订阅导入与远程更新

在 Clash Plus 的配置或订阅入口添加远程地址，按应用提示命名并保存。粘贴后检查地址开头、末尾与参数是否完整，尤其注意从备忘录或聊天软件复制时带入的换行。下载完成后选中该条目，查看策略组是否出现，再选择节点。若应用支持通过系统分享导入，仍要核对最终载入的条目，避免同名订阅重复存在而连接到了旧配置。

订阅更新通常重新下载远程内容，并不保证保留所有手动改动。首次连接成功后记录当前配置名、模式与策略组选择；更新后若分组发生变化，应重新核对。不要把订阅地址存到公开共享的备忘录或截图中。更换设备前使用应用支持的导出或系统备份方式保存必要信息，并确认备份是否包含敏感地址；同步便利性不能替代对访问权限的管理。

批准 VPN 配置并验证实际流量

首次启动连接时，系统可能请求添加 VPN 配置，并通过设备密码或生物识别确认。核对应用名称后授权，再返回客户端等待连接结果。如果之前拒绝过授权，可重新发起连接并按照当前系统提示处理。系统设置中的 VPN 列表可用于确认配置归属，但不要为了让一个应用工作而删除其他已知用途的企业或学习环境配置。

VPN 标识说明系统存在相应连接状态，不证明目标站一定经过所选代理。先使用规则模式，选择明确的节点，打开一个新网页，然后在客户端连接记录中查找对应域名与策略。若命中 DIRECT，说明规则选择直连；若进入代理策略但超时，则继续检查出口与目标站。第一次验证尽量使用普通浏览器页面，避免把登录缓存、应用商店会话或推送连接作为唯一判断依据。

Wi-Fi 代理与扩展配置不要混用

iOS 的 Wi-Fi 详情页也有 HTTP 代理设置，但它与客户端建立的 VPN 扩展不是同一个入口。历史上手动填写过本机或局域网代理时，应先记录并检查是否仍然生效。移动网络不会沿用某个 Wi-Fi 的手动代理配置，因此“Wi-Fi 能用、蜂窝网络不能用”需要分别判断。初次排错应只保留当前需要的一条路径，减少叠加接管。

同一设备上的其他 VPN 配置、内容过滤工具与设备管理策略也可能影响连接。若连接后立刻被另一个工具替换，先查看系统 VPN 状态与相关工具的自动连接设置，再决定保留哪一项。应用内的按需连接功能若存在，应在手动连接已经稳定后启用，并确认触发条件。不要为了省一步操作就在尚未验证的配置上开启所有自动重连选项。

锁屏、切网与移动端排错

iOS 的应用界面与网络扩展具有不同生命周期，界面进入后台不等于扩展一定停止；反过来，界面还在也不保证扩展始终健康。锁屏或切网后无法使用时，先确认基础网络，再打开客户端查看连接状态与最近日志。不要依赖反复划掉应用作为固定维护动作，强制结束可能改变当前运行状态，反而让复现条件不稳定。

蜂窝网络故障应检查应用是否获准使用蜂窝数据、套餐网络是否正常、节点是否支持当前网络条件。若仅某个应用异常，比较浏览器是否正常，再核对域名规则和目标服务限制。日志显示 DNS 失败时先处理解析；显示连接超时则检查出口；显示证书错误则核对设备时间与目标站证书，不能通过忽略证书检查来代替修复。断开客户端后仍异常，应检查遗留的 Wi-Fi 代理及其他 VPN 状态。

06 / LINUX

Linux：软件包、会话代理与内核服务

区分桌面客户端和独立内核

桌面用户进入Linux 下载区，优先考虑 Clash Verge Rev，也可选择 FlClash。按发行版的软件包管理体系选择已有的安装格式，再核对处理器架构。Debian 系与 RPM 系的软件包不能仅修改扩展名互换使用；下载页没有某种组合时，不要假定其他架构的文件能够直接运行。独立 Mihomo 面向明确需要命令行、服务器或路由器部署的用户。

