Clash 全平台
安裝設定指南

01 / PREREQUISITES

通用準備：客戶端、訂閱與接管方式

分清圖形客戶端、核心與服務設定

Clash 生態系中的圖形客戶端負責管理訂閱、選擇策略及整合系統；核心則負責解析設定、比對規則與建立連線。mihomo 是這個生態系中持續發展的核心專案，但並非所有名為 Clash 的應用都使用相同核心，也不一定支援相同欄位。準備設定前，先在客戶端的「關於」或核心設定頁面確認實際使用的核心，再核對訂閱服務商提供的設定格式；應用名稱相近，不代表彼此相容。

一般桌面與手機使用者可先從 Clash Plus 開始，下載頁也提供其他客戶端，方便依需求選擇。Linux 使用者可選 Clash Verge Rev 或 FlClash；只有明確需要背景服務、路由器部署或自行管理設定時，才使用獨立的 Mihomo 核心。想了解這些專案之間的關係，可閱讀Clash、mihomo 與客戶端生態系關係。客戶端安裝完成只代表程式能啟動，不表示已有可用的代理出口。

準備訂閱並保留可復原的備份

訂閱通常是會傳回設定文字的 HTTPS 網址，可能包含存取憑證。它不是一般介紹網頁，也不等於單一節點分享連結。複製時請確認沒有帶入換行、空格或通訊軟體附加的標點；含有憑證的完整網址不要貼到公開論壇。確認服務狀態、有效期限與裝置數量限制；若服務商分別提供通用格式和 mihomo 格式，請依目前使用的核心選擇，不要反覆嘗試所有入口。

首次設定前，記下原本的系統代理狀態、正在執行的 VPN 和網路介面名稱。已有的設定先匯出或複製到獨立資料夾，並記錄手動選擇的策略。遠端訂閱更新可能覆蓋本機編輯內容；個人化規則宜使用客戶端支援的覆寫或合併功能。匯出的設定和日誌可能含有伺服器位址、使用者名稱或訂閱網址，分享截圖前請逐項遮蔽，不要只遮住節點名稱。

先分清模式，再選擇接管方式

規則、全域、直連決定出口選擇邏輯；系統代理與 TUN 則決定流量如何進入核心，兩者屬於不同層面。規則模式依序比對清單，全域模式會將進入核心的請求交由全域策略處理，直連模式則不經代理出口。首次驗證建議使用規則模式，明確選擇一個可用節點，再查看連線紀錄。切換至全域模式可用來排查規則問題，但無法修復失效的訂閱或無法連線的節點。

TUN 透過虛擬網路介面和路由接管請求，涵蓋範圍通常比系統代理更廣，但實際範圍仍會受到系統限制、排除規則和客戶端實作影響。手機通常會要求授權系統 VPN 設定；桌面端則可能需要特權服務。初次安裝時不要同時疊加多種接管工具；先確認一種方式運作正常，再啟用 TUN。發生問題時，必須能說明目前的請求究竟經由哪個入口，而不只是查看介面上的連線開關。

建立最小化驗證基準

選一個原本可直接連線的網頁，以及一個確實需要所選代理路徑的目標，分別測試。記錄目前網路、客戶端模式、策略群組選擇和錯誤時間；接著在連線頁面搜尋相同網域，核對規則、策略鏈與出口。延遲測試只表示特定測試請求當下成功完成，不能保證所有網域、UDP 或登入流程都可用。若基礎網路本身異常，先停用接管並恢復一般上網，再處理客戶端。

02 / WINDOWS

Windows：安裝、系統代理與服務權限

依系統架構選擇安裝項目

在「設定」的系統資訊頁面確認處理器類型與系統架構，再前往Windows 客戶端下載區。首選為 Clash Plus，其他選項包括 Clash Verge Rev、FlClash 和 Clash Nyanpasu；Clash for Windows 已停止維護，僅作為封存選項，不建議新裝置使用。不要因為電腦品牌相同就沿用另一台電腦的安裝檔，架構和應用程式本身的系統需求都要分別確認。

執行安裝程式時，請查看發行者資訊和安裝目錄，將程式安裝至一般應用程式資料夾，不要長期從瀏覽器下載的暫存資料夾啟動。若安全軟體攔截，請確認檔案來源與攔截詳細資訊，不要直接關閉整套防護。程式啟動後，先關閉系統代理與 TUN，確認介面、設定儲存和日誌運作正常；接著只保留一個代理客戶端執行，避免其他程式在背景反覆改寫代理設定。

