Clash 全平台
安装配置大全

通用准备：架构、订阅与接管方式

先确认设备，再选择客户端

安装之前记录三项信息：系统名称、系统架构、是否拥有管理员权限。架构决定安装包能否运行，权限决定能否安装服务或创建虚拟网卡。不要把“系统是六十四位”直接等同于 x64；采用 ARM 处理器的电脑也可能运行六十四位系统。Windows 查看系统“关于”，macOS 查看“关于本机”，Linux 使用下方命令。手机优先选择下载页标明适用的包，旧设备再核对处理器支持范围。

有图形界面的设备优先使用图形客户端，本站在支持的平台首推 Clash Plus。客户端负责配置管理、代理开关和系统集成，内核负责解析配置、执行规则及建立连接，两者不是同一个东西。替换客户端不会自动迁移系统权限、后台服务和本地覆写；相同订阅放进不同客户端，也可能因为内核能力或合并方式不同而产生差异。选型细节可对照客户端对比，内核关系见mihomo 与图形客户端关系梳理。

uname -m
# x86_64 通常对应 x64 / AMD64
# aarch64 或 arm64 通常对应 ARM64

准备可导入的订阅或配置文件

客户端是代理工具，不会凭空生成可用线路。开始前准备自己有权使用的订阅地址或本地 YAML 文件，并确认服务仍在有效期内。完整配置通常包含节点、策略组和规则；只有节点列表时，客户端可能需要模板才能形成可运行配置。导入报格式错误，不等于所有节点都失效，先检查链接实际返回的是配置、节点串，还是登录页面与错误提示。相关区别见订阅格式与转换说明。

订阅地址常包含个人凭据，按密码管理。不要放进公开截图、在线转换网站或公开仓库；分享配置时，还要检查节点密码、控制接口密钥和本机路径。远程订阅更新可能覆盖直接编辑的内容，个性化修改应优先放在客户端支持的覆写或合并入口。修改前导出一份当前可用配置，另记下正在使用的策略组选择，便于出错后恢复，而不是在多个入口反复修改同一字段。

区分系统代理与 TUN

系统代理是给遵循系统设置的应用提供代理入口。浏览器通常可以使用，命令行、游戏和部分应用可能完全忽略它。TUN 则通过虚拟网络接口接管路由范围内的流量，需要额外权限和路由、DNS 配合；它也不是“所有问题的增强按钮”。建议先用系统代理验证订阅与线路，再根据应用需求启用 TUN。移动端通常通过系统 VPN 接口接入，界面名称可能不同，但都要检查系统授权是否完成。

下面只是一段参数说明片段，不包含节点，不能单独作为完整订阅使用。回环地址只允许本机访问；如果开放到局域网，需要同时规划防火墙和认证。外部控制接口尤其不应直接暴露到公共网络，远程管理应另行采用受控的访问方式。

mixed-port: 7890
allow-lan: false
bind-address: 127.0.0.1
mode: rule
log-level: info
external-controller: 127.0.0.1:9090

最后确认系统时间准确、设备能正常访问本地网络，并暂停其他会改变代理或路由的软件。记录原来的代理设置与 DNS 来源，尤其是办公设备的自动配置地址。后续关闭客户端仍断网时，这些记录能帮助恢复原状；受组织管理的设备应先遵循管理员的网络策略。

Windows：安装服务与系统代理

下载、安装与首次启动

进入Windows 下载分区，优先选择 Clash Plus，再按需要考虑 Clash Verge Rev、FlClash 或 Clash Nyanpasu。Clash for Windows 已停止维护，适合确认兼容性后的旧环境查阅，不宜作为新设备的默认选择。在“设置 → 系统 → 关于”检查系统类型，按下载页说明选架构；遇到没有对应原生包的设备，不要仅凭文件名相似就安装，先确认系统与客户端是否支持相应运行方式。

