Clash 入門到進階
用戶端與規則設定

一、核心概念：核心、用戶端與設定

先分清介面與執行層

Clash 生態系中的用戶端與核心屬於不同層次。用戶端提供設定管理、策略選擇、系統代理開關及日誌介面；核心負責監聽入口、解析請求、比對規則，並建立實際的對外連線。mihomo 是這個生態系中持續發展的核心專案，常整合在圖形用戶端中。介面看起來相似，不代表兩款用戶端支援完全相同的欄位，也不代表底層核心與設定處理方式一致。

理解一次連線可從四個環節著手：應用程式發出請求，系統或應用程式將請求送至代理入口，核心依設定決定處理方式，最後透過直連或代理連至目標。某個網頁能開啟，只能證明這條連線路徑可行；其他應用程式可能不讀取系統代理，其他網域也可能符合不同規則。因此，疑難排解時應確認入口、比對結果與對外連線，不要只看某個總開關是否已開啟。

節點、策略組與規則各自負責什麼

節點描述代理連線所需的協定、伺服器位址、連接埠與驗證參數。策略組將節點或其他可選的對外連線整理成可供引用的項目，方便手動選擇或依既定機制切換。規則則指定某類請求應交由哪個項目處理。三者的關係是規則引用策略組，策略組再選擇節點；規則也可以直接引用內建的 DIRECT 或 REJECT，分別代表直連與拒絕。

訂閱通常是可更新的遠端設定來源，但內容並不固定。有些訂閱提供完整設定，包含節點、規則與策略組；有些只提供節點清單，需要用戶端範本補上其他內容。把節點清單當成完整設定使用，常見結果是沒有可選的策略組，或是有節點卻沒有規則引用。匯入前先確認內容類型，比反覆切換模式更有效。

YAML 檔案與實際生效的設定

設定通常儲存為 config.yaml。YAML 以縮排表示結構，同一層的鍵必須對齊，清單項目使用連字號，不能用定位字元代替空格。冒號後通常要加空格，含特殊字元的字串建議加上引號。解析成功只代表語法正確，不保證策略組引用、檔案路徑、網路權限等執行條件都沒有問題。修改後還要確認核心是否接受設定，並查看實際請求的比對紀錄。

圖形用戶端可能同時儲存訂閱原文、範本、覆寫片段與執行時產生的檔案。剛修改的磁碟檔案未必是核心目前讀取的檔案；下次更新訂閱也可能覆蓋手動修改。請查看用戶端的設定預覽或執行中設定入口，確認最終欄位的來源，並留意介面開關是否具有較高優先權。後續範例應合併至受管理的覆寫層，不要直接取代整份訂閱。

還要分清軟體與網路服務。安裝用戶端不會自動提供可用伺服器，程式碼開源也不代表附有連線資源。服務可用性、流量額度與服務商帳戶狀態屬於另一個層面的問題。訂閱內容可能包含存取憑證，應像帳戶資料一樣妥善保存，不要貼到公開討論區、線上轉換頁面或截圖中。遇到來源不明的設定，先檢查其中的遠端資源、監聽位址與控制介面，再決定是否匯入。

二、選擇用戶端：平台與使用限制

先確認裝置，再比較介面功能

初次安裝可先查看 Clash Plus，再依平台、桌面環境與既有使用習慣比較其他用戶端。選擇時不必先比較介面截圖，應先確認作業系統、處理器架構與安裝套件格式。桌面用戶端適合管理設定及查看連線；行動裝置通常透過系統 VPN 介面接管流量；伺服器上的純核心則需要自行管理設定與程序。這些工具的使用方式不同，不能套用同一套授權步驟。

前往下載頁選擇對應平台，可集中查看可用用戶端及適用說明。新手應先選擇仍在維護、能正常啟動且符合裝置條件的用戶端，完成最基本的連線流程後，再比較其他功能。頻繁更換用戶端會同時改變設定合併方式、DNS 預設值及系統接管方式，容易把同一個問題誤認成多個軟體故障，也會增加排查殘留代理設定的難度。