匯入訂閱並確認目前使用的設定

在設定或訂閱頁面選擇從網址匯入，為項目設定容易辨識的名稱，並等待下載與解析完成。若匯入成功卻看不到節點，先確認匯入的是完整設定還是代理集合；只有節點的內容可能需要 provider 或範本支援。不要把下載完成提示當成設定已啟用，請在清單中選取剛匯入的項目，再確認代理頁面出現該設定定義的策略群組。

切換至規則模式，並在手動選擇群組中選定一個節點。自動測試群組可能依測試結果自行選擇出口；首次排錯時，最好暫時手動指定節點以減少變數。若訂閱更新後策略群組名稱改變，先前儲存的選擇可能失效，請重新確認，不要只重新啟動應用程式。若客戶端提供設定檢查功能，先修正語法和策略引用錯誤，再開啟系統代理。

使用系統代理測試瀏覽器流量

開啟客戶端的系統代理開關後，前往 Windows「設定」中的網路與代理頁面，確認手動代理指向本機迴送位址和實際監聽連接埠。常見位址為 127.0.0.1，連接埠請以客戶端顯示為準。迴送位址只代表目前這台電腦；填到其他裝置上，不會指向這台 Windows 主機。啟用允許區域網路存取前，請確認存取來源並設定防火牆規則。

瀏覽器能上網但終端機無法連線，常見原因是終端工具沒有讀取系統代理。可使用以下指令，透過明確指定的 HTTP 代理測試公開 HTTPS 網站；連接埠必須替換為目前的實際值。收到 HTTP 回應表示該請求經過指定入口；若收到代理驗證或目標網站拒絕訊息，請繼續區分入口、出口與網站策略，不要把所有非成功狀態都歸因於連接埠故障。

curl.exe --proxy http://127.0.0.1:7890 --head https://example.com/

TUN、迴送限制與連接埠衝突

需要接管不遵循系統代理的應用程式流量時，再啟用客戶端提供的服務模式與 TUN。服務模式通常負責以系統權限管理虛擬介面和路由；一般介面能開啟，不代表服務已安裝或正在執行。依客戶端提示完成授權，再查看日誌確認虛擬介面建立與路由設定成功。不要為了嘗試 TUN 就授予來源不明的指令碼系統管理員權限，也不要同時啟用另一套接管相同路由的 VPN。

部分 UWP 應用程式受到迴送存取限制，可能在瀏覽器正常時仍無法連線本機代理。先確認應用程式確實使用系統代理，再參考UWP 迴送豁免處理方式設定目標應用程式，不要一次放行所有應用程式。若啟用 TUN 後行為改變，也應在連線紀錄中確認請求是否進入核心，避免把應用程式本身的登入或憑證錯誤誤判為迴送問題。

連接埠遭占用時，可在 PowerShell 執行 Get-NetTCPConnection -LocalPort 7890 -ErrorAction SilentlyContinue，再依處理程序編號確認占用者。確認舊客戶端已結束後再啟動目前的客戶端；不要終止無法辨識的系統處理程序。變更監聽連接埠後，系統代理、瀏覽器擴充功能和終端機環境變數也要同步調整。結束使用前請關閉流量接管；若程式異常退出後所有網頁都無法連線，先將系統代理還原至原本狀態，再重新啟動客戶端並查看日誌。

03 / MACOS

macOS：處理器架構、網路權限與代理還原

確認晶片類型並安裝應用程式

開啟蘋果選單中的「關於這台 Mac」，確認處理器是 Apple 晶片還是 Intel，再前往macOS 下載區選擇相應安裝檔。首選為 Clash Plus，也可依介面和功能需求選擇 Clash Verge Rev 或 FlClash。ClashX Meta 已停止維護，僅作為封存選項；舊教學中的選單位置和核心功能不可直接套用至目前的客戶端。

使用磁碟映像檔安裝時，先將應用程式拖曳至「應用程式」資料夾，再從該資料夾啟動。長期從掛載的映像檔執行，可能影響升級、權限關聯與輔助服務路徑。首次開啟若出現系統安全性提示，請先確認來源和應用程式資訊，再依系統設定中的「隱私權與安全性」提示處理。若遇到應用程式已損毀或無法驗證，先重新取得符合正確架構的檔案，不要把遞迴移除安全屬性當成所有錯誤的通用解法。

