Clash 全平台設定

通用準備與設定注意事項

先分清用戶端、核心與訂閱

Clash 生態系中的圖形用戶端負責顯示設定、管理啟動及設定系統代理；核心負責監聽連接埠、解析規則並建立連線；訂閱則提供伺服器參數、策略群組及其他設定。三者並非同一項目。安裝用戶端不會自動取得可用訂閱，匯入連結也不代表核心已成功載入。排查時應分別確認：程式能否啟動、設定能否解析、連線是否確實送入核心，以及目標出口是否可用。

選擇安裝檔前，先開啟系統的裝置資訊，記下作業系統、處理器架構及目前使用者權限。本網站在支援的平台優先提供 Clash Plus，具體選擇請參閱用戶端安裝檔。不同用戶端對核心欄位、系統服務及匯入方式的支援各有差異，不應只因副檔名相同，就認定設定完全相容。已停止維護的封存用戶端較適合重現舊環境，不建議作為新裝置的預設選擇。

保留設定來源，避免憑證外流

訂閱網址通常含有可識別帳戶的參數，應視同憑證妥善保管。複製時確認網址沒有夾帶換行、通訊軟體附加文字或句尾標點；不要將完整網址放進截圖、問題回報或公開記錄。瀏覽器能開啟連結，只能表示該請求在瀏覽器環境中成功，不代表用戶端使用的網路路徑、請求標頭或憑證環境相同。若格式不受支援，應先向服務提供者確認適用於 Clash 或目標核心的設定格式。

首次匯入前先備份原設定，並記下目前選取的設定名稱。遠端訂閱更新可能覆寫下載的內容，長期自訂規則建議放在用戶端明確支援的覆寫、合併或擴充設定中。各產品的合併順序不盡相同，儲存後應檢查最終生效的設定。跨裝置複製時只帶上必要欄位，並在新裝置重新確認路徑、網路介面名稱與本機監聽位址。

先建立最精簡的可用流程

建議先使用規則模式，選擇可用的策略群組，再啟用一種流量接管方式。桌面系統可先測試系統代理；行動裝置通常由用戶端建立系統 VPN 通道。TUN 可接管更多應用程式的網路連線，但也會增加虛擬網卡、路由與 DNS 等變數。初次設定時同時啟用多個用戶端、全域模式與 TUN，會讓記錄難以判斷問題來源，也容易留下重複路由。

以下範例用來說明本機監聽設定，不含伺服器資訊，無法單獨建立代理連線。連接埠沒有固定要求，只要未被占用，並與呼叫端設定一致即可；若現有設定已包含這些欄位，請修改原有項目，不要重複新增同名鍵。

mixed-port: 7890
allow-lan: false
bind-address: 127.0.0.1
mode: rule
log-level: info

其中，混合連接埠可接收 HTTP 與 SOCKS 請求；允許區域網路連線則決定是否接受其他裝置存取，而本機綁定位址可進一步限制監聽範圍。維持僅允許本機連線，可避免尚未設定驗證時將連接埠暴露於網路。也應先同步系統時間，時間偏差可能導致加密交握或憑證驗證失敗。完成準備後，每次只調整一項設定，立即測試並查看新記錄；這比一次修改多處更容易找出原因。

Windows 安裝與流量接管

選擇安裝檔並完成首次啟動

在系統設定的「系統資訊」中確認處理器架構，再前往Windows 安裝檔選擇適用的用戶端。建議優先考慮 Clash Plus，也可依功能需求選擇 Clash Verge Rev、FlClash 或 Clash Nyanpasu；Clash for Windows 已停止維護，僅供封存參考。不要只靠重新命名，將其他架構的檔案當成相容版本；也不要在解壓縮資料夾未完整保留時單獨移動主程式。