安装时阅读系统提示，将程序放在普通应用目录。首次运行可能需要安装后台服务或网络组件，授权对象应与正在安装的客户端一致。不要把整个应用长期设为管理员启动来替代服务配置：图形界面能打开与内核服务拥有所需权限，是两件事。如果安全提示阻止运行，先核对文件来源、适用系统和签名信息；不应为了完成安装而关闭整套系统防护。公司电脑无法安装服务时，先用允许的普通代理功能。

导入订阅并建立第一条可验证连接

进入“配置”或“订阅”，选择从 URL 导入，粘贴地址后执行下载。看到配置名称还不算完成，要把它设为当前启用项，再打开“代理”查看策略组是否出现。如果列表为空，回到导入提示检查下载状态与解析错误，不要先开 TUN。订阅有多份时，用名称区分来源和用途；确认当前高亮的是刚导入的配置，避免修改了一个文件，实际运行的却是另一份。

初次验证选规则模式，在需要代理的策略组中手动选择一条线路，然后打开系统代理。到 Windows 的“设置 → 网络和 Internet → 代理”确认手动代理地址与客户端监听一致。常见本机地址是 127.0.0.1，端口可能是 7890，但必须以当前客户端显示为准。浏览器如果安装了独立代理扩展，先停用扩展或确认它没有覆盖系统设置，否则测试结果无法代表系统代理是否生效。

可以在 PowerShell 中显式指定代理，绕开浏览器自身设置来做对照。下列命令只测试本地 HTTP 代理入口；收到目标站点的 HTTP 响应，说明请求至少完成了一次往返，状态码不一定是成功页。不要使用这一条命令就断言所有应用和 UDP 都正常。

curl.exe --proxy http://127.0.0.1:7890 -I https://example.com

TUN 权限、网卡与路由

系统代理可用后，如果目标应用不遵循代理设置，再开启客户端的 TUN。首次启用通常需要服务组件与提升权限，按界面完成安装后确认服务确实在运行。打开 TUN 后应同时检查连接页是否出现目标应用请求，而不是只看开关颜色。虚拟网卡存在不代表路由正确，内核正在运行也不代表 DNS 已被接管；这几层需要分别观察。

启用后局域网设备、打印机或办公资源失联，先关闭 TUN 做对照。若关闭即恢复，检查客户端的局域网绕过、路由排除和组织 VPN 的地址范围。某些客户端会自动维护私有网段路由，不同网络环境下仍可能与现有网关冲突。不要机械复制一大段固定排除规则，尤其不要把需要远程访问的私有地址全部直连；排除范围应由实际网络用途决定。

端口冲突与退出后的恢复

出现“地址已被使用”时，先检查是否有另一个客户端、旧内核进程或开发代理占用端口。用下方命令查看监听，再通过任务管理器按进程编号确认归属。不要看到进程编号就直接结束系统进程。若改为新端口，浏览器扩展、终端环境变量和其他设备也要同步修改，只有客户端内的端口变化不会自动更新外部配置。

Get-NetTCPConnection -State Listen -LocalPort 7890 |
  Select-Object LocalAddress, LocalPort, OwningProcess

开机启动也要拆开看：启动图形界面、启动内核服务、自动启用配置、自动恢复系统代理是不同选项。设置完成后重启一次，确认登录后配置仍被启用且端口正在监听。休眠恢复后才出问题，则先检查网络切换与服务状态，再考虑更新订阅，避免反复下载配置掩盖真正的后台恢复问题。

macOS：芯片架构、网络服务与授权

区分 Apple Silicon 与 Intel 安装包

在苹果菜单的“关于本机”查看芯片或处理器。Apple Silicon 通常对应 ARM64，Intel 对应 x64。打开macOS 下载分区，优先选择 Clash Plus，也可根据界面习惯考虑 Clash Verge Rev 或 FlClash；ClashX Meta 已停止维护，使用归档客户端前应评估系统兼容性。尽量选原生架构安装包，兼容运行不代表后台服务、网络组件和更新流程也适合当前设备。

若安装包采用磁盘映像形式，打开后将应用拖入“应用程序”，再从该目录启动。不要长期从挂载的映像里运行，否则路径、登录启动项和更新可能出现混乱。系统提示应用无法打开时，先检查来源、系统要求及完整的错误说明，再按系统提供的入口处理。不要直接执行网上流传的批量移除安全属性命令，更不要对整个应用目录进行宽泛权限修改。