依實際功能核准權限

系統代理、特權輔助服務和網路延伸功能是不同機制。部分客戶端只需修改目前網路服務的代理設定；部分 TUN 實作仰賴輔助服務，其他應用程式則使用系統網路延伸功能。只有在客戶端實際提出要求且功能確實需要時才核准，不必在系統設定中尋找本應用程式從未使用的開關。授權後回到應用程式確認狀態；部分變更需要重新啟動應用程式，或依系統提示重新連線。

鑰匙圈提示通常與應用程式儲存或讀取憑證有關；請先查看提示中的應用程式名稱、鑰匙圈項目和要求動作，再決定是否允許。不要只因看到代理相關提示，就將所有密碼存取設為「永遠允許」。若每次啟動都重複出現提示，請確認應用程式是否被移動、簽署身分是否變更，以及輔助元件路徑是否仍然正確。相關路徑差異可參閱macOS 網路延伸功能與鑰匙圈授權說明。

匯入訂閱並檢查網路服務

在客戶端設定頁面新增訂閱網址，下載完成後啟用該項目，再前往代理頁面確認策略群組。macOS 的選單列入口和主視窗可能分別顯示連線狀態與設定清單；關閉視窗通常不等於結束應用程式。確認選單列中沒有其他客戶端仍在接管網路，避免前景顯示的是一個程式，系統代理卻由另一個程式設定。規則模式下先選擇明確的節點，再測試目標網站。

開啟系統代理後，前往目前 Wi-Fi 或有線網路的詳細設定查看代理項目。系統會依網路服務儲存設定；更換擴充底座網卡、使用有線網路或連接新的 Wi-Fi 後，設定可能與先前不同。以下指令可查看目前生效的代理資訊；請核對啟用狀態、伺服器和連接埠，不要只搜尋某個固定欄位。若終端工具沒有讀取系統代理，仍須明確指定代理或設定處理程序環境。

scutil --proxy
networksetup -listallnetworkservices
lsof -nP -iTCP:7890 -sTCP:LISTEN

TUN 與休眠後的復原方式

需要接管更多應用程式流量時，依客戶端流程安裝或啟動對應服務，再開啟 TUN。確認日誌沒有權限不足、介面建立失敗或路由衝突等訊息。公司裝置可能受管理政策限制；系統設定中看得到某項設定，不表示一般使用者可以修改。若同時使用企業 VPN，請先了解其路由範圍和使用要求；不要刪除裝置管理設定來強行接管流量。

從休眠喚醒後無法連線，先確認一般網路已恢復，再查看核心是否仍在執行、訂閱設定是否仍為啟用狀態。切換 Wi-Fi 可能改變預設路由和 DNS，舊連線也可能尚未重新建立。依序停止連線、等待網路穩定、重新連線，再用新請求測試；不要只重新整理長時間保持連線的網頁。若只有 TUN 失效但明確指定代理正常，應優先檢查虛擬介面、路由和 DNS，而不是重裝所有設定。

解除安裝或移轉前，先在應用程式中關閉系統代理與 TUN，再依客戶端說明移除輔助服務。應用程式異常結束後，請檢查目前網路服務是否留下本機代理，必要時還原至安裝前狀態。不要任意刪除所有網路位置或鑰匙圈項目，這可能影響其他應用程式。確認一般上網已恢復後再安裝新客戶端，並從備份匯入設定；一次只還原一個設定層，方便判斷問題來自設定還是系統整合。

04 / ANDROID

Android：訂閱格式、VPN 授權與背景執行

選擇安裝檔與相容設定

前往Android 下載區，首選 Clash Plus；其他選項依序為 Clash Meta for Android、FlClash 和 Surfboard。下載前請確認裝置架構與應用程式最低系統需求；多數較新的手機使用 ARM64，但不能只憑外觀判斷舊裝置或特殊系統。若安裝檔提示不相容，請核對架構、系統版本及已安裝應用程式的簽署資訊，不要反覆下載相同檔案。

透過瀏覽器或檔案管理員安裝時，系統可能會要求允許從該來源安裝應用程式。只需暫時授權目前使用的來源，安裝完成後可視需要關閉。升級前先保留訂閱網址和本機設定；若因簽署不一致而無法覆蓋安裝，請不要立刻解除安裝，因為解除安裝可能會清除應用程式資料。先確認是否誤用了同名但不同的應用程式或發行管道，再依備份情況決定如何移轉。