執行安裝程式時，先查看系統顯示的檔案來源與發行者資訊。安全警告不能只憑檔名判斷，若有異常應停止安裝並確認下載來源，不要直接關閉系統防護。安裝完成後先以一般使用者身分啟動，確認系統匣圖示、設定頁與記錄都能正常開啟。只有在安裝服務、啟用虛擬網卡或修改受保護設定時，才依用戶端說明提高權限，避免整個使用期間都依賴系統管理員權限。

匯入訂閱並確認目前設定

前往設定管理頁，選擇從連結匯入，貼上完整訂閱網址並儲存。下載完成後，請手動選取該設定，確認沒有解析錯誤，再前往代理或策略群組頁面選擇出口。有些用戶端將「下載設定」與「啟用設定」分成兩個步驟；清單中有檔案，不代表核心正在使用它。若服務提供者提供的是本機檔案，請使用檔案匯入功能，不要把檔案路徑貼進訂閱網址欄位。

匯入失敗時，先確認錯誤屬於連線失敗、回應格式異常，還是欄位不受支援。若網頁回傳登入頁面，用戶端收到的可能是 HTML，而非設定檔；若提示欄位無法辨識，應確認訂閱是否適用於目前的核心。先保留原始檔案，不要為了消除錯誤而刪除所有不熟悉的欄位。成功載入後，記下設定名稱與策略群組選擇，再測試更新，確認更新不會切換到另一份設定。

系統代理、UWP 回送與 TUN

在用戶端啟用系統代理後，確認 Windows 代理設定指向用戶端實際監聽的本機位址與連接埠。若瀏覽器裝有自訂代理擴充功能，可能會覆蓋系統設定；測試時應先統一連線路徑。命令列程式不一定遵循系統代理，可使用明確指定代理的請求，區分「應用程式未接管」與「出口連線失敗」。以下連接埠請替換為設定頁顯示的實際值，測試網址也可改為目前正在排查的網站。

curl.exe --proxy http://127.0.0.1:7890 --head https://example.com

如果瀏覽器能連線，但部分商店應用程式無法連線，可能與 UWP 應用程式存取本機回送位址的限制有關。只檢查確實有需要的應用程式回送權限，並優先使用用戶端提供的管理功能，不要一次開放所有應用程式。也可評估目前情境是否適合使用 TUN，但 TUN 無法取代訂閱有效性與規則比對結果的確認。若企業裝置受組織政策管理，請遵守裝置管理規範。

首次啟用 TUN 時，可能需要安裝服務或建立虛擬網卡。確認系統代理測試已成功後，再啟用 TUN，並查看記錄是否出現介面建立、路由設定或權限錯誤。遇到防火牆提示時，依實際網路範圍授權：僅供本機使用時，不需要開放公用網路的輸入連線。其他 VPN、安全軟體的網路篩選模組或舊虛擬網卡都可能改變路由；排查時先停用重複接管流量的功能，不要反覆重裝用戶端。

開機啟動與結束後的系統還原

「開機啟動」通常是指使用者登入後啟動介面；「服務模式」則可能讓核心獨立於介面執行，兩者不可混為一談。先設定好可用訂閱，再啟用開機啟動，並重新開機確認是否自動選取正確設定。若啟動後短暫無法連線，請檢查網路就緒時間、服務權限，以及訂閱是否必須連線下載。不要同時在工作排程器與用戶端設定中重複新增啟動工作。

更完整的安裝說明請參閱Windows 防火牆、UWP 回送與 TUN 常見問題。記下問題發生時的網路類型、權限與流量接管方式，通常比只說「無法連線」更有助於診斷。

macOS 安裝與網路權限

確認晶片類型與應用程式來源

從蘋果選單的「關於這台 Mac」查看晶片類型，並在macOS 安裝檔選擇適用於 Apple Silicon 或 Intel 的版本。建議優先選擇 Clash Plus，也可使用 Clash Verge Rev、FlClash；ClashX Meta 已停止維護，僅供封存參考。即使系統可透過相容機制執行其他架構的程式，仍建議優先使用與裝置相符的安裝檔，以減少額外相容層造成的啟動與權限問題。