安装桌面软件前先阅读包管理器的依赖提示，不要通过强制忽略依赖掩盖图形运行环境缺失。最小化服务器通常没有完整桌面会话，即使装上图形应用，也不适合作为后台服务方案。安装完成先以普通用户启动图形界面，确认订阅目录可写、配置可以载入；只有 TUN 或服务操作需要时，再按客户端流程授予相应权限。

导入配置并核对桌面环境代理

图形客户端中添加订阅地址，下载后启用配置，并在代理页选择节点。Linux 的桌面系统代理依赖 GNOME、KDE 等环境的设置机制；某个开关成功写入桌面设置，不代表所有应用都会读取。沙盒应用、浏览器和终端可能分别使用不同入口。先用显式代理验证内核监听，再判断问题是否发生在桌面设置传播，而不是一开始就调整 TUN。

下面环境变量只影响当前 shell 及其随后启动的子进程，不会追溯修改已经运行的程序。端口应与客户端一致；no_proxy 用于保留本机连接，实际排除项按应用支持情况配置。测试完成可关闭该终端或移除变量。不要立即把试验值写进全局启动文件，否则客户端未启动时，依赖这些变量的包管理器和开发工具可能全部连接失败。

export http_proxy=http://127.0.0.1:7890
export https_proxy=http://127.0.0.1:7890
export no_proxy=localhost,127.0.0.1,::1
curl --head https://example.com/
unset http_proxy https_proxy no_proxy

独立内核先检查，再运行

使用独立 Mihomo 时，按下载页内核区选择平台与架构，解压后放入受控目录，并设置执行权限。准备自己的配置目录与 config.yaml，确保运行账户可以读取配置以及写入所需缓存。以下命令假设可执行文件已命名为 mihomo，且配置放在当前用户的指定目录；先做配置测试，再以前台方式启动观察错误，验证稳定后才考虑服务化。

chmod u+x ./mihomo
./mihomo -t -d "$HOME/.config/mihomo"
./mihomo -d "$HOME/.config/mihomo"

配置测试通过只说明静态结构与相关检查通过，不保证远程节点在线、规则资源下载成功或系统路由可写。前台启动后确认监听地址、端口和配置加载结果，再用显式代理发送请求。服务化时必须使用绝对路径，明确运行账户、工作目录与配置目录；交互终端里的环境变量不会自动进入系统服务，桌面账户的家目录也不等于服务进程的家目录。

TUN、DNS 与权限控制

TUN 通常需要访问 /dev/net/tun 并具备配置网络的权限。容器、受限主机和路由器固件可能不提供相同条件；出现设备不存在或操作不允许时，先确认宿主环境支持，不要反复更换 DNS 试图修复权限问题。优先使用客户端支持的服务方案。自行编写服务时应评估最小权限，不能把整个图形会话以 root 身份运行当作标准做法。

Linux 还可能同时使用 NetworkManager、systemd-resolved 与本地 DNS 服务。接管 DNS 前先确认监听者和解析链路，不要直接覆盖 /etc/resolv.conf，因为它可能由系统管理并指向本地存根。若改动后短时正常、重连网络后又失效，往往是管理服务重新写入。保留原设置，明确由哪一层管理解析，再按客户端支持方式整合。

需要诊断端口时可使用 ss -lntp，路由用 ip route 查看；读取其他用户进程信息可能需要额外权限。不要把代理端口或控制接口绑定到所有地址后直接暴露到公网。退出与卸载时先停止服务、取消代理环境变量、恢复接管路由，再检查普通联网。若系统代理正常而某个终端程序失败，还要检查该程序自己的代理配置，避免把会话设置问题误判成内核故障。