依平台了解其他用戶端

Windows 可比較 Clash Verge Rev、FlClash 與 Clash Nyanpasu；macOS 可比較 Clash Verge Rev 與 FlClash。Linux 可優先查看 Clash Verge Rev 和 FlClash，並確認是否符合發行版的套件格式。Android 可比較 Clash Meta for Android、FlClash 與 Surfboard；但 Surfboard 的設定格式不等同於 Clash YAML，請依其自身的匯入說明操作。訂閱網址相同，不代表所有用戶端都能解析。

iOS 可先查看 Clash Plus 的商店頁面與裝置相容資訊，產品官網為 clashplus.io。行動作業系統顯示 VPN 標記，只代表相關網路介面已啟用，不表示所有目標都經過代理。實際行為仍取決於用戶端支援的規則、排除範圍與對外連線設定。請針對實際使用的應用程式和目標進行連線測試，不要只看狀態列圖示。

維護狀態與設定遷移

Clash for Windows 與 ClashX Meta 已停止維護，僅供封存參考，不建議新裝置以此為預設選擇。封存軟體即使能啟動，也可能受限於新系統授權、協定支援或設定欄位。遷移時先匯出設定來源與手動規則，保留舊環境備份，再匯入新用戶端；不要直接複製整個應用程式資料夾，因為資料庫結構、路徑與加密儲存方式未必相同。

比較功能時，請逐項確認實際需求：是否支援目前使用的訂閱格式、能否預覽生效設定、是否提供穩定的覆寫入口、TUN 是否需要額外服務，以及日誌是否方便篩選。某款用戶端有某個按鈕，不代表其他平台也有相同功能。尤其桌面端的系統代理、服務模式與行動端的 VPN 接管方式，應分開理解，不要只憑相同的中文名稱推斷行為。

一般桌面使用者通常不必另外下載 mihomo 核心。用戶端已負責管理核心啟動、設定路徑及部分權限；手動替換可能造成控制介面不相容或啟動參數不符。伺服器、路由器或需要管理程序的使用者，才較適合直接執行核心，並自行處理服務管理與網路隔離。完成選擇後，先固定用戶端與設定來源，為下一階段保留可重現的環境。

三、安裝與授權：建立可復原的執行環境

安裝前記錄目前的網路狀態

開始安裝前，確認系統是否已執行其他代理、VPN、流量過濾或安全軟體。記下目前的系統代理、既有 VPN 設定及必要的企業網路要求，避免多個程式同時修改相同設定。若要遷移舊用戶端，先正常關閉系統代理與 TUN，再結束程序。只刪除應用程式檔案未必能清除系統代理、服務或虛擬網卡，因此「已解除安裝」不代表網路已恢復正常。

請從本站下載入口及對應專案管道取得安裝套件，並確認平台與架構。Windows 的系統位元數與處理器類型、macOS 的晶片類型、Android 的指令集，以及 Linux 的套件格式，都會影響可用檔案。檔案能解壓縮不代表一定能執行；若出現架構不相容提示，請回到下載頁重新選擇，不要靠修改副檔名或重複解壓縮處理。保留安裝來源紀錄，方便日後更新與復原。

桌面端：分清安裝權限與網路權限

Windows 首次啟動後，先確認主介面與核心都已執行，再決定是否安裝用戶端提供的服務元件。系統代理通常與目前使用者的設定相關，TUN 或背景服務則可能需要較高權限。遇到防火牆提示時，應依程式路徑、網路用途與監聽範圍判斷，不要為了消除提示而開放所有輸入連線。只供本機使用時，建議維持回環位址監聽，不必啟用區域網路存取。

macOS 請依安裝套件說明將應用程式放到適當位置，再依系統設定處理明確的首次執行提示。網路延伸功能、輔助元件、系統代理與鑰匙圈授權涉及不同權限，不要把所有彈出視窗都視為同一種錯誤。若應用程式反覆要求授權，先確認安裝位置及是否已有同名程式在執行，避免同時使用舊版本。詳細處理方式可參閱macOS 網路延伸功能與鑰匙圈權限說明，不建議直接關閉整套系統安全機制。

