Clash 全平台安裝與設定指南

準備事項：架構、訂閱與流量接管方式

先分清客戶端、核心與設定檔

客戶端負責介面、訂閱管理、系統整合與權限申請；mihomo 核心負責解析設定、建立連線及執行規則。介面相似不代表設定能力相同；同樣稱為 Clash 設定的檔案，也可能包含只有特定核心才支援的欄位。匯入前請確認訂閱提供者說明的相容目標。ClashX 是 macOS 生態系中的客戶端名稱，不是 Windows、手機與 Linux 通用的安裝檔名稱，不能將某平台的程式複製到其他平台執行。

完整設定通常包含節點或節點提供者、策略組、規則與 DNS 設定。訂閱網址是取得這些內容的入口，不能只憑網址副檔名判斷格式。瀏覽器能開啟連結，也不代表回傳內容是可解析的 YAML；登入頁面、流量到期提示或網頁錯誤內容都可能造成匯入失敗。訂閱含有存取憑證，應視為機密資料，請勿貼到公開留言、線上轉換頁面或問題截圖中。

確認系統架構與現有網路設定

Windows 可在「設定 → 系統 → 系統資訊」查看系統類型；macOS 可在「關於這台 Mac」查看晶片；Linux 請執行 uname -m。Apple Silicon 與 Intel 須選擇各自對應的套件，Linux 套件格式也須符合發行版。Android 安裝檔同樣有 ARM64、ARM 等架構差異，建議依下載頁說明選擇。檔案下載成功不代表適用目前裝置；若安裝失敗，請先確認架構，再考慮重新下載。

開始前先記下原有的代理、VPN、DNS 與網路過濾軟體設定。公司裝置可能透過管理政策強制指定代理或憑證，遇到權限限制時請聯絡裝置管理員，不要一再覆寫系統設定。初次排查時，只執行一個負責接管流量的客戶端，避免多個程式同時修改系統代理或預設路由。若企業 VPN 有工作用途，請先確認是否允許同時使用，再決定測試順序。

建立可重複的初次連線流程

先安裝客戶端並確認能正常啟動，再匯入訂閱，確認已選取設定檔且策略組有可用成員；接著選擇規則模式並指定一個節點，最後開啟系統代理或行動裝置連線。每完成一步就查看記錄與介面，不要一次修改連接埠、DNS、路由和規則。若第一次測試失敗，先維持設定不變，判斷問題發生在取得訂閱、啟動核心、監聽入口或連線至出口的哪個階段。

測試至少要涵蓋兩種目標：一個預期直連的網站，以及一個需要代理的網站。可先用瀏覽器測試，但仍須在連線清單確認實際命中的策略。快取頁面、連線重用與瀏覽器安全 DNS 都可能讓單次開啟結果產生誤判。完成基準測試後，再啟用自動更新、開機啟動與 TUN，後續遇到異常才有明確的回復依據。更換裝置時，也請保留原設定檔副本與自訂規則紀錄。

Windows：安裝、系統代理與 TUN

選擇安裝檔並完成首次啟動

Windows 優先選用 Clash Plus。若要比較桌面功能，可依序參考 Clash Verge Rev、FlClash 與 Clash Nyanpasu；Clash for Windows 已停止維護，屬於封存客戶端，不建議作為新安裝的首選。前往Windows 安裝檔，選擇符合系統類型的檔案；先儲存設定，再替換舊客戶端，避免移轉時遺失訂閱與本機規則。

執行安裝程式時請留意權限提示，完成後先以一般使用者身分啟動。客戶端介面能開啟，不代表核心一定正常運作；核心可能因連接埠遭占用、設定錯誤或安全政策而無法啟動，請查看核心記錄確認。需要服務元件或虛擬網卡時，再透過客戶端提供的安裝入口申請系統管理員權限，不必將日常操作都放在系統管理員工作階段中。受組織管理的裝置可能禁止安裝網路服務，這與訂閱內容無關。