請另外確認客戶端支援的設定格式。Clash Plus、Clash Meta for Android 和 FlClash 支援的欄位仍取決於核心與實作；Surfboard 使用的設定架構與 Clash YAML 不同，不能直接貼上完整 Clash 設定並期待通用。若訂閱服務商提供多種格式，請選擇目前應用程式明確支援的格式。轉換服務會接觸訂閱資訊，使用前請評估服務來源，不要將含有憑證的網址交給不明網站。

匯入後先檢查設定，再開始連線

在設定或設定檔頁面新增遠端網址，下載完成後確認策略群組與節點是否出現，再將該設定設為目前使用項目。遠端網址請求成功，但若回傳的是登入頁、到期通知或錯誤 HTML，仍會解析失敗。可先確認訂閱狀態和錯誤摘要；不要在手機瀏覽器中反覆公開開啟含有憑證的網址，也不要為了繞過錯誤而任意刪除 YAML 結構。

首次連線時，Android 通常會顯示系統 VPN 授權對話框。確認要求來自剛安裝的應用程式後再核准，接著查看系統 VPN 狀態與應用程式連線日誌。此處的 VPN 是應用程式透過系統介面接管流量的方式，不代表已連上某個代理節點。即使狀態列出現 VPN 圖示，策略群組仍可能選擇直連，節點也可能已失效；還要透過目標請求確認實際出口。

應用程式分流與其他 VPN 的使用限制

Android 的 VPN 介面通常無法同時供多個一般 VPN 應用程式使用。若裝置正在執行企業 VPN、廣告過濾器或其他使用 VPN 的網路工具，啟動目前客戶端可能會中斷原有連線。先決定要保留哪一條接管路徑，並確認系統是否設定了永遠啟用 VPN。若該設定受到組織政策鎖定，請遵循裝置管理規範，不要重設系統網路來規避限制。

依應用程式設定代理通常分為允許清單與排除清單：前者只有選取的應用程式會被接管，後者則讓選取的應用程式略過接管。修改後請閱讀目前模式的說明，並重新啟動目標應用程式以建立新連線。聊天應用程式正常、瀏覽器異常，可能只是兩者位於不同清單，不一定是節點問題。修改設定後也要區分既有長連線和新連線，舊工作階段不一定會立即改用新的出口。

背景限制、DNS 與網路切換

鎖定螢幕一段時間後斷線，先確認客戶端處理程序是否被系統結束，以及 VPN 狀態是否消失。依手機廠商提供的電池設定允許必要的背景活動與自動啟動；若應用程式提供前景服務通知，請維持其正常執行條件。不要一次關閉所有應用程式的省電限制。可在同一個網路下分別測試螢幕開啟、鎖定及喚醒後的請求，記錄斷線是否固定發生，以判斷是程序管理或網路切換造成。

Android 的私人 DNS、瀏覽器安全 DNS 和客戶端 DNS 是不同入口。發生網域解析失敗時，先記錄這些設定，不要同時修改。系統若使用嚴格私人 DNS，而相關伺服器無法連線，可能影響上網；瀏覽器自行解析也可能改變依網域分流的觀察結果。先還原至可確認的基準，再逐一啟用並查看連線日誌中的網域和錯誤類型，不要只看節點測速結果。

從 Wi-Fi 切換至行動網路後，電信業者網路、IPv6 路徑與 UDP 條件可能改變。先暫停連線，確認基礎網路正常後再重新連線並測試新請求。若只有某種協定失敗，可改用服務商明確支援的其他節點作比較；不要在沒有記錄的情況下大量修改核心參數。出門前可備份必要設定，但節點是否仍可用取決於服務狀態；本機有設定，不代表遠端出口始終可連線。

05 / IOS

iOS：Clash Plus 安裝、匯入與系統 VPN

從 App Store 安裝並確認支援範圍

iPhone 和 iPad 使用者可前往iOS 下載區取得 Clash Plus，或直接開啟其App Store 頁面。客戶端官方網站為 clashplus.io。安裝前請在商店頁面確認裝置相容性和系統需求；安裝後先開啟應用程式查看設定與連線入口，不要照搬 macOS 選單列教學，也不要將桌面輔助服務步驟套用到手機。

iOS 的網路接管仰賴系統提供的延伸功能，應用程式可顯示的開關也與桌面客戶端不同。不能因為某份 mihomo 設定在電腦上能解析，就假設其中的 TUN、檔案路徑、外部控制和指令碼設定都能在手機上運作。匯入前請查看應用程式支援的設定說明；遇到不支援的欄位時，優先向訂閱服務商索取相容格式，避免不分情況刪除整段設定。