导入配置与确认当前网络服务

在客户端的配置页导入 URL 或本地文件，下载后启用该配置。进入代理页，确认策略组与规则存在，再手动选一条线路。随后打开系统代理，前往“系统设置 → 网络”，查看当前使用的 Wi-Fi 或有线连接，在详细信息中的代理页核对设置。macOS 的代理通常按网络服务保存：在 Wi-Fi 上设置成功，不代表切换到有线接口后一定继承相同设置。

如果设备同时连接有线与无线网络，先确定当前默认出口和网络服务顺序。测试时保留一个明确的网络路径更容易定位问题。浏览器能联网、终端不能联网时，先用显式代理命令测试，不要立即调整系统 DNS。终端工具是否读取系统代理取决于工具实现，部分工具需要自身参数或环境变量；这并不能反推系统代理失效。

scutil --proxy
curl --proxy http://127.0.0.1:7890 -I https://example.com

scutil --proxy 用来查看当前代理配置，重点看启用状态、地址和端口；命令输出不负责证明远端线路可用。若浏览器使用自动代理配置、扩展或工作资料，实际路径还可能被覆盖。用普通窗口与显式代理请求交叉测试，能区分浏览器设置和客户端入口，减少在同一个界面反复开关的无效操作。

辅助服务、TUN 与其他 VPN

TUN 可能需要客户端安装辅助服务或网络相关组件。出现授权窗口时确认应用名称，按客户端流程完成后再检查启用结果。只授予与当前功能相关的权限，不应把“磁盘完全访问权限”当作通用修复方案。系统升级后某些授权或后台项目可能需要重新确认，应先查看“登录项与扩展”等系统入口，再决定是否重装。

开启 TUN 前退出另一款 VPN 或同类代理客户端，尤其要注意菜单栏里看似已关闭、实际仍保留网络扩展的应用。两套工具可能同时修改默认路由或 DNS，造成请求绕行、循环或仅部分域名失败。若必须与组织 VPN 同时使用，需要按其路由范围配置分流，并遵循管理要求；个人客户端中的全局模式不能自动解决组织网络的地址冲突。

下面是 mihomo 的 TUN 参数片段，仅用于说明字段，不是 macOS 每个客户端都应粘贴的固定答案。图形客户端可能根据系统重新生成这些参数，应优先使用其设置入口。自动路由与接口探测解决的是流量进入内核的路径，仍需可用配置和正确策略才能访问远端。

tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true

休眠、网络切换与卸载恢复

合盖后重新打开，若客户端显示连接但网页失败，先确认 Wi-Fi 已拿到地址、无需额外网页登录，再观察内核是否恢复。切换热点后发生异常，可以关闭接管、确认直连网络、再重新开启，借此分离基础网络与代理问题。不要一恢复失败就删除所有配置；订阅本身通常不会因为一次休眠而改变。

设置开机启动后，验证登录项是否允许后台运行，并在重启后检查配置是否自动启用。终端里临时设置的代理环境变量通常只对当前会话有效；若曾写入 shell 配置文件，关闭图形客户端后这些变量仍可能存在。排错时同时查看终端环境与系统代理，避免只恢复其中一处。

Android：VPN 授权与后台运行

选择安装包与完成首次授权

在Android 下载分区优先选择 Clash Plus，也可按功能需要选择 Clash Meta for Android、FlClash 或 Surfboard。安装前核对系统要求和架构，较新的设备通常使用 ARM64，旧设备可能需要 ARM 或通用包。下载后由系统安装器打开文件，只在确有需要时允许当前文件管理器或浏览器安装应用；安装完成后可收回这项来源权限，不必让所有应用长期拥有安装能力。