匯入訂閱後確認選取狀態

在「設定」、「訂閱」或類似入口新增遠端設定，貼上完整連結後更新。出現設定檔卡片後，請將它設為目前使用的設定，再前往策略組選擇一個明確的節點。只新增訂閱但未切換目前設定，實際執行的仍可能是舊檔案。若策略組清單為空，請先查看訂閱回應與解析記錄，不要靠反覆切換系統代理來修復設定內容。

從 Clash for Windows 移轉時，可保留訂閱網址與自行新增的規則，但不要直接覆寫新客戶端的所有應用程式資料目錄。舊版介面偏好、服務路徑與擴充指令碼不一定能移植。請先在新客戶端匯入原始訂閱並確認基本連線，再逐項還原覆寫內容。若涉及舊指令碼語法或核心專屬欄位，請以新客戶端的設定檢查結果為準。

系統代理正常後再處理應用程式差異

先維持規則模式，開啟客戶端的系統代理。在 Windows「設定 → 網路和網際網路 → Proxy」中確認手動代理位址與連接埠，通常應指向本機監聽位址。瀏覽器可以連線後，再測試開發工具或其他應用程式。有些應用程式使用獨立代理設定，有些背景服務則讀取 WinHTTP 設定；開啟桌面系統代理不會自動改變這些程式的連線路徑。

可透過命令列明確指定入口進行測試。以下命令只測試本機 HTTP 代理連線，目標網站是否經過節點仍由設定規則決定。在 PowerShell 中使用 curl.exe，可避免舊環境中同名命令別名造成參數差異；若客戶端實際使用的連接埠不是 7890，也要同步修改命令中的連接埠。

curl.exe -I --proxy http://127.0.0.1:7890 https://example.com

若顯示連線遭拒，請優先確認客戶端是否已啟動、連接埠是否一致，以及監聽是否成功。若已連上本機但連線遠端逾時，再檢查策略組、節點與 DNS。部分情況下 UWP 應用程式會受到迴圈存取限制，可查看客戶端是否提供對應管理入口；不要將允許所有應用程式存取設為一般處理方式。只有確實需要時才個別設定，並記錄變更以便還原。

TUN、開機啟動與退出後的還原

遊戲、使用獨立網路堆疊或不讀取系統代理的應用程式，可考慮使用 TUN。先依客戶端提示安裝服務，再開啟增強模式，確認虛擬網卡與路由是否建立成功。TUN 已能接管目標應用程式時，不必為了增加開關而重複疊加其他代理工具。若啟用後本機列印、區域網路服務或企業網路異常，請檢查私有網段排除規則與現有 VPN 路由。

開機啟動與核心啟動是兩回事。登入後看到介面，不代表服務已就緒；服務就緒，也不代表訂閱已載入或代理開關已恢復。重新啟動後請依序逐項確認。退出客戶端前先關閉系統代理；若程式異常結束後無法瀏覽網頁，請回到系統代理設定頁清除殘留設定，再測試直連。更多啟動問題請參考開機啟動常見問題，客戶端比較請見Windows 客戶端比較。

macOS：晶片架構、網路權限與選單列

依晶片選擇客戶端並移轉設定

macOS 首選 Clash Plus，也可選用 Clash Verge Rev 或 FlClash。ClashX Meta 已停止維護，封存版本僅適用於有明確相容需求的舊環境，不應作為新功能支援的依據。在「關於這台 Mac」確認裝置使用 Apple 晶片或 Intel，再前往macOS 下載區選擇相符架構。不要只依機型年份判斷，同一年推出的裝置也可能採用不同晶片。

開啟磁碟映像檔後，將應用程式拖到「應用程式」資料夾，再從該資料夾啟動，避免一直執行映像檔中的副本。替換舊程式前請先正常結束舊客戶端；若系統提示檔案仍在使用，也要確認選單列中的程序已結束。首次開啟時若出現系統安全提示，請先確認檔案來源，再依系統提供的審核流程處理，不要為了啟動單一應用程式而關閉整台裝置的安全機制。