匯入訂閱與遠端更新

在 Clash Plus 的設定或訂閱入口新增遠端網址，依應用程式提示命名並儲存。貼上後請確認網址開頭、結尾和參數完整，特別留意從備忘錄或通訊軟體複製時是否夾帶換行。下載完成後選取該項目，確認策略群組出現，再選擇節點。若應用程式支援透過系統分享匯入，仍請確認最後載入的項目，避免有多筆同名訂閱而連到舊設定。

訂閱更新通常會重新下載遠端內容，不保證保留所有手動修改。首次成功連線後，記下目前的設定名稱、模式和策略群組選擇；更新後若群組有所變動，請重新確認。不要將訂閱網址存放在公開共享的備忘錄或截圖中。更換裝置前，使用應用程式支援的匯出或系統備份方式保存必要資訊，並確認備份是否包含敏感網址；同步雖然方便，仍不能取代存取權限管理。

核准 VPN 設定並確認實際流量

首次啟動連線時，系統可能要求新增 VPN 設定，並透過裝置密碼或生物辨識進行確認。確認應用程式名稱後核准，再返回客戶端等待連線結果。若先前拒絕過授權，可重新發起連線並依目前系統提示處理。系統設定中的 VPN 清單可用來確認設定所屬的應用程式，但不要為了讓一個應用程式運作而刪除其他已知用途的企業或學習環境設定。

VPN 圖示只表示系統存在相應的連線狀態，不能證明目標網站一定經過所選代理。先使用規則模式並選擇明確的節點，開啟新的網頁，再於客戶端連線紀錄中搜尋對應網域和策略。若命中 DIRECT，表示規則選擇直連；若進入代理策略後逾時，則繼續檢查出口和目標網站。首次驗證盡量使用一般瀏覽器頁面，不要只依賴登入快取、App Store 工作階段或推播連線判斷。

勿混用 Wi-Fi 代理與網路延伸設定

iOS 的 Wi-Fi 詳細資訊頁面也有 HTTP 代理設定，但它與客戶端建立的 VPN 延伸功能不是同一個入口。若過去曾手動填入本機或區域網路代理，請先記錄並確認是否仍在生效。行動網路不會沿用某個 Wi-Fi 的手動代理設定，因此「Wi-Fi 可用、行動網路不可用」需要分別排查。初次排錯時只保留目前需要的一種路徑，減少接管方式疊加。

同一裝置上的其他 VPN 設定、內容過濾工具和裝置管理政策也可能影響連線。若連線後立刻被另一個工具取代，先查看系統 VPN 狀態和相關工具的自動連線設定，再決定要保留哪一項。若應用程式提供隨選連線功能，請等手動連線穩定後再啟用，並確認觸發條件。不要為了少一步操作，就在尚未驗證的設定上開啟所有自動重新連線選項。

鎖定螢幕、切換網路與行動裝置排錯

iOS 的應用程式介面和網路延伸功能有不同的生命週期；介面進入背景不代表延伸功能一定停止，反過來說，介面仍開啟也不代表延伸功能始終正常。鎖定螢幕或切換網路後無法使用時，先確認基礎網路，再開啟客戶端查看連線狀態和最近的日誌。不要把反覆從多工畫面滑掉應用程式當成固定維護方式；強制結束可能改變目前狀態，反而讓問題難以重現。

行動網路故障時，請確認應用程式是否獲准使用行動數據、電信方案網路是否正常，以及節點是否支援目前的網路條件。若只有某個應用程式異常，先比較瀏覽器是否正常，再核對網域規則與目標服務限制。日誌顯示 DNS 失敗時先處理解析；顯示連線逾時則檢查出口；顯示憑證錯誤則確認裝置時間與目標網站憑證，不要以略過憑證檢查代替修復。中斷客戶端後仍有異常，請檢查殘留的 Wi-Fi 代理及其他 VPN 狀態。

06 / LINUX

Linux：套件、工作階段代理與核心服務

分清桌面客戶端與獨立核心

桌面使用者可前往Linux 下載區，優先考慮 Clash Verge Rev，也可選擇 FlClash。依發行版的套件管理系統選擇相應安裝格式，再確認處理器架構。Debian 系與 RPM 系的套件不能只修改副檔名就互換使用；若下載頁沒有某種組合，不要假設其他架構的檔案可以直接執行。獨立 Mihomo 適合明確需要命令列、伺服器或路由器部署的使用者。