開啟磁碟映像檔後，將應用程式拖移至「應用程式」資料夾，再從該處啟動；不要長期直接從已掛載的安裝映像檔執行。首次啟動時的安全提示，應依下載來源與系統顯示資訊判斷。若系統提示檔案損毀或來源異常，請先重新下載適用的安裝檔並確認系統相容需求，不要直接執行網路上來源不明的解除限制指令。需要安裝輔助服務時，請確認提示確實來自目前的操作。

匯入設定並辨別網路服務

在設定頁貼上訂閱連結，下載完成後選取該設定，再查看記錄中的解析結果。若透過瀏覽器跳轉匯入，請確認接收連結的應用程式；裝置上安裝多款用戶端時，連結關聯可能指向舊程式。若無法自動開啟，可返回用戶端手動貼上，但不要將含有憑證的連結傳送至第三方轉換網站。匯入成功後選擇規則模式與實際可用的策略群組，先用瀏覽器進行基本測試。

macOS 系統代理與目前的網路服務相關，無線網路、有線網路介面及其他網路服務可能各自有不同設定。切換網路後若無法連線，先確認目前啟用的服務是否仍使用用戶端監聽的本機連接埠。自動代理設定檔與手動網頁代理可能使用不同連線路徑，請確認目前實際啟用的是哪一種。以下指令僅用於讀取狀態，不會修改系統設定；服務名稱不一定是 Wi-Fi，請先列出裝置上的實際名稱。

networksetup -listallnetworkservices
networksetup -getwebproxy "Wi-Fi"
networksetup -getsecurewebproxy "Wi-Fi"
networksetup -getsocksfirewallproxy "Wi-Fi"

輸出中的啟用狀態、伺服器位址與連接埠應與用戶端設定一致。如果用戶端結束後仍指向本機連接埠，系統請求就會送往已不存在的監聽服務。要還原設定，請在系統網路設定中關閉對應的代理項目，並檢查自動代理設定是否也已啟用。不了解目前狀態時，不要連續執行多個修改網路服務的指令，否則可能只修復無線網路，卻漏掉有線網路。

TUN、輔助服務與 DNS

TUN 的實作方式取決於用戶端與核心；有些會透過具特權的輔助服務調整路由，有些則需要授權系統網路延伸功能。請依目前用戶端的說明完成授權；即使選單中的開關已亮起，仍應查看記錄，確認介面與路由確實建立。系統升級或移動應用程式資料夾後，舊服務可能需要修復或重新授權；請使用用戶端內建的服務管理功能處理，不要手動刪除歸屬不明的系統檔案。

若啟用 TUN 後只有公司內網網域無法使用，問題可能出在分流 DNS 或企業 VPN 路由，而非整體節點無法連線。記下失效網域、連線中的網路服務與命中的規則，並檢查用戶端是否覆蓋原有的解析路徑。依賴內網 DNS 的環境，必須保留相關網域正確的解析來源，不可簡單地把所有 DNS 請求都送往同一個公用解析器。處理後請分別測試內網與公網，避免只修好其中一側。

系統代理主要影響遵循系統設定的程式，終端機工具可能需要明確指定代理或設定環境變數。環境變數只對繼承該設定的程序有效，不等於接管整個系統。若終端機可以連線而瀏覽器不行，應反過來檢查瀏覽器擴充功能、快取與系統網路服務；若兩者都無法連線，再查看用戶端記錄及目前的策略群組。不要以代理圖示是否顯示，取代實際請求測試。

登入時啟動、休眠與網路切換

若需要登入後啟動，請使用用戶端內的啟動選項，並確認系統登入項目未遭停用。輔助服務執行與選單列介面顯示是兩回事，關閉視窗不一定會停止核心。從休眠恢復、切換熱點或重新插入有線網路介面後，介面名稱與預設路由可能改變；先停用再重新啟用目前的流量接管方式，觀察路由是否重新建立，不要立即覆寫訂閱。