启动后先导入订阅，再开启连接。Android 会通过 VpnService 弹出系统 VPN 授权，确认后客户端才能创建本地虚拟网络接口。状态栏出现 VPN 标识，只说明系统隧道已经建立，不能证明订阅节点或规则正确。若授权窗口反复出现、确认按钮无法点击，检查屏幕悬浮层、辅助功能提示及设备管理限制，按系统说明处理，不要重复安装多个不同包尝试绕过授权。

订阅导入、策略选择与应用接管

在配置页新建远程配置，填写订阅链接并下载，再将其切换为当前配置。粘贴时注意首尾空格和换行，某些聊天应用会把链接拆成多段。导入失败时先查看完整提示，区分网络请求失败、认证失效和解析不兼容。完整 YAML 与节点串的处理方式可能不同，不能把浏览器能打开的每个地址都当作可直接导入的订阅。

配置启用后进入代理页，选择规则模式与策略组出口，再启动 VPN。移动端的 VPN 接管不是桌面系统代理的同义词，也通常不需要额外给 Wi-Fi 填本地代理。若此前手动设置过 Wi-Fi 代理，测试前先记录并确认是否仍需保留，避免系统把请求再次转到已经关闭的旧端口。正常情况下先使用客户端默认接入方式，跑通后再调整高级网络栈参数。

分应用代理有“只代理选中应用”与“绕过选中应用”两种相反逻辑，选择前先读清界面说明。修改名单后，部分客户端需要重新建立 VPN 才能应用。系统下载组件、浏览器、应用内网页和主应用可能属于不同进程或包名，只选中主应用不一定覆盖整个登录或下载链路。出现页面能开但附件失败时，应检查请求实际来自哪个组件，而不是立即更换节点。

电池优化与锁屏断连

前台可用、锁屏一段时间后断开，优先检查后台限制。到应用信息中允许必要的后台运行，按系统提供的选项调整电池优化，并保留客户端的前台服务通知。部分厂商系统还单独控制自启动、关联启动与任务清理，入口名称会随系统变化；不要只设置一项后就认定后台已完全放行。详细路径与差异可参考Android 授权与省电白名单说明。

后台白名单并不意味着要关闭整台手机的省电功能。先对客户端做最小必要调整，再锁屏测试通知、网页恢复和连接状态。如果仍耗电明显，检查日志是否长期处于详细级别、订阅是否更新过密，以及某个应用是否持续重试失败请求。排查次序见移动端耗电与后台运行分析。单次掉电比例受信号、屏幕和使用负载影响，不宜只凭一次观察评价客户端。

常驻 VPN、热点与网络切换

Android 的常驻 VPN 和“阻止不使用 VPN 的连接”属于系统级策略。后者启用后，客户端停止或启动失败可能使设备无法联网，表现看起来像 Wi-Fi 故障。设置前先确认自己需要这种限制，并记住恢复入口。多数普通环境下，同一用户空间不能同时让两款基于 VPN 接口的工具工作；另一款防火墙或过滤应用也可能占用这个位置。

从 Wi-Fi 切到移动网络后失败，先查看移动数据权限、系统时间和运营商网络是否正常，再重新连接 VPN。公共 Wi-Fi 需要网页登录时，可在遵守系统限制的前提下暂时关闭接管，完成认证后再恢复。若客户端显示配置加载成功但所有应用都没有连接记录，应先查授权和分应用名单；如果已有记录却全部超时，再检查线路、解析和基础网络。

Surfboard 与 mihomo 系客户端的配置格式和功能入口并不完全相同，不应直接把某份 YAML 强塞给所有客户端。更换应用时先确认订阅提供的格式，再重新建立接管权限和分应用名单。可同步配置的内容与系统授权要分开处理，后者必须在每台设备上重新确认。

iOS：商店安装与隧道配置

安装 Clash Plus 并确认配置来源

iPhone 和 iPad 优先使用 Clash Plus，可从App Store 的 Clash Plus 页面安装，产品信息可查看官网 clashplus.io。本站的iOS 下载分区保留统一入口。安装前阅读商店显示的系统兼容要求，安装后准备自己的订阅地址或配置文件，不要把应用安装成功当作线路已经准备完成。

