常见问题与故障排查
从订阅导入、代理模式到 TUN 权限与连接异常，按问题所在阶段逐项确认。多数故障可以通过配置状态、系统权限和运行日志定位。
基础认知
先分清客户端、内核、订阅与代理模式，避免把配置问题误判成安装问题。
Clash 是内核还是客户端？
Clash 通常同时指代理内核和围绕内核开发的图形客户端。内核负责读取配置、匹配规则和转发连接，客户端负责订阅管理、系统代理开关、日志查看等界面操作。选择安装包时，应先确认客户端支持当前系统，并查看它采用的内核类型与维护状态。
Clash 客户端本身会提供节点吗？
客户端主要负责加载配置和转发流量，通常不直接提供可用节点。首次使用前需要准备有效的订阅地址或本地 YAML 配置文件。导入成功只代表配置能够被读取，节点是否可连接仍取决于订阅状态、服务器状态、网络环境和配置内容。
订阅、配置文件和节点有什么区别？
订阅地址用于获取一份可更新的远程配置；配置文件保存端口、DNS、代理节点、策略组和规则等内容；节点则是配置中的具体代理服务器条目。更新订阅通常会重新生成配置，因此直接修改订阅生成的文件可能在下次更新时被覆盖。
规则、全局和直连模式分别适合什么场景？
规则模式按照配置文件中的规则顺序决定直连或代理，适合日常使用；全局模式把连接统一交给选定策略组，适合临时测试节点或排查规则；直连模式跳过代理，适合确认问题是否来自客户端。切换模式不会自动修复失效节点或错误订阅。
系统代理与 TUN 模式有什么区别？
系统代理通过操作系统的代理设置接管支持代理的应用，配置简单但覆盖范围有限。TUN 模式创建虚拟网络设备，可接管更多未读取系统代理的程序和部分 UDP 流量，但需要额外权限，也更容易受到防火墙、虚拟网卡和其他网络软件影响。
安装配置
围绕订阅导入、配置读取、系统权限和移动端 VPN 授权检查安装阶段的问题。
订阅地址应该怎样导入客户端？
在客户端的订阅或配置页面选择从 URL 导入，粘贴完整地址并保存，等待客户端完成下载和解析。随后将新配置设为当前配置，再进入代理或策略组页面选择需要的策略。不要把订阅地址粘贴到浏览器搜索框，也不要公开分享带有个人参数的链接。
订阅导入后为什么看不到代理节点？
先确认导入项已被设为当前配置，而不只是保存在订阅列表中。若仍为空，查看日志是否出现 YAML 语法、字段类型或下载失败提示。也可能是订阅返回了网页、登录提示或空内容，此时应检查地址是否完整、账户状态是否正常，并尝试在订阅页手动更新。
更新订阅时提示超时或网络错误怎么办？
先关闭系统代理后重试，避免客户端在尚未建立可用连接时通过自身代理更新订阅。随后检查本机时间、DNS 和订阅域名能否正常访问。若浏览器也无法打开订阅地址，问题通常在网络或订阅服务端；若仅客户端失败，应查看日志中的状态码和证书提示。
Windows 安装后无法保存配置怎么办？
不要把客户端长期放在受保护的系统目录中运行，可将程序移动到当前用户有写入权限的文件夹。检查配置目录是否只读，以及安全软件是否阻止客户端创建文件。需要写入系统代理、服务或虚拟网卡时，可退出客户端后使用管理员权限重新启动一次。
TUN 模式提示权限不足怎样处理？
Windows 可尝试以管理员身份启动客户端，并确认相关服务或虚拟网卡已正确安装；macOS 需要在系统弹窗中允许网络扩展或输入管理员凭据；Linux 则要确认 TUN 设备存在，并为内核配置相应 capabilities 或以具备权限的服务运行。修改后应完全退出再启动客户端。
Android 为什么反复请求 VPN 连接权限？
Android 客户端通常通过 VpnService 接管流量，首次连接必须由系统授权。如果每次都重新弹出，检查系统是否清除了应用数据、是否同时运行另一款 VPN 应用，以及厂商的省电策略是否终止了后台进程。一个时间点通常只能有一个应用占用系统 VPN 通道。
使用技巧
处理应用未走代理、自定义规则、局域网共享和开机启动等常用设置。
开启系统代理后浏览器仍然直连怎么办？
先在系统网络设置中确认代理地址和端口已被写入，并核对端口是否与当前配置一致。部分浏览器、命令行工具和沙盒应用不会读取系统代理，需要单独配置代理或改用 TUN 模式。若客户端异常退出后留下旧代理，应关闭系统代理再重新开启。
Windows 的 UWP 应用无法联网怎样处理？
部分 UWP 应用受回环访问限制，无法直接连接本机代理端口。可使用客户端提供的 UWP 回环工具，为需要代理的应用启用 Loopback Exempt，然后重启对应应用。若客户端没有相关工具，可改用 TUN 模式，但仍需确认虚拟网卡与防火墙规则正常。
自定义规则应该放在配置文件的什么位置？
规则按从上到下的顺序匹配，因此更具体的域名、进程或网段规则应放在较宽泛的 GEOIP、GEOSITE 或 MATCH 规则之前。订阅生成的配置可能在更新时覆盖手工修改，长期使用时更适合通过客户端的覆写、合并配置或规则提供器功能维护自定义规则。
怎样允许局域网设备连接 Clash？
在配置中启用局域网连接，并确认监听地址允许局域网访问，而不是只监听本机回环地址。随后在防火墙中放行对应的 HTTP、SOCKS 或 mixed 端口，其他设备再把代理服务器填写为运行 Clash 设备的局域网地址。只应在可信网络中开放，并避免暴露到公网。
开机自启后为什么没有自动代理？
开机自启通常只负责启动客户端，不一定会自动载入配置、连接策略并开启系统代理。检查客户端中的启动时恢复连接、系统代理和后台服务选项，同时确认当前配置在重启后仍可读取。若系统启动较慢，可在登录完成后手动打开一次以判断是否存在启动顺序问题。
故障排查
从基础网络、当前策略、订阅授权和 DNS 日志四个方向缩小异常范围。
节点测试全部显示超时应该怎样排查？
先切换到直连模式确认本地网络可用，再更新订阅并检查系统时间与 DNS。测速地址不可访问也可能导致所有节点显示超时，因此应同时尝试实际打开网页。若日志中出现连接被拒绝、握手失败或域名解析失败，可据此区分节点离线、协议参数错误和 DNS 问题。
显示已连接但所有网页都打不开怎么办？
先关闭系统代理或 TUN，确认基础网络能够恢复。随后选择一个明确可用的节点，检查当前策略组是否仍指向失效节点，并查看日志是否有循环代理、端口占用或 DNS 错误。系统代理与 TUN 同时开启时也可能与其他 VPN、加速器或安全软件发生冲突。
订阅突然失效或提示未授权怎么办？
未授权通常表示订阅地址中的凭据已失效、账户状态变化或服务端拒绝请求。先在订阅管理页面复制原地址核对是否缺少字符，再通过订阅来源获取新的有效地址。反复刷新客户端不会修复服务端授权问题，旧配置即使仍有节点，也可能随时停止连接。
出现 DNS 解析失败或部分网站打不开怎么办？
先观察日志中失败的是域名解析还是后续连接。临时关闭增强 DNS、fake-ip 或自定义 nameserver，可帮助定位是否由 DNS 配置引起。还应检查规则是否把 DNS 请求错误地交给不可用节点，以及系统中是否同时存在其他 DNS 过滤软件。修改配置后需要清理缓存并重新连接。