遷移至另一台 Mac 時，可以匯出設定，但仍須重新授權服務、檢查本機檔案路徑並重新選擇策略群組。私人憑證、組織網路設定與系統鑰匙圈內容不應透過一般訂閱檔案傳遞。確認運作穩定後，再逐項恢復自動更新、開機啟動及其他延伸設定，並保留正常連線時的記錄特徵，方便與故障狀態比對。

Android 安裝與背景連線

依架構安裝並完成授權

在Android 安裝檔中建議優先選擇 Clash Plus，其他選項包括 Clash Meta for Android、FlClash 與 Surfboard。不同應用程式支援的設定格式與通訊協定可能不同，不能因為某款應用匯入同一份訂閱失敗，就直接認定是手機問題。請先確認服務提供者支援的格式，再選擇用戶端。安裝檔架構須與裝置相符；較舊或特殊裝置應依系統資訊判斷，不要只憑手機品牌選擇。

從瀏覽器或檔案管理員開啟安裝檔時，系統可能會要求允許從該來源安裝應用程式。只授權目前需要的來源，安裝完成後可依裝置政策撤銷權限。若提示與現有應用程式的簽章衝突，通常無法直接覆蓋安裝；請先匯出必要設定，確認新舊應用程式的來源與套件名稱，再決定是否解除安裝。解除安裝可能會清除設定、記錄與授權，不應視為毫無代價的第一個排查步驟。

匯入訂閱並建立系統通道

開啟用戶端的設定或訂閱管理頁，新增遠端連結，儲存後執行更新，並將這份設定選為目前使用的設定。名稱可使用方便辨識的本機標籤，不要將完整憑證寫進名稱。匯入本機檔案時，透過系統檔案選擇器授權存取即可；檔案位於下載資料夾，不代表用戶端自動取得讀取權限。匯入後請確認策略群組是否正常顯示，以及是否出現不支援欄位的錯誤。

點選啟動後，Android 通常會顯示系統 VPN 連線要求。這項 VPN 權限是讓用戶端接收本機流量，並不表示系統會自動提供遠端出口。確認要求來自剛開啟的應用程式後再允許。一般情況下，同一時間通常只能有一條系統 VPN 連線；其他 VPN、防火牆或使用相同機制的流量篩選應用程式可能互相取代，切換前應先確認要停止哪一項服務。

行動裝置的系統通道與桌面系統的「設定系統代理」不同，不必再到無線網路進階設定中填入相同的本機代理。無線網路中的手動 HTTP 代理通常只對部分應用程式及目前網路生效，與系統通道疊加反而可能將流量送往錯誤連接埠。先保留一種流量接管方式，確認瀏覽器與目標應用程式都產生連線記錄後，再考慮依應用程式分流或提供區域網路服務。

應用程式分流與背景限制

若用戶端提供依應用程式選擇流量的功能，先確認目前使用的是「僅代理所選應用程式」還是「略過所選應用程式」。在兩種模式下勾選同一應用程式，意義正好相反。透過應用程式清單決定流量是否進入通道，再透過網域與位址規則決定進入後使用哪個出口，兩層設定應分開驗證。若記錄完全沒有目標應用程式的請求，應優先檢查應用程式清單，而不是新增更多網域規則。

鎖定螢幕後斷線，常與系統電池管理有關。先確認用戶端是否顯示前景服務通知，再到裝置的電池設定檢查該應用程式是否受到背景執行限制。不同廠牌的自動啟動、背景活動與省電策略名稱各異，只調整與目前應用程式相關的項目，不要全面關閉裝置的省電功能。測試時分別觀察螢幕開啟、鎖定及長時間待機後的連線狀態，不要只依啟動當下判斷結果。