首次打开先熟悉配置列表、策略组、连接开关和日志入口。不同发行界面的文字可能调整，本章按功能定位，不要求每个按钮名称完全一致。若通过其他应用分享文件导入，核对扩展名和文件内容，避免导入的是网页存档或订阅说明页面。配置中的账号信息仍属于个人凭据，截图时应遮挡完整订阅地址和节点认证字段。

导入订阅与添加 VPN 配置

在配置管理中选择从链接添加，粘贴订阅并完成下载，再启用该配置。看到名称后继续检查策略组是否出现、是否包含可选出口。订阅返回内容不兼容时，应使用服务提供的适配格式，或在可信环境中处理配置；不能仅把文件后缀改为 YAML 就完成格式转换。需要定期更新的远程配置应保留原始来源，避免只导入一次静态副本后误以为节点会自动同步。

首次启动连接时，系统可能请求添加 VPN 配置，并要求设备密码或生物识别确认。授权完成后回到客户端启动隧道，再到系统 VPN 页面检查当前连接状态。若系统不允许添加，先查看是否受屏幕使用时间、设备管理或组织策略限制。受管理设备应由管理员确认可用方式，不应通过删除管理描述文件来处理个人代理需求。

iOS 的网络接入由系统网络扩展承担，不是给所有应用填写同一个桌面 HTTP 代理地址。客户端里出现 TUN、网络栈或类似选项时，应按其实际实现理解；不要照搬 Windows 的服务安装与虚拟网卡操作。首次验证先保留默认网络设置，选择规则模式和明确的策略组出口，再用浏览器打开一个可复现的 HTTPS 页面。

规则、DNS 与应用内连接

浏览器可用而某个应用失败，先观察该应用是否产生连接记录。没有记录时，检查是否使用了特殊网络路径、另一个 VPN 或应用自身限制；有记录时，再看命中的规则、策略组和错误类型。部分应用会使用 UDP、独立解析或内置地址缓存，因此网页成功不能代表它们一定成功。修改规则后先退出并重开目标应用，必要时重建隧道，让新请求使用新的配置。

DNS 配置影响域名如何解析，策略组决定连接从哪里出去，两者需要一致。只改解析服务器并不会自动把所有数据流量改为代理；反过来，选择代理出口也不能修复不可达的解析服务。遇到单域名失败，记录域名、解析结果与命中规则，再做一次最小改动。涉及 fake-ip 的机制和边界，可对照DNS 检测与 fake-ip 配置说明，不要仅凭检测页面的一项结果下结论。

切换网络、自动连接与配置迁移

从家庭 Wi-Fi 切换到蜂窝网络时，已有连接可能短暂中断，新的连接也可能受到网络地址变化影响。先等系统网络稳定，再观察隧道是否恢复；持续失败时停止后重连，并确认蜂窝数据对客户端与目标应用开放。公共无线网络有认证页面时，应先完成网络本身的登录，再测试代理。网络认证未完成时，修改节点和规则通常只会增加干扰。

如果启用按需连接或类似自动恢复功能，手动关闭后可能被系统规则重新拉起。需要临时停用时，应同时查看客户端的自动连接设置和系统 VPN 状态，而不是反复点击主开关。自动行为应按自己的网络使用场景配置；连接陌生网络、接入办公资源或排查本地设备时，明确知道隧道何时启动，比单纯追求始终显示连接更重要。

更换设备时可迁移订阅和必要规则，但系统授权、自动连接行为及本地网络权限需要重新检查。云端同步前了解同步范围，不要默认日志、密钥和所有本地设置都会一起迁移。旧设备若不再使用，应移除不需要的订阅副本；如果怀疑链接已经外泄，应在订阅提供方更新凭据，而不是只在客户端删除一条记录。

若问题只在锁屏后出现，先分别测试解锁后的新请求与锁屏期间的推送，二者经过的系统机制未必相同。记录网络类型、是否切换信号以及恢复是否需要重连，才能判断是系统调度、网络迁移还是具体应用行为，不要直接把所有后台现象归为节点故障。