Linux 桌面需分別確認套件安裝成功、圖形介面啟動成功，以及核心具備網路權限。缺少桌面相依套件可能導致視窗無法開啟；權限不足可能只影響 TUN；系統代理是否生效則與桌面環境有關。請依發行版說明安裝對應格式，先以一般權限啟動確認。若需要設定能力權限或服務模式，請使用用戶端提供的方式，不要預設長期以高權限執行整個圖形程式。

行動端：VPN 授權與背景執行

Android 和 iOS 通常會在首次連線時要求新增或啟用 VPN 設定。請確認提示來自目前安裝的用戶端，再完成授權。Android 還應檢查電池最佳化、背景執行及系統自動清理設定：如果螢幕鎖定後斷線，或切換應用程式後停止更新，可能是程序受到限制，而非節點設定錯誤。先在前景保持連線進行測試，再調整必要的背景權限，避免一次開啟太多無關權限。

首次啟動時不要立即同時啟用多種網路接管方式。先匯入設定，使用用戶端內建日誌確認核心已正常載入；桌面端再啟用系統代理，行動端則依正常連線流程授權。測試完成後，試著正常停止：關閉接管、確認系統代理已恢復、結束用戶端，再測試直連網路。能正常停止並恢復網路，是接著嘗試 TUN 和複雜規則的重要前提，不要只測試如何開啟。

四、匯入訂閱：來源、更新與設定覆寫

先確認取得的是連結還是檔案

匯入訂閱通常有遠端網址、本機檔案和貼上文字三種方式。遠端網址適合定期更新，本機檔案適合備份或固定設定，貼上文字則方便臨時驗證。匯入時請選擇與內容相符的方式，不要把網頁說明網址當成訂閱，也不要將 YAML 貼到只接受網址的欄位。網址可能含有帳戶憑證，應妥善保存，但不要公開展示或長期留在公用裝置上。

在設定管理頁面新增設定，填寫方便辨識的名稱並匯入內容，等候下載與解析完成。完成後還要將該設定設為目前使用項目；只出現在清單中，不代表核心已切換。接著確認策略組是否出現、節點是否可選，以及日誌是否顯示載入成功。若載入失敗，優先查看錯誤行與欄位名稱，先解決內容格式問題，不要反覆點選連線來掩蓋設定尚未生效的事實。

分辨下載失敗、解析失敗與連線失敗

訂閱下載失敗發生在取得設定的階段，可能與網域解析、帳戶狀態、存取限制或訂閱伺服器回應有關。解析失敗表示已取得內容，但回傳的可能是登入頁、錯誤頁面、其他用戶端格式，或縮排錯誤的 YAML。節點連線失敗則發生在設定載入後，需要檢查伺服器是否可連線及驗證參數。這三種情況發生在不同階段，應先確認失敗步驟，再採取對應的排查方式。

訂閱回傳完整設定時，先保留預設策略組與規則，完成基本驗證。若只回傳節點，應使用用戶端支援的範本或依服務提供者說明補齊設定，不要任意拼接來路不明的範本。範本中的策略組名稱必須與規則引用一致，節點來源也要正確加入。若出現「找不到策略」之類的錯誤，請優先檢查名稱、大小寫與合併順序，不要只確認清單裡是否有節點。

覆寫與訂閱更新的範圍

手動設定應盡量放在用戶端支援的覆寫或合併層。直接編輯下載的訂閱原文，可能在下次更新時遺失；直接修改執行時檔案，則可能在重新啟動時被重新產生。不同用戶端處理清單的方式可能是取代、附加或置於前方，尤其要查看最終的 rules、proxy-groups 與 dns 結果。不要預設另一款用戶端也採用相同的合併方式。