「一律開啟 VPN」與「封鎖未經 VPN 的連線」是系統層級的策略；若用戶端尚未啟動或設定失效，後者可能會阻斷其他網路連線。只有在了解其行為並完成重新啟動測試後，才啟用這些選項。不要把用戶端的自動重新連線功能當成系統層級封鎖策略，兩者生效階段不同。取消強制策略時，也應確認系統設定已還原，而不只是關閉應用程式內的開關。

DNS、私人 DNS 與熱點使用限制

Android 私人 DNS、用戶端 DNS 與應用程式內建的加密 DNS 解析功能可能同時存在。網域存取異常時，先記下這些設定原本的狀態，再逐一測試比對，不要一次全部修改。有些應用程式會沿用快取或長連線，變更 DNS 後須重新發出請求，才看得出差異。即使 IP 位址可連線，也不能因此認定應永久停用所有 DNS 功能。

手機本身的 VPN 通常不會自動接管透過熱點連線的其他裝置。若要讓電腦使用手機上的代理，用戶端必須明確支援區域網路監聽，並設定可連線的位址、驗證方式與防火牆；這與開啟熱點是兩件不同的事。一般行動裝置使用情境建議關閉區域網路存取。若訂閱在行動網路下更新失敗、在無線網路下成功，請進一步檢查流量權限、網路限制與服務提供者的連線狀態，避免把網路差異誤認為設定損毀。

iOS 安裝與通道設定

從 App Store 安裝 Clash Plus

iPhone 與 iPad 可使用 Clash Plus，安裝方式請參閱iOS 用戶端，或直接前往App Store 的 Clash Plus 頁面。產品官網為 clashplus.io。安裝前請查看商店頁面列出的系統相容資訊，並以裝置實際顯示為準；不要將其他平台的安裝檔匯入行動裝置，也不需要為了使用訂閱而安裝來源不明的裝置管理描述檔。

首次開啟時，先熟悉設定頁、代理模式與連線開關。通知權限與網路通道權限用途不同：通知用於顯示狀態或提醒，建立通道則需要系統確認 VPN 設定。若裝置由學校或組織管理，網路功能可能受政策限制，請先確認允許範圍。成功安裝應用程式不代表已具備可用設定，後續仍須匯入訂閱並選擇正確的出口策略。

匯入連結並確認設定來源

複製服務提供者給予的完整訂閱網址，在用戶端選擇透過連結新增設定，輸入本機名稱後儲存。若出現剪貼簿授權提示，確認目前正在執行貼上操作即可。瀏覽器中的快速匯入會透過應用程式關聯機制開啟用戶端；若沒有跳轉，可返回用戶端手動新增。不必反覆開啟相同連結，以免產生多份難以辨識的設定。含有帳戶參數的訂閱網址，不應存進公開備忘錄或出現在共享截圖中。

更新完成後選取該設定，再查看策略群組。若匯入後只顯示空白清單，請確認下載是否成功、回傳內容是否為設定檔，以及用戶端是否支援該格式。訂閱提供的節點資訊與規則可能放在同一檔案，也可能透過用戶端支援的其他結構組織；不能只依檔案大小判斷內容是否完整。手動編輯前先備份，避免修正格式問題時破壞原有縮排與群組名稱。

允許 VPN 設定並驗證規則

首次啟動連線時，系統會要求允許新增 VPN 設定，可能需要輸入裝置密碼或進行其他本機確認。完成授權後返回應用程式檢查連線狀態，再開啟瀏覽器送出新請求。狀態列顯示 VPN 圖示，只代表系統通道已建立，不保證遠端服務正常，也不表示所有請求都使用同一個出口。規則模式仍可能讓部分網域直接連線，因此驗證時應同時查看命中規則與策略群組。

iOS 用戶端通常透過系統網路延伸功能接收流量，與桌面系統的 HTTP 代理設定不同。無線網路詳細資訊中的手動代理是另一種連線方式，通常不必為了啟動用戶端而額外設定。若裝置上已有其他 VPN 設定，請確認目前啟用的是哪一個；反覆切換不同應用程式可能改變系統選擇，排查期間建議只啟用一款用戶端，減少設定關聯造成的干擾。