匯入訂閱並了解選單列狀態

在客戶端的設定入口新增訂閱或匯入本機 YAML。儲存後選取該設定檔，並確認策略組目前使用的成員。選單列中的規則、全域、直連通常代表路由模式；節點名稱則是策略組的選擇，兩者不能互相取代。選擇規則模式後，仍須確認規則所參照的策略組有正確成員，否則介面看似正常，實際流量仍可能進入尚未準備好的出口路徑。

從 ClashX 或 ClashX Meta 移轉至其他客戶端時，先匯入訂閱來源，再移轉自行維護的規則片段。選單列偏好設定、快速鍵、輔助服務與本機指令碼屬於應用程式層級，不適合整個資料夾直接覆寫。遠端設定更新也可能覆蓋直接編輯的內容；長期維護的自訂規則應放在客戶端支援的覆寫或合併入口，並確認最終生效的設定，而非只查看編輯視窗。

系統代理、輔助服務與網路位置

開啟系統代理後，可在「系統設定 → 網路 → 目前網路服務 → 詳細資訊 → 代理伺服器」確認 HTTP 與 HTTPS 代理。不同系統版本的名稱可能略有差異，請確認目前使用的 Wi-Fi 或乙太網路服務，而非清單中閒置的網路。更換網卡、連接擴充基座或切換網路位置後，請重新確認代理是否仍套用於目前服務。

可在終端機查看系統代理狀態，輸出中的啟用旗標、伺服器與連接埠應和客戶端一致。此命令只讀取狀態，不會修改系統設定。若顯示代理已啟用，但瀏覽器仍沒有連線記錄，請檢查瀏覽器是否安裝獨立代理擴充功能，或是否有略過本機與指定網域的例外清單。

scutil --proxy
curl -I --proxy http://127.0.0.1:7890 https://example.com

首次啟用 TUN 或網路輔助服務時，系統可能要求授權並輸入本機管理員密碼。請在客戶端發起操作後確認系統提示，並確認要求來自目前使用的應用程式。若服務安裝失敗，先檢查應用程式路徑、系統權限與記錄，不要在多個副本中重複安裝同一服務。看到選單列圖示不代表輔助服務已執行，連線頁面與啟動記錄才是進一步判斷依據。

睡眠喚醒、終端機工具與本機開發

Mac 從睡眠中喚醒，或從 Wi-Fi 切換至熱點後，舊連線可能失效。先嘗試重新載入設定或重新建立連線，再判斷是否需要更換節點。若只有啟用 TUN 時發生異常，可暫時改用系統代理測試，以區分訂閱問題與虛擬網卡路由問題。若關閉客戶端後仍無法直連，請在目前網路服務中檢查是否殘留手動代理，同時確認其他 VPN 是否仍處於連線狀態。

終端機工具通常不會完整沿用圖形介面的系統代理設定。必要時可在目前的終端機設定環境變數，先暫時測試，再決定是否寫入 shell 設定檔。設定 NO_PROXY 時可加入本機開發網址，避免本機服務經過代理入口；不要將不熟悉的大範圍網域加入略過清單。Git、套件管理器與容器也可能各有獨立設定，逐一檢查比反覆切換系統開關更有效。

Android：安裝授權、VPN 介面與背景執行

選擇架構並保留應用程式資料

Android 首選 Clash Plus，其他選擇依序為 Clash Meta for Android、FlClash、Surfboard。不同客戶端支援的訂閱格式、規則語法與擴充欄位不盡相同，尤其不能預設所有客戶端都能使用針對 mihomo 設計的複雜設定。請先查看Android 安裝檔說明，確認架構與設定相容後再下載安裝。

安裝本機安裝檔時，系統可能要求授予瀏覽器或檔案管理員「安裝未知應用程式」權限；請只對實際使用的來源暫時授權。若安裝解析失敗，先確認檔案是否完整下載、架構是否相符，以及系統是否符合需求。更新時若提示簽章不一致，請勿立即解除安裝；先匯出可匯出的設定與本機規則，確認目前應用程式的來源後再決定是否移轉，因為解除安裝通常會一併移除應用程式資料。