安裝桌面軟體前，先閱讀套件管理員顯示的相依性提示；不要用強制忽略相依性的方式掩蓋圖形執行環境缺失。精簡型伺服器通常沒有完整桌面工作階段，即使安裝圖形應用程式，也不適合作為背景服務方案。安裝完成後先以一般使用者啟動圖形介面，確認訂閱資料夾可寫入、設定可載入；只有在 TUN 或服務操作需要時，再依客戶端流程授予相應權限。

匯入設定並確認桌面環境代理

在圖形客戶端中新增訂閱網址，下載後啟用設定，並在代理頁面選擇節點。Linux 桌面系統代理仰賴 GNOME、KDE 等環境的設定機制；某個開關成功寫入桌面設定，不代表所有應用程式都會讀取。沙箱應用程式、瀏覽器和終端機可能使用不同入口。先明確指定代理以確認核心監聽正常，再判斷問題是否出在桌面設定未傳遞，而不是一開始就調整 TUN。

以下環境變數只會影響目前的 shell 工作階段及其後續啟動的子處理程序，不會回頭修改已在執行的程式。連接埠必須與客戶端一致；no_proxy 用於保留本機連線，實際排除項目請依應用程式支援情況設定。測試完成後可關閉該終端機或移除變數。不要立刻將測試值寫進全域啟動檔，否則客戶端未啟動時，依賴這些變數的套件管理員和開發工具可能都會連線失敗。

export http_proxy=http://127.0.0.1:7890
export https_proxy=http://127.0.0.1:7890
export no_proxy=localhost,127.0.0.1,::1
curl --head https://example.com/
unset http_proxy https_proxy no_proxy

先檢查獨立核心，再啟動

使用獨立 Mihomo 時，請從下載頁的核心區選擇平台和架構，解壓縮後放入受控資料夾，並設定執行權限。準備自己的設定資料夾與 config.yaml，確保執行帳戶能讀取設定並寫入所需快取。以下指令假設可執行檔已命名為 mihomo，且設定檔位於目前使用者指定的資料夾；先測試設定，再以前景模式啟動並查看錯誤，確認穩定後才考慮設為服務。

chmod u+x ./mihomo
./mihomo -t -d "$HOME/.config/mihomo"
./mihomo -d "$HOME/.config/mihomo"

設定測試通過，只表示靜態結構和相關檢查成功，不保證遠端節點在線、規則資源下載成功或系統路由可寫入。以前景模式啟動後，確認監聽位址、連接埠和設定載入結果，再明確指定代理發送請求。設為服務時必須使用絕對路徑，並明確指定執行帳戶、工作目錄與設定目錄；互動式終端機的環境變數不會自動傳入系統服務，桌面帳戶的家目錄也不等於服務處理程序的家目錄。

TUN、DNS 與權限控管

TUN 通常需要存取 /dev/net/tun，並具備設定網路的權限。容器、受限主機和路由器韌體可能不具備相同條件；若出現裝置不存在或操作不允許，先確認主機環境是否支援，不要反覆更換 DNS 來嘗試修復權限問題。優先使用客戶端支援的服務方案。自行撰寫服務時應評估最小權限，不應把整個圖形工作階段以 root 身分執行當成標準做法。

Linux 也可能同時使用 NetworkManager、systemd-resolved 和本機 DNS 服務。接管 DNS 前先確認監聽者和解析鏈路，不要直接覆寫 /etc/resolv.conf，因為它可能由系統管理並指向本機存根解析器。若修改後短暫正常，重新連線網路後又失效，通常是管理服務重新寫入設定。保留原有設定，確認由哪一層管理解析，再依客戶端支援方式整合。

需要診斷連接埠時可使用 ss -lntp，查看路由則使用 ip route；讀取其他使用者的處理程序資訊可能需要額外權限。不要將代理連接埠或控制介面綁定至所有位址後直接暴露於公網。結束使用或解除安裝時，先停止服務、取消代理環境變數、還原接管路由，再確認一般網路連線正常。若系統代理正常但某個終端程式失敗，還要檢查該程式自己的代理設定，避免把工作階段設定問題誤判為核心故障。