判斷規則是否命中，應以這次連線的記錄為準。應用程式可能沿用既有連線，修改規則後只重新整理原頁面，不一定會觸發新的比對。可先關閉目標頁面再重新開啟，必要時重新啟動目標應用程式；不要只為了驗證一個網域，就反覆清除整台裝置的網路設定。若規則引用的策略群組不存在，應修正名稱或訂閱相容性，不要為了掩蓋錯誤而永久將所有請求改為全域模式。

背景執行與隨選連線

系統通道與前景介面的生命週期不同，切換到其他應用程式不一定會停止連線；反過來說，強制結束介面也不能單憑這點判斷通道已關閉。要停用時，請使用用戶端的連線開關，並在系統 VPN 狀態中確認。若支援隨選連線，先了解觸發條件，再分別測試無線網路與行動網路，確認是否會自動啟動、切換網路後重新連線，或排除特定網路。

從鎖定畫面恢復後，若某個應用程式暫時無法載入，先發出新請求並查看記錄，區分舊連線失效與通道持續無法使用。低電量狀態、網路切換及目標服務本身的工作階段限制都可能影響使用情況，不能只憑一次重新連線就判定原因。網路環境變更後，訂閱所列伺服器的可連線狀態也可能不同；請在目前網路下測試，不要直接套用另一種網路環境的結論。

裝置遷移與設定更新

更換裝置後，須重新確認系統 VPN 授權、目前設定與策略群組選擇，不能假設裝置備份會完整還原所有連線權限。匯出檔案前，先檢查是否含有訂閱憑證與伺服器密碼，並只透過可信管道傳送。桌面核心的檔案可能包含監聽連接埠、網卡與本機路徑等欄位；行動用戶端如何處理這些欄位，取決於其實作方式。應使用相容的設定，不要逐項照搬。

定期更新訂閱可取得服務提供者的變更，但發生網路問題時不應無限重試更新。先判斷原設定是否仍可用，再確認更新請求是否成功、遠端內容是否變更，以及目前選取的設定是否一致。更新異常的通用說明請參閱訂閱更新問題。保留一份可正常載入的本機備份，有助於分別處理「取得失敗」與「新設定無法使用」。

Linux 桌面與核心部署

選擇圖形用戶端或獨立核心

Linux 桌面使用者可前往Linux 安裝檔選擇 Clash Verge Rev 或 FlClash。先確認發行版、處理器架構與套件格式，再使用發行版支援的方式安裝。下載頁提供的套件不一定適用所有發行版與架構，不能只更改副檔名就拿來安裝其他系統的套件。安裝時請查看套件管理工具列出的相依套件資訊；若發生相依性衝突，應先找出來源，不要直接略過檢查。

圖形用戶端適合互動式匯入訂閱及切換策略；獨立 Mihomo 核心則較適合伺服器、路由器或自行維護服務的使用者，下載方式請見核心下載。核心沒有圖形介面，解壓縮檔案後還須設定執行權限、設定資料夾與啟動方式。一般桌面使用者不必為了使用代理而先架設背景服務；先透過圖形用戶端驗證網路路徑，可減少部署變數。

圖形介面中的訂閱與代理

安裝後在設定頁匯入遠端訂閱，下載完成後選取該設定並查看記錄。圖形介面正常顯示，不代表核心程序已啟動；應確認實際監聽位址與連接埠。不同桌面環境對系統代理的支援程度不一，有些程式讀取桌面設定，有些只讀取環境變數，也有程式完全使用自己的網路設定。因此「瀏覽器可用但終端機失敗」不一定是節點問題。