匯入訂閱與首次 VPN 授權

將訂閱網址貼到設定入口，下載完成後選取該設定檔。有些客戶端需要先新增設定檔，再另外點選更新；只看到標題不代表已取得節點。若匯入失敗，可先透過目前網路確認能否連線至訂閱服務。若訂閱網址必須透過代理存取，請使用可信任的備用網路或訂閱提供者提供的匯入方式，不要將私人連結傳到公開轉換服務。

選擇策略組與節點後啟動連線，Android 會顯示 VPN 授權提示。確認要求來自剛安裝的客戶端後再允許，接著查看系統 VPN 圖示與客戶端連線狀態。此介面會將流量交由本機客戶端處理，不代表所有流量都會經過遠端節點；規則仍可讓部分連線直連。若啟動失敗，先確認授權是否遭拒，再檢查其他 VPN、網路過濾器或防火牆應用程式是否占用介面。

依應用程式分流與系統網路設定

若只想接管部分應用程式，請使用客戶端的應用程式存取控制，並先確認目前模式是「僅限選取的應用程式」還是「排除選取的應用程式」。兩種模式的意義相反，即使清單相同，結果也完全不同。修改後通常需要重新建立 VPN 連線，既有連線未必會立即改道。測試時請先關閉目標應用程式再重新開啟，並查看連線記錄確認流量是否進入客戶端。

Android 的私人 DNS、瀏覽器安全 DNS 與客戶端 DNS 可能同時啟用。遇到網域解析異常時，先記下原有設定，再逐項測試，不要同時修改多個層級。若以 IP 建立的連線正常、網域卻無法存取，可優先檢查解析路徑；若所有請求都逾時，也要檢查節點與路由，不能只憑「網頁打不開」就認定是 DNS 問題。企業工作資料中的應用程式也可能受獨立政策限制。

鎖定螢幕後斷線、網路切換與電池設定

前景使用正常、鎖定螢幕後斷線時，請優先檢查電池最佳化、背景活動與自動啟動權限。不同廠牌可能將相關項目放在電池、應用程式管理或安全中心，依功能查找即可。先允許客戶端必要的背景執行，再測試一次鎖定螢幕；不必關閉所有應用程式的省電限制。部分系統會透過常駐通知提示前景服務，若隱藏通知後連線不穩，請恢復預設行為再比較。

從 Wi-Fi 切換到行動數據後，原有連線可能需要重新建立。即使客戶端顯示已連線，也要確認新的請求能否成功，而不只是查看圖示。可先停止再啟動連線，接著測試同一個目標；若只有某個網路無法連線，請優先比較該網路的 DNS、IPv6 與存取限制。節點清單中的單次測試結果，不能保證所有應用程式都能正常使用。

同一支手機通常無法讓多個一般 VPN 應用程式同時接管同一位使用者的網路。若與廣告過濾、防火牆或企業 VPN 衝突，請依用途選擇接管者，不要快速輪流切換開關。若要讓電視使用手機或電腦代理，還須檢查熱點隔離、監聽位址與防火牆；啟用手機 VPN 不代表熱點用戶端的流量也會經過代理。區域網路共享步驟請接著閱讀混合連接埠與區域網路連線說明。

iOS：Clash Plus、匯入設定與網路延伸功能

從 App Store 安裝並確認設定來源

iPhone 與 iPad 首選 Clash Plus。可從App Store 的 Clash Plus 頁面安裝，產品資訊請見官方網站 clashplus.io；本站的iOS 下載入口也整理了相同連結。安裝後先開啟客戶端並閱讀系統權限提示，再準備匯入訂閱。請勿在訂閱服務的網頁表單中輸入 Apple 帳號資訊或裝置密碼。

iOS 客戶端與桌面版的介面配置、網路延伸功能及設定相容範圍可能不同。若已有桌面版訂閱，請先確認提供者是否說明支援目前的客戶端，特別留意指令碼、外部資源與核心專屬欄位。設定名稱相同，不代表解析方式完全一致。若服務提供多種訂閱格式，請選擇明確相符的格式，不要逐一嘗試未知的轉換連結。

