Clash 客户端下载与 规则分流配置

规则决定连接交给哪个出站

规则模式按配置顺序逐条匹配，命中后通常不再继续向下查找。域名后缀适合指定站点，IP 网段适合局域网地址，地理数据规则则需要相应数据库可用。与全局模式统一选择出站不同，规则模式可以保留国内服务直连，同时让指定站点进入代理组。排查时先看日志中的命中规则，再看策略组当前选择，避免只改节点却没有修正规则顺序。末尾的 MATCH 用于承接其余连接。

rules:
  - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
  - DOMAIN-SUFFIX,github.com,Proxy
  - GEOIP,CN,DIRECT
  - MATCH,Proxy

片段依赖已有的 Proxy 策略组，以及可用的 GEOIP 数据。

策略组承接规则并选择出站

策略组把规则与实际节点分开管理。规则只引用组名，后续切换节点时不必逐条修改规则。select 组适合手动选择；自动测试或故障转移组则需要结合测试地址与更新间隔使用。与把节点名直接写进每条规则相比，分组更便于维护，也能减少订阅更名带来的影响。下例是仅含直连选项的结构演示，合并配置后应加入已有节点名，或引用已定义的代理提供器，才能选择代理出站。

proxy-groups:
  - name: Proxy
    type: select
    proxies:
      - DIRECT

TUN 接管更多应用连接

TUN 通过虚拟网络接口处理连接，适合不遵循系统代理设置的应用。它改变的是流量进入内核的路径，不会取代规则、节点或 DNS 配置。与只设置系统代理相比，TUN 涉及路由和更高权限，启用前应先确认普通代理可以使用，再完成服务安装或系统授权。若出现局域网访问异常，应检查路由排除项与 DNS 劫持范围。不同系统对网络栈的支持存在差别，下列设置需结合平台文档调整。

tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

DNS 设置影响解析与域名识别

DNS 不仅负责把域名解析成地址，也影响内核能否依据域名匹配规则。fake-ip 模式通过虚拟地址关联请求域名，适合与 TUN 配合，但个别局域网设备或应用可能需要例外处理。与直接沿用系统解析相比，内核 DNS 可以集中管理解析行为，却也需要正确的上游与接管路径。遇到网页无法打开时，应先区分解析失败与连接失败，再调整设置。下例仅展示基础字段，不应覆盖已有的完整解析策略。

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - https://dns.alidns.com/dns-query

区分整份订阅与代理提供器更新

客户端导入的完整配置订阅，和内核 proxy-providers 管理的节点集合，不是同一层级。前者可能包含规则、分组与 DNS，后者通常只提供可供策略组引用的节点。直接编辑完整订阅生成的文件，更新后可能被覆盖；长期保留的修改应放入客户端支持的覆写或合并功能。与重复手工导入相比，定时更新适合维护节点集合，但仍需检查来源与更新日志。下例使用本地文件，不包含远程订阅地址。

proxy-providers:
  local-nodes:
    type: file
    path: ./providers/local.yaml

本地文件需存在且含合法 proxies 列表，策略组还需通过 use 引用 local-nodes。

系统代理将应用连接交给监听端口

系统代理开关告诉遵循系统设置的应用使用本地代理入口，mixed-port 则定义内核接收 HTTP 与 SOCKS 请求的端口。两者需要对应，单独修改配置端口并不等于已修改系统设置。与 TUN 的网络层接管不同，部分命令行工具需要另外设置代理参数。首次使用可以先保持客户端默认端口，并关闭其他代理工具。下例仅监听本机，适合个人桌面使用；向局域网开放前，应另行评估认证与防火墙限制。

mixed-port: 7890
allow-lan: false
bind-address: 127.0.0.1
mode: rule
log-level: info