可在終端機暫時指定代理進行測試，不必立刻修改登入指令稿。以下環境變數只會影響目前的 shell 及其後續啟動的子程序；已執行中的桌面程式不會自動取得這些變數。結束測試時請清除變數，避免用戶端關閉後，終端機仍將請求送往本機連接埠。位址與連接埠應以用戶端實際監聽值為準；涉及憑證時，不要把密碼寫入任何人都能讀取的指令稿。

export http_proxy=http://127.0.0.1:7890
export https_proxy=http://127.0.0.1:7890
curl --head https://example.com
unset http_proxy https_proxy

此處的 HTTPS 目標是透過 HTTP 代理建立通道，因此代理位址使用 HTTP 通訊協定並不矛盾。也要檢查是否存在大寫變數、全域環境檔案或工具本身的設定，這些內容都可能影響測試結果。容器、遠端工作階段與沙箱應用程式各有獨立的網路或環境界線；容器中的本機位址通常不等於主機位址，不能直接套用桌面端的連接埠，然後就判定服務無法使用。

獨立核心的目錄與執行身分

手動部署時，將解壓縮後的可執行檔放在受控位置，授予執行權限，並為設定與執行資料準備獨立資料夾。先以前景模式啟動，確認解析與監聽是否成功，再考慮改為服務。以下範例假設可執行檔命名為 mihomo，設定已儲存至使用者目錄中的設定檔；指令本身不會產生有效訂閱，也不會補齊遠端伺服器參數。

mkdir -p "$HOME/.config/mihomo"
chmod u+x ./mihomo
./mihomo -t -d "$HOME/.config/mihomo"
./mihomo -d "$HOME/.config/mihomo"

測試成功只代表設定可以解析，不保證遠端服務可連線。改為服務執行時，請明確指定執行使用者、工作目錄、啟動指令與設定路徑，避免服務帳戶讀取另一份預設設定。記錄目錄與更新產生的資料也需要適當的寫入權限。不要為了簡化權限問題，就讓所有使用者都能寫入所有檔案；設定中可能包含帳戶資訊與控制介面憑證。

TUN、路由與 DNS 權限

TUN 通常需要存取虛擬網路裝置並修改路由，因此必須具備相應系統權限。圖形用戶端可能透過輔助服務處理，獨立核心則須自行設定執行權限。不要盲目複製可授予任意檔案網路管理權限的指令；應先確認執行檔位置、更新方式與安全風險。執行檔替換後，檔案層級的權限能力也可能改變，更新後須重新驗證。

啟用後，可使用路由與解析狀態檢查工具觀察變化，例如查看目前路由、監聽連接埠及系統解析服務狀態。不同發行版可能採用不同 DNS 管理工具，不應讓多個元件同時反覆覆寫同一個解析檔案。若要遠端維護伺服器，請保留第二個管理工作階段並準備明確的復原方式；預設路由設定錯誤可能中斷目前連線，不能只依賴圖形開關復原。

開機啟動與關閉後的殘留檢查

桌面開機啟動項目會在使用者工作階段開始後執行，系統服務則可能在登入前啟動。選擇哪一種取決於是否需要持續在背景執行，不要同時用兩種方式啟動監聽相同連接埠的核心。重新開機後，請檢查實際程序、設定目錄與監聽連接埠，不要只看服務名稱是否顯示正常。停用時先還原代理與路由，再停止程序；若發生連接埠衝突，先確認占用者屬於哪項服務再處理，以免誤停其他網路程式。

常見設定問題與排查順序

依問題現象判斷故障層級

開始排查前，先記下作業系統、用戶端名稱、使用中的設定、代理模式與流量接管方式，並記錄問題發生前最後一次變更。先暫停其他代理與 VPN，再送出一次新的測試請求。若用戶端完全沒有收到連線，應檢查系統代理、應用程式清單或 TUN 路由；若收到請求但無法連上出口，再檢查策略群組與伺服器；若連線已建立但頁面異常，則繼續檢查 DNS、規則及應用程式本身的行為。