完成匯入、選擇策略並授權連線

在客戶端的設定或訂閱入口新增網址，更新後選取對應設定檔，再前往策略組查看成員。先手動選擇一個節點進行基準測試，成功後再使用自動選擇等策略。自動策略會受到測試網址、間隔與候選成員影響；單次測試結果只表示測試目標的回應狀況，不能保證影片、工作系統與其他服務都同樣可用。

首次啟動連線時，iOS 會要求新增 VPN 設定，請依系統提示完成裝置驗證。授權成功後，還要返回客戶端確認連線確實啟動。這項 VPN 設定用於透過本機網路延伸功能接管流量，並非訂閱帳號，也不能取代節點資訊。若誤刪系統中的 VPN 設定，通常只需從客戶端再次發起授權，不必重新購買訂閱或重設所有網路設定。

測試時先用 Safari 開啟預期直連的目標，再開啟需要代理的目標。接著查看客戶端提供的連線或記錄資訊，確認規則命中結果符合預期。瀏覽器已開啟的頁面可能來自快取，應用程式也可能沿用舊連線；切換策略後請重新送出請求。只看系統狀態列圖示，無法判斷目前目標是否真的經過所選節點。

了解系統限制與連線衝突

iOS 通常透過網路延伸功能建立連線，不必照搬桌面版「系統代理加 TUN」的雙開關流程。不同客戶端可能使用不同術語，請以目前介面的說明為準。手動為 Wi-Fi 設定 HTTP 代理是另一種方式，只會影響適用該設定的流量，也不能取代行動數據連線。基礎測試階段應保留單一明確的流量接管方式，避免手動 Wi-Fi 代理與網路延伸功能同時作用。

若裝置已有其他 VPN、內容過濾或組織管理設定，連線可能被取代、封鎖，或在網路變更後切回另一套設定。請在系統「設定」中搜尋 VPN，確認目前連線所屬的應用程式。受組織管理的裝置應先詢問管理員，不要直接刪除工作設定。專用代理類系統功能、瀏覽器隱私功能與應用程式內的網路設定也可能改變存取路徑，排查時應分別記錄其狀態。

網路切換、更新與耗電檢查

從家用 Wi-Fi 切換到行動網路後，先確認新的請求是否成功，再決定是否重新建立連線。若只有飯店或公共 Wi-Fi 無法使用，可能要先完成該網路的登入驗證；此時可暫時中斷客戶端，完成網路存取認證後再重新連線測試。若公共網路的認證頁面仍無法開啟，請先還原系統預設網路設定中的相關手動代理項目，不要一直切換訂閱節點。

請在網路穩定時更新訂閱，完成後確認目前策略組仍引用有效成員。節點遭刪除或改名時，先前手動選取的成員可能失效，需要重新選擇。更新失敗時不必立刻刪除仍可使用的舊設定；請保留目前連線，再檢查回應格式與服務狀態。詳細步驟請參考訂閱更新失敗逐項自我檢查，其中確認連結有效性與檢查 YAML 的方法同樣適用於行動裝置。

耗電情況不能只憑 VPN 圖示持續顯示來判斷。請比較相近使用情境下的系統電池使用記錄，並檢查是否有頻繁連線失敗、測試間隔過短或重複記錄過多的情形。先恢復客戶端預設測試頻率，關閉不必要的詳細記錄，再觀察耗電變化。若區域網路裝置探索異常，也要檢查本機網段分流與應用程式所需權限；不要為了連接一台印表機，就長期將所有連線切換為全域代理。

Linux：桌面客戶端與 systemd 服務

安裝桌面版前先確認套件格式與架構

Linux 桌面優先選用 Clash Verge Rev，也可選擇 FlClash。前往Linux 下載區依發行版選擇套件；Debian、Ubuntu 系統通常使用 DEB，採用 RPM 的發行版則選擇對應格式。先執行 uname -m 判斷架構，再確認下載頁實際提供的檔案。不要混淆套件格式與處理器架構，也不要將不相容的桌面套件強制安裝到伺服器。