07 / CONFIGURATION & DIAGNOSTICS

配置常见问题：按请求链路逐层定位

配置可解析，不等于具有可用出口

YAML 使用空格表达层级，列表项需要保留连字符，不能用制表符混排。合并片段前查看已有顶层键；重复写两段 rules 或 proxy-groups 可能被覆盖或拒绝。策略组中的名称引用必须存在，大小写和标点也要一致。下面是可用于 mihomo 的最小直连诊断配置，仅验证监听、模式与规则链，不包含远程代理节点，不应拿它判断代理服务是否可用。

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info
proxy-groups:
  - name: CHECK
    type: select
    proxies:
      - DIRECT
rules:
  - MATCH,CHECK

如果该配置能完成显式代理请求，而原订阅不行，下一步检查原配置的节点、组引用与规则资源；如果连本机监听都无法访问，先处理进程、端口与防火墙。不要直接把诊断配置覆盖到唯一的订阅文件上，建议新建本地条目并保留原件。诊断结束后切回原配置，重新确认当前启用项，避免误把纯直连测试环境当作代理连接。

订阅失败与规则不生效怎样区分

订阅下载失败先按错误分类：连接失败检查基础网络和订阅域名；认证失败检查地址凭据与服务状态；下载成功但解析失败检查返回内容及格式。某些订阅地址只有在已有代理时才能访问，而代理又依赖该订阅，形成启动依赖。应向服务方获取可访问入口或使用此前有效的本地备份，不要在缺少节点时反复开启全局模式期待自动修复。

规则按顺序匹配，宽泛规则放在前面会遮住后面的细分规则。添加域名规则时先确认目标实际请求的域名，而不是只复制浏览器地址栏；登录、图片与接口可能分布在不同域名。连接记录能显示命中规则和策略链，应以该证据核对。需要 GeoIP 数据的规则还依赖资源加载，数据库格式和更新入口按当前内核处理，不要混用旧教程的文件名与目录。

自动策略组的测速结果还受测试地址、间隔和网络状态影响。url-test 主要按测试表现选择，fallback 关注顺序可用性，load-balance 则按其算法分配连接。它们不是三种不同的代理协议。节点频繁切换时，先确认业务是否需要固定出口，再调整策略；详细字段可查阅自动策略组区别与配置写法。

从入口、解析、出口到目标站

DNS 相关设置尤其需要避免循环：内核请求上游解析，而该上游连接又依赖尚未解析出的代理服务器域名，就可能无法启动。不同配置可通过独立的代理服务器解析设置处理依赖，具体字段以实际内核为准。启用 fake-ip 时，系统解析得到的合成地址不应当作真实公网地址分享或写进静态规则；应用兼容问题应通过明确的过滤策略定位，而不是随意替换整套 DNS 配置。

TCP 正常而游戏、语音或其他 UDP 业务失败，先确认节点协议、服务端和客户端均支持所需 UDP 路径，再检查是否实际被接管。开启 TUN 并不能给原本不支持的出口增加 UDP 能力。IPv6 也应按系统、内核、DNS 和出口四层一起检查；只关闭某一层可能造成结果不一致。每次调整后使用新的连接测试，必要时按应用正常方式结束旧会话。

保留证据与安全回退

临时提高日志级别时，记录故障发生时间、目标域名、命中规则和错误摘要，复现后恢复常规级别。提交问题前隐藏订阅凭据、服务器认证信息和不必要的访问记录。说明系统、客户端、内核、模式及接管方式，比单张连接失败截图更有定位价值。界面区块含义不明确时，可先读代理页、配置页与日志页速览。

回退按改动逆序执行：停止 TUN，关闭系统代理，撤销临时环境变量，再确认普通网络。基础网络恢复后，依次恢复配置、手动出口、系统代理，最后才测试 TUN 与自动策略。每轮只修改一个变量，并记下结果。若需要重新走通完整操作主线，回到快速上手教程；若需要更换客户端，先在下载页核对支持范围与安装要求，避免把迁移当作跳过诊断的替代方法。