Clash 常见问题解答

Clash 是 2019 年发布的原创代理核心,Go 语言编写,2023 年底原仓库停更归档。Clash Meta 是社区在其基础上维护的增强分支,2024 年更名为 mihomo,是目前现役内核。

本站收录的 Clash Verge Rev、FlClash、Clash Plus 等客户端,底层跑的都是 mihomo。日常交流里说的「Clash」多半指整个生态,而不是某一个具体软件。

不收费。mihomo 内核与主流 GUI 客户端都是开源免费软件,源代码公开,下载、安装、更新全程不产生费用。真正需要付费的是代理节点服务(订阅),那是服务商侧的事,与客户端本身无关。

任何自称「Clash 官方付费版」「Clash 专业授权」的安装包都不可信,从本站下载页或项目官方渠道获取即可。

订阅链接是服务商下发的一串 URL,指向节点配置清单。客户端按设定间隔请求这个地址,自动拉取节点列表与分流规则,省去逐条手动录入。

链接里通常带 token 参数,等同于账号凭证:不要外发、不要截图晒出来、不要贴进公共论坛。怀疑泄漏时去服务商后台重置订阅,再把新链接重新导入客户端。

日常用规则模式(Rule):按规则表判断,国外流量走代理、国内流量直连,速度与兼容性最平衡。全局模式(Global)让所有流量走选定节点,只在排查故障或个别服务强制单出口时临时开启。直连模式(Direct)等于关闭代理功能,所有流量不走节点。

模式在客户端首页或代理面板一键切换,改完即时生效。

规则模式下国内站点默认直连,网银、政务平台、办公软件一般不受影响。个别银行安全控件对系统代理敏感,遇到登录异常先切直连模式,或把该行域名加进 DIRECT 规则。

公司内网网段通常在默认绕过列表里,访问不通时检查系统代理的绕过设置,把内网网段补进去。

SmartScreen 对没有付费代码签名的开源软件一律弹窗,属于高发误报。确认安装包来自本站下载页或项目官方发布渠道后,点「更多信息」→「仍要运行」即可继续。

第三方转载站、群文件里来路不明的包不要放行,蓝窗反而是最后一道提醒。

开源客户端没有苹果付费开发者签名,Gatekeeper 默认拦截。处理顺序:先在「系统设置 → 隐私与安全性」底部点「仍要打开」;仍提示已损坏的,在终端执行 sudo xattr -rd com.apple.quarantine /Applications/应用名.app 去除隔离属性。

Apple Silicon 机型还要确认下载的是 arm64 安装包,架构下错同样会报「已损坏」。

按三个方向查:

1. 订阅链接失效或套餐流量用尽:把链接粘到浏览器直接打开,返回报错或空内容就是服务商侧问题。
2. 本地到订阅服务器的连通性问题:换一个网络环境,或在已有代理可用的状态下再更新一次。
3. 链接经过第三方转换工具改写、客户端不识别:用服务商给的原始链接重新导入。

按四步排查:

1. 客户端里先测节点延迟,全部超时时代理开关开了也没用。
2. 确认系统代理真的写入:Windows 在「设置 → 网络和 Internet → 代理」里应看到 127.0.0.1 与对应端口。
3. 浏览器装了代理切换插件的,插件优先级高于系统代理,先停用再测。
4. 安全管家类软件会还原代理设置,退出后重新打开开关。

主流客户端都内置自启项。Clash Verge Rev 在「设置 → 系统设置」里打开「开机自启」;Clash Plus 在「通用」里打开「登录后启动」。建议同时开启「静默启动」或「最小化到托盘」,避免每次开机弹出主窗口。

Linux 桌面用户可以把内核交给 systemd 托管,崩溃自动拉起,比桌面自启更稳。

客户端节点列表点「延迟测试」,测的是对固定 URL 的握手耗时,不等于带宽上限。挑节点看三点:延迟是否稳定、是否丢包、晚高峰是否掉速。

不想手动挑就挂自动选择(URLTest)策略组,它会按设定间隔自动测速并锁定当前最快节点,节点挂了自动切换。

策略组是节点的分组容器,规则把流量指到组、组再落到具体节点。常见类型:select 手动选择、url-test 自动测速、fallback 故障转移、load-balance 负载均衡。

切换入口在客户端「代理」面板:点组名展开节点列表,点选目标节点立即生效。订阅自带的组不够用,可以在配置里自建组,写法见配置进阶页。

靠规则,规则从上到下依次匹配,命中即停。把自定义规则写在配置文件 rules 段最前面:

• DOMAIN-SUFFIX,example.com,PROXY 强制该站走代理;
• DOMAIN-SUFFIX,example.cn,DIRECT 强制直连;
• IP 段用 IP-CIDR、按进程用 PROCESS-NAME,同理。

改完在客户端里重载配置生效。量大时改用规则集订阅管理,配置进阶页有完整写法。

建议 24 小时。节点列表变动并不频繁,间隔设几小时只是白白请求服务器,部分服务商还会限制更新频率、超频直接封链接。

客户端里开自动更新后,手动更新按钮依然保留:节点大面积异常时先手动刷一次订阅,再进入排查流程。

打开客户端的「允许局域网连接」(Allow LAN),客户端会监听在 0.0.0.0 的混合端口上,默认 7890。同一局域网下的手机、平板、电视,把代理服务器填成电脑的局域网 IP 加 7890 即可走代理。

只在家庭等可信网络里开启;公共 Wi-Fi 下开放,等于把代理端口借给同网段所有人。

四步走:

1. 切全局模式再测,排除规则误判把测试流量放了直连。
2. 换手机热点再测,区分是宽带线路问题还是节点本身问题。
3. 手动更新订阅,节点可能已整批更换。
4. 打开客户端日志面板看报错关键词:timeout 指向网络不通,connection refused 多半是订阅或端口异常。

四步之后仍全超时,基本可判定为服务商侧故障,去看服务商公告。

TUN 要创建虚拟网卡,必须提权。Windows 用管理员身份运行客户端;Clash Verge Rev 可以安装内置服务模式,之后免每次提权。macOS 首次开启会要求输入密码授权。Linux 需要给内核二进制授予 cap_net_admin 能力,或直接用 root 运行。

TUN 与系统代理可以同时开,但不要与其他 VPN 类软件叠加,多张虚拟网卡会互相抢路由。

开启代理后访问 DNS 泄漏检测站点,观察解析结果里的 DNS 服务器归属:出现本地运营商的 DNS 即为泄漏。

修复顺序:确认客户端 DNS 模块开启;nameserver 改用 DoH 或 DoT 加密查询;fallback 指向国外 DNS。要求严格时上 TUN 模式加 fake-ip 组合,域名在本地直接返回虚拟 IP,泄漏面最小,完整配置见配置进阶页 DNS 章节。

这是系统限制:UWP 应用默认被禁止访问回环地址,而 Clash 系统代理正是 127.0.0.1 回环代理。解决用客户端自带的「UWP 回环豁免」工具,勾选需要联网的商店应用后保存;也可以用系统命令 CheckNetIsolation LoopbackExempt 手动添加豁免。

逐项操作步骤在博客《Windows UWP 应用无法走代理》一篇里写透了。

说明已有进程占用该端口。先查占用:Windows 执行 netstat -ano | findstr :7890 拿到 PID,到任务管理器结束对应进程;最常见的是上一个客户端没退干净,托盘图标里还挂着一个。

查不到或不想查就改端口:客户端设置里把混合端口换成 7891 等空闲值,系统代理会同步更新。不要同时运行两个客户端,端口必定冲突。