建議優先使用發行版的套件管理器安裝，以便處理相依套件與後續解除安裝。啟動後匯入訂閱、選擇目前設定檔與策略組，再開啟系統代理。GNOME、KDE 與終端機應用程式讀取代理的方式不同；桌面瀏覽器能連線，不代表命令列也已設定。需要使用 TUN 時，請依客戶端提示設定服務與權限，不應長期以 root 身分執行整個圖形介面。沒有圖形元件的伺服器應直接採用核心執行方式。

無圖形介面環境先手動驗證設定

伺服器或路由器使用者可在核心下載區選擇符合架構的 mihomo。解壓縮後，將實際可執行檔安裝為 /usr/local/bin/mihomo，並準備獨立的設定目錄。以下步驟假設該檔案已就緒；請勿將壓縮檔直接複製到可執行檔路徑。若設定使用相對路徑的規則集或節點提供者，也要確認相關資源位於正確的工作目錄。

先將完整設定檔儲存為 /etc/mihomo/config.yaml，限制讀取權限後再執行設定測試。測試通過後，以前景模式啟動一次，觀察監聽、DNS 與出口記錄。預設只保留本機監聽，確認功能正常後再考慮讓其他裝置存取。只執行核心不會自動替終端機、瀏覽器與系統服務設定代理；這也是伺服器「程序正常，但請求仍直連」的常見原因。

sudo install -d -m 700 /etc/mihomo
sudo chmod 600 /etc/mihomo/config.yaml
sudo /usr/local/bin/mihomo -t -d /etc/mihomo
sudo /usr/local/bin/mihomo -d /etc/mihomo

使用獨立使用者交由 systemd 管理

以前景模式驗證後先停止程序，再設定服務，避免兩個執行個體占用同一連接埠。以下範例適用於支援 systemd 且使用相應使用者管理命令的發行版，只提供本機代理服務，不包含 TUN。請建立專用使用者，並將目錄所有權交給該使用者；若設定目錄需要寫入，也應僅開放給服務使用者。其他發行版應採用等效的系統帳號建立方式。

sudo useradd --system --home-dir /etc/mihomo --shell /usr/sbin/nologin mihomo
sudo chown -R mihomo:mihomo /etc/mihomo

將以下內容儲存至 /etc/systemd/system/mihomo.service。服務使用固定的設定目錄，程序失敗後會重新啟動，並等待網路目標就緒。網路目標就緒不代表一定能連上訂閱伺服器，遠端資源仍須另外檢查。此範例刻意不授予網路管理權限；若設定啟用了 TUN，請先將其關閉，或依部署環境另行設計最小權限。

[Unit]
Description=mihomo local proxy
Wants=network-online.target
After=network-online.target

[Service]
Type=simple
User=mihomo
Group=mihomo
WorkingDirectory=/etc/mihomo
ExecStart=/usr/local/bin/mihomo -d /etc/mihomo
Restart=on-failure
RestartSec=5
UMask=0077
NoNewPrivileges=true

[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable --now mihomo
systemctl status mihomo --no-pager
journalctl -u mihomo -b --no-pager -n 80

確認監聽、環境變數與存取範圍

使用 ss -lntp 確認 7890 是否正在監聽，再明確指定代理測試請求。若服務啟動後立即結束，先執行設定測試，再查看記錄中的路徑權限與連接埠錯誤。若服務使用者無法讀取設定檔，不要將檔案改為所有使用者皆可讀取，應修正所有權與目錄權限。更新設定後先測試，再執行 sudo systemctl restart mihomo，避免語法錯誤中斷現有服務。

curl -I --proxy http://127.0.0.1:7890 https://example.com
export HTTP_PROXY=http://127.0.0.1:7890
export HTTPS_PROXY=http://127.0.0.1:7890
export NO_PROXY=localhost,127.0.0.1,::1