07 / CONFIGURATION & DIAGNOSTICS

設定常見問題：沿請求鏈路逐層排查

設定可解析，不代表出口可用

YAML 使用空格表示層級，清單項目必須保留連字號，不可混用定位字元。合併片段前先檢查既有頂層鍵；重複撰寫兩段 rules 或 proxy-groups 可能遭到覆蓋或拒絕。策略群組引用的名稱必須存在，大小寫和標點也要一致。以下是可用於 mihomo 的最小直連診斷設定，只用來確認監聽、模式和規則鏈，不含遠端代理節點，不應用來判斷代理服務是否可用。

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info
proxy-groups:
  - name: CHECK
    type: select
    proxies:
      - DIRECT
rules:
  - MATCH,CHECK

若該設定能完成明確指定代理的請求，但原訂閱不行，接著檢查原設定中的節點、群組引用和規則資源；若連本機監聽都無法存取，先處理處理程序、連接埠與防火牆問題。不要直接用診斷設定覆蓋唯一的訂閱檔，建議新增本機項目並保留原檔。診斷結束後切回原設定，重新確認目前啟用的項目，避免誤把純直連測試環境當成代理連線。

如何區分訂閱失敗與規則未生效

訂閱下載失敗時，先依錯誤類型排查：連線失敗就檢查基礎網路和訂閱網域；驗證失敗就檢查網址憑證和服務狀態；下載成功但解析失敗則檢查回傳內容與格式。有些訂閱網址只能在已有代理時存取，但代理又依賴該訂閱，形成啟動依賴。請向服務商取得可存取的入口，或使用先前有效的本機備份；沒有節點時，不要反覆切換全域模式並期待問題自動修復。

規則依序比對，放在前面的寬泛規則可能擋住後續較精確的規則。新增網域規則時，先確認目標實際發出的請求網域，不要只複製瀏覽器網址列；登入、圖片與 API 可能分屬不同網域。連線紀錄會顯示命中的規則和策略鏈，請以此核對。需要 GeoIP 資料的規則也依賴資源載入；資料庫格式和更新入口應依目前核心處理，不要混用舊教學中的檔名與目錄。

自動策略群組的測速結果也會受到測試網址、間隔與網路狀態影響。url-test 主要依測試表現選擇，fallback 著重依序選擇可用項目，load-balance 則依其演算法分配連線。它們不是三種不同的代理協定。節點頻繁切換時，先確認服務是否需要固定出口，再調整策略；欄位詳情請參閱自動策略群組差異與設定方式。

從入口、解析、出口到目標網站

DNS 相關設定尤其要避免形成循環：核心向上游請求解析，但若該上游連線又依賴尚未解析的代理伺服器網域，就可能無法啟動。不同設定可透過獨立的代理伺服器解析選項處理相依問題，具體欄位請以實際使用的核心為準。啟用 fake-ip 時，系統解析得到的合成位址不應當作真實公網位址分享或寫入靜態規則；若應用程式不相容，應透過明確的過濾策略定位問題，不要任意替換整套 DNS 設定。

TCP 正常但遊戲、語音或其他 UDP 服務失敗時，先確認節點協定、伺服器端和客戶端都支援所需的 UDP 路徑，再檢查流量是否確實被接管。啟用 TUN 無法讓原本不支援的出口增加 UDP 能力。IPv6 也應同時檢查系統、核心、DNS 和出口四個層面；只關閉其中一層可能造成結果不一致。每次調整後都用新連線測試，必要時依應用程式正常方式結束舊工作階段。

保留紀錄並安全復原

暫時提高日誌等級時，記下故障發生時間、目標網域、命中規則和錯誤摘要，重現問題後恢復一般等級。提交問題前，請隱藏訂閱憑證、伺服器驗證資訊和不必要的存取紀錄。提供系統、客戶端、核心、模式及接管方式，比只附上連線失敗的截圖更有助於排查。若不清楚介面區塊的用途，可先閱讀代理頁、設定頁與日誌頁快速導覽。

復原時依照變更順序的相反方向操作：停止 TUN、關閉系統代理、移除臨時環境變數，再確認一般網路是否恢復。基礎網路恢復後，依序還原設定、手動出口、系統代理，最後才測試 TUN 與自動策略。每次只修改一個變數，並記錄結果。若要重新依完整流程設定，請回到快速入門教學；若要更換客戶端，先在下載頁確認支援範圍與安裝需求，不要以移轉取代故障排查。