Linux：图形客户端与内核运行

按发行版选择软件包

桌面用户从Linux 下载分区选择 Clash Verge Rev 或 FlClash，前者作为该平台推荐入口。先用发行版信息和架构确认包类型：Debian、Ubuntu 系通常使用 deb，Fedora 等环境通常使用 rpm，具体仍以下载页提供的包为准。不要把适用于 AMD64 的包安装到 ARM64 主机，也不要把内核压缩包当作带菜单、订阅编辑器和系统托盘的完整桌面应用。

cat /etc/os-release
uname -m

通过系统软件安装器或发行版包管理器安装本地包，留意依赖解析提示。图形界面打不开时，从终端启动已安装的客户端并查看错误，区分缺少图形库、显示会话问题和内核配置错误。Wayland、X11 以及不同桌面环境的托盘支持不一致，托盘里没出现图标不一定表示程序未运行；先确认窗口和进程，再决定是否需要调整桌面组件。

导入订阅与设置桌面代理

在图形客户端导入订阅、启用配置并选择策略组出口，步骤与其他桌面平台相近。区别在于系统代理没有一个跨所有桌面与应用通用的入口：GNOME、KDE 的设置不同，终端程序也未必读取桌面代理。先用显式代理命令验证内核端口，成功后再配置当前桌面环境；不要同时修改桌面代理、shell 环境和包管理器配置，然后只凭一次网页请求判断哪层生效。

curl --proxy http://127.0.0.1:7890 -I https://example.com

# 仅影响当前 shell 及其后续启动的子进程
export http_proxy=http://127.0.0.1:7890
export https_proxy=http://127.0.0.1:7890
export no_proxy=localhost,127.0.0.1,::1

这里的 HTTPS 代理变量仍使用 HTTP 代理入口，表示工具通过该入口建立隧道，不是要求本地端口启用 HTTPS 服务。各工具支持的变量大小写和配置优先级可能不同，要以工具文档为准。测试结束可用 unset http_proxy https_proxy no_proxy 清除本次设置；写入 shell 启动文件前，先确认这台机器是否需要长期依赖本地代理，否则客户端停机后终端联网也会受影响。

TUN、权限与解析服务

Linux TUN 通常依赖 /dev/net/tun 和网络管理权限。使用图形客户端时优先采用其服务安装流程，不要为了省事给整个用户会话提权。容器或受限主机可能没有相应设备或能力，即使以管理员身份启动也未必能创建接口。先确认运行环境允许网络接管，再排查配置字段；容器内的问题还要区分宿主机、容器网络与应用各自的路由。

启用自动路由后，检查与现有 VPN、虚拟机网络和容器网桥是否冲突。DNS 还可能由 NetworkManager 或 systemd-resolved 管理，直接覆盖解析配置文件既可能被系统改回，也可能破坏当前网络。查看系统实际解析链路，再确定由客户端接管哪些请求。TUN 的 DNS 劫持只能处理进入相应路径的流量，应用自带的加密解析仍需另外评估。

ip route
ip rule
resolvectl status
ss -lntp

部分发行版没有 resolvectl，命令缺失不表示 DNS 故障；改用该发行版实际采用的网络管理工具。查看路由输出时重点关注默认出口、策略路由和重复虚拟接口，查看监听时区分回环与所有接口。不要把完整输出直接公开，里面可能包含内部网段、接口地址和组织网络信息。

服务器使用 mihomo 的边界

服务器、路由器和不需要图形界面的用户可选择下载页的 mihomo 内核区。安装前确认操作系统、处理器架构和二进制适用范围，准备完整配置后先做语法测试，再以前台方式观察启动日志。以下命令假设内核已安装到命令搜索路径，并且指定路径存在有效配置；它们不负责生成节点和策略组。

mihomo -t -f "$HOME/.config/mihomo/config.yaml"
mihomo -f "$HOME/.config/mihomo/config.yaml"

长期开启服务时，限定配置文件读取范围，避免普通用户访问订阅凭据；日志保留适量，排错结束恢复常规级别。局域网共享代理应只开放需要的监听地址和防火墙来源，不要把代理端口或控制接口直接放到公网。卸载或停用时清理对应服务、代理环境变量及残留路由，再确认系统直连恢复。