環境變數只會套用於目前的 shell 及其子程序，不會自動傳給已執行的 systemd 服務。容器內的 127.0.0.1 指向容器本身，不能直接當作主機位址。若需跨容器或從區域網路存取，請明確設定監聽介面、存取網段與防火牆規則。不要將外部控制介面直接公開至網際網路；遠端管理可使用受保護的管理通道。完整部署方式請參考Linux 桌面與無圖形介面執行說明。

常見設定問題：連接埠、規則、DNS 與還原

混合連接埠與區域網路監聽

mixed-port 會在同一連接埠接收 HTTP 與 SOCKS 代理請求；7890 是常見預設值，並非不可更改的固定要求。變更連接埠後，系統代理、終端機環境變數、應用程式內設定與區域網路裝置都要同步更新。以下是現有設定的基本參數片段，不包含節點與策略組，不能單獨取代完整訂閱。若客戶端使用設定覆寫，請在對應入口修改，並確認執行時的最終值。

mixed-port: 7890
allow-lan: false
mode: rule
log-level: info

只供本機使用時，請維持關閉區域網路連線。需要與手機或電視共用時，再啟用區域網路存取，並確認監聽位址、防火牆與裝置隔離設定。其他裝置應填入電腦的區域網路位址，而非 127.0.0.1。只允許可信任的網段存取，避免入口暴露在外部網路。allow-lan 與控制面板介面是不同設定；開放代理連接埠，不代表也應開放控制介面。

規則順序、覆寫與策略參照

規則通常依由上而下的順序比對，由第一條符合的規則決定流量去向。特定網域規則應放在預設規則之前，MATCH 通常放在最後。以下片段假設完整設定中已存在名為 Proxy 的策略組；大小寫與名稱都必須一致。新增規則後請重新載入設定，並查看新連線的命中記錄；既有連線可能繼續沿用舊策略。

rules:
  - DOMAIN-SUFFIX,example.com,DIRECT
  - DOMAIN-KEYWORD,adservice,REJECT
  - GEOIP,CN,DIRECT
  - MATCH,Proxy

更新訂閱後規則消失，通常是因為直接編輯了遠端設定檔。請改用客戶端支援的覆寫或合併機制，同時確認規則插入位置。YAML 縮排須使用空格，不要混用定位字元；含冒號等特殊字元的字串須正確加上引號。錯誤行不一定是問題起點，前一行遺漏清單符號或縮排層級也可能影響解析。確認規則語法與策略參照都通過檢查後，再開始排查網路。

分開處理 DNS 與憑證錯誤

DNS 決定網域如何解析，路由規則則決定連線如何送出，兩者相關但不能互相取代。部分網域發生異常時，應配合記錄查看解析失敗、規則命中與建立連線的過程。fake-ip 模式會使用合成位址辨識流量，不能只因解析結果與公共 DNS 不同就判定異常。切換 DNS 模式後也可能受到系統或應用程式快取影響，請重新建立連線再測試。

出現 HTTPS 憑證警告時，應優先檢查系統時間、目標網域、憑證簽發者與網路攔截設定，不要將「忽略憑證錯誤」當作修復方式。若只有特定節點發生問題，請停止使用該節點，改用可信任的連線路徑測試；若直連也出現問題，請檢查裝置與目前網路。詳細排查方式請參考HTTPS 憑證錯誤處理，不應靠反覆更換本機連接埠來掩蓋憑證問題。

記錄收集與還原順序

排查時記下系統、客戶端名稱、目前模式、流量接管方式與錯誤發生時間，再保留對應時段的記錄。記錄可能包含網域、訂閱網址與帳戶資訊，分享前請先移除敏感內容。先重現問題，再逐項改變變數；暫時關閉 TUN、保留系統代理進行測試，可區分路由接管與節點連線問題；明確指定代理的請求則能進一步確認本機入口。

還原直連時，先關閉系統代理與 TUN，再正常結束客戶端，最後確認系統中是否殘留代理、VPN 或手動 DNS。不要一開始就重設所有網路設定，以免失去問題線索與工作網路設定。仍有疑問可參考訂閱常見問題；若只想重新完成一次連線，請回到快速入門教學依照流程操作。