「顯示已連線」可能只代表本機核心正在執行，或系統通道已建立，並不代表整條存取路徑都正常。將本機流量接管與遠端連線能力分開測試，可避免在錯誤的層級反覆修改。完整排查方式請參閱已連線卻無法開啟網頁的排查清單；若記錄明確顯示遠端逾時，可接著參閱節點逾時與連線失敗排查順序。

規則順序、群組名稱與設定更新

規則通常依序比對，第一條符合條件的規則會決定後續動作。範圍較廣的規則若排在前面，可能會遮蔽更具體的規則；預設兜底規則通常放在最後。以下片段僅用來說明語法，前提是設定中確實存在名為 PROXY 的策略群組；若實際群組名稱不同，請替換成現有名稱。不要為了套用範例而新增空群組，也不要將片段直接加成第二個最上層規則鍵。

rules:
  - DOMAIN-SUFFIX,github.com,PROXY
  - GEOIP,CN,DIRECT
  - MATCH,PROXY

地理位址規則需要有可用的相關資料，而網域解析結果也會影響位址類規則的比對。全域模式可用於短時間比對測試，但不能證明規則設定正確。確認某個網站異常時，應查看該連線命中的規則與最終出口，不要只看策略群組目前的選項。遠端更新可能改變群組名稱；覆寫規則若仍引用舊名稱，就可能載入失敗。更新前後應比較錯誤訊息，必要時先還原已知可用的備份，再逐項遷移。

DNS 與 TUN 的交互影響

DNS 負責將網域名稱轉換為可連線的位址；代理連線成功，不代表網域解析路徑也正確。啟用虛擬位址模式後，部分網域可能會取得用於映射的位址，這並非遠端服務的真實位址。將該位址複製到其他裝置或繞過用戶端使用，可能無法連線。若要相容特殊應用程式，應依核心文件設定對應的網域例外，並確認規則仍能正確取得網域資訊。

若內網網域、印表機或本機裝置無法存取，先判斷請求是否被錯誤送入通道，以及解析是否仍來自原本的網路。不能靠一律改用公用 DNS 解決所有問題。關閉 TUN 進行比對測試時，也要確認系統代理與其他 DNS 設定是否仍在作用，否則測試並未真正恢復原有路徑。IPv6 同樣有獨立的位址、解析與路由；若只有部分網站失敗，應檢查雙協定堆疊差異，而不是立刻永久停用 IPv6。

訂閱更新與速度測試結果

更新失敗時先檢查回應類型：連線逾時表示請求尚未完成；驗證失敗應檢查憑證與帳戶狀態；格式錯誤則表示取得的內容無法依目標格式解析。更新請求是否經過代理，取決於用戶端的實作與設定，不能假設一定直連或一定經代理。若舊設定仍可連線，請先保留，不要反覆刪除重建；詳細排查方式請參閱說明中心的訂閱更新說明。

延遲測試只反映指定測試請求在當下的狀況，不等於持續下載速度，也不保證所有目標網站都能使用。測試網址、交握階段與並行狀態不同，都會影響結果；比較時應維持相同條件。選擇出口後，仍須透過目標應用程式驗證實際需求，相關原理請參閱延遲測試與實際網速的差異。不要用單次測試數字取代連線記錄與實際使用情況。

保留診斷資訊，再恢復穩定設定

分享記錄前，請移除訂閱網址、帳戶參數、伺服器密碼及不必要的個人網路資訊，只保留錯誤類型、發生時間與必要背景。除錯等級的記錄適合短時間重現問題，完成後請恢復一般等級，避免長期產生過多資料。每次修改後記錄結果；若未改善就還原原值，直到找出能解釋現象的具體差異。系統穩定後再恢復自動更新與開機啟動；若需重新依完整流程設定，請返回使用指南，不要將臨時排錯設定當作長期預設值。