配置常见问题：按请求路径排查

配置未加载：先看下载与解析

报错先保留原文和发生时间，再区分订阅请求失败与配置解析失败。前者可能是链接过期、服务器不可达或基础网络未认证；后者通常涉及缩进、字段类型、协议支持或引用名称。YAML 使用空格缩进，列表层级和字符串类型都要正确。错误位置显示某一行时，也要检查上一行是否缺少冒号或引号，不要只删除被标记的那一行。

导入后没有节点，查看返回内容是否只有代理列表，或订阅下载被重定向到登录页。节点存在但策略组报错，则检查组引用的名称是否准确、订阅提供器是否下载成功。部分规则集需要单独获取资源，主配置成功并不代表所有外部文件就绪。如果更新后才出错，先恢复备份，再比较变化范围；不要持续覆盖唯一可用副本。

没有连接记录：检查流量入口

目标应用发起新请求，客户端却完全没有记录，应先检查接管而不是线路。系统代理看地址和端口，TUN 看服务权限与路由，移动端看 VPN 授权与分应用名单。应用可能复用了已有连接，修改后应重开目标应用或建立新请求再观察。连接页的显示过滤条件也要检查，不能因为只显示某类连接就断言所有流量都没进入。

本机浏览器能用、终端不能用，先用显式代理测试；另一台设备连不上共享代理，检查允许局域网、监听地址和防火墙。回环地址只服务本机，其他设备应连接代理设备的局域网地址，而不是自己的 127.0.0.1。外部控制端口不能代替混合端口，配置认证后也要给接入工具填写对应凭据。

已有连接但结果错误：核对模式与规则

规则按顺序匹配，较早出现的宽泛规则可能遮住后面的精细规则。命中代理组后，还要查看组当前选择，名称看起来像代理的组也可以选中直连。全局模式通常绕开常规分流，可短时对照，但不应拿它永久替代规则修复；直连模式则适合确认基础网络。切换模式后的新连接才更能反映变化，旧连接可能继续使用原来的路径。

下面片段展示规则顺序，PROXY 必须是已有策略组名。这不是完整配置，不能直接替换订阅全文。域名规则能否命中，还与内核是否掌握目标域名有关；应用直接请求 IP 时，不能假设它一定能被域名后缀规则识别。

rules:
  - DOMAIN-SUFFIX,example.com,PROXY
  - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
  - MATCH,PROXY

超时、解析失败与协议差异

超时可能发生在解析、连接远端、协议握手或目标响应的任一阶段。先用同一目标、同一网络、同一策略做可复现测试，再一次只更换一个变量。只有某条线路失败而其他线路正常，优先检查该线路；所有线路在某个网络失败，则检查网络限制和解析路径。单个测速结果只适合辅助选择，不能代表所有协议、目标网站和时段。

网页主要使用 TCP，语音和部分游戏可能依赖 UDP；节点协议、服务端与客户端设置都要支持相应链路。不能因为 HTTPS 页面能开，就认定 UDP 也可用。系统时间明显错误还可能造成加密连接验证失败，应先启用可靠的时间同步。DNS 修改后旧缓存仍可能影响测试，先重新建立连接，必要时按系统方式刷新缓存，避免无差别清理网络设置。

更新、覆写与恢复记录

订阅自动更新适合保持远程配置变化，但更新频率应结合提供方建议，不必设得过密。若每次更新都丢失个人规则，将修改迁移到客户端支持的覆写入口，并确认合并顺序：有的入口追加，有的入口替换整个列表。保存后的原文件不一定等于内核运行配置，应通过客户端提供的运行配置视图或日志验证最终结果。

排错结束后恢复常规日志级别，关闭临时全局模式和不再使用的局域网监听，确认当前配置有备份。需要重新走一遍操作主线，可回到使用指南；只是不确定术语含义，查术语表更快。安装问题回到对应平台章节处理，连接问题沿请求路径逐层验证，不必每次都从卸载重装开始。