以下是頂層參數片段，僅用來說明本機設定應與節點內容分開。它不包含節點與策略組，無法單獨建立代理連線。若用戶端已透過介面管理這些參數，應優先使用對應開關，並在設定預覽中確認結果；同時寫入介面與檔案可能造成啟動後反覆覆寫，導致連接埠或模式改過後又恢復原狀。

# 頂層設定片段；請與既有完整設定合併使用
mixed-port: 7890
allow-lan: false
mode: rule
log-level: info

更新訂閱前，先保存目前可用的設定及必要的手動選擇。更新後比較策略組名稱、節點數量變化與日誌；不必因為舊選擇失效，就立刻認定整份訂閱損壞。服務提供者刪除或重新命名節點後，用戶端可能會回到預設選項；此時重新選擇可用的對外連線，再測試常用目標即可。自動更新間隔應考量服務提供者的限制與實際需求，短時間內反覆重新整理不會改善伺服器品質。

若訂閱網址必須透過既有代理才能存取，請使用用戶端支援的更新下載方式，或先恢復一條可用的連線路徑。不要為了更新訂閱而長期將所有流量切換成全域模式。回報問題時，只提供已移除敏感資訊的錯誤內容、匯入方式與設定類型，不要提供原始網址。來源與訂閱異常的整理說明，請參閱訂閱相關疑難解答，再依失敗階段繼續排查。

五、代理模式：分別設定入口與流量處理方式

規則、全域與直連是不同的處理方式

規則模式依設定順序為每個請求選擇對外連線，適合日常使用；全域模式會將進入核心的請求交由全域策略處理；直連模式則讓進入核心的請求直接連至目標。模式改變的是核心收到請求後的處理方式，不會確保所有應用程式都將請求送進核心。因此，全域模式不代表整台裝置的所有流量都已接管，開啟後仍可能有應用程式繞過系統代理。

日常使用建議先採用規則模式，只有在確認規則差異時才短暫切換全域模式比較。如果同一目標在全域模式可用、規則模式卻無法連線，應查看命中的規則與選定的對外連線，不要長期保留全域模式當作修復方式。直連模式也不代表用戶端已完全關閉：核心、監聽連接埠或 VPN 介面可能仍在執行。若要完整恢復系統網路，還需關閉相關接管入口。

系統代理：應用程式是否遵循決定接管範圍

系統代理通常會將系統支援的代理設定指向本機監聽連接埠。瀏覽器和部分應用程式會讀取這項設定，但命令列工具、遊戲或使用自有網路堆疊的程式可能不會。有些應用程式也有獨立的代理設定，需要在應用程式內設定或透過環境變數指定。若遇到「瀏覽器正常，另一個程式無法連線」，應先確認該程式是否出現在核心連線清單中，再檢查規則與節點，避免把入口問題誤認成線路故障。

環境變數只會影響讀取它們的程序，也可能被工具本身的設定覆蓋。以下命令在類 Unix 終端機中，只為這次請求指定代理，並假設本機混合連接埠確實使用範例值。在 Windows PowerShell 中若採用這種驗證方式，請明確呼叫 curl.exe。請求成功只代表這個命令透過指定入口完成連線，不代表其他應用程式也採用相同設定。

curl --proxy http://127.0.0.1:7890 --head https://example.com

連接埠設定：監聽位址、類型與衝突

mixed-port 提供 HTTP 與 SOCKS 入口；port 和 socks-port 則分別設定獨立入口。連接埠號碼應以實際生效的設定為準，範例數值並非所有用戶端的固定預設值。若日誌顯示位址已被使用，先確認是否有另一個用戶端或舊核心程序正在執行，再決定關閉佔用程式或修改連接埠；修改後也要同步更新系統代理及應用程式內的手動設定。

監聽位址決定哪些裝置可以連線到入口。只供本機使用時，應關閉區域網路存取，並確認實際綁定範圍。啟用 allow-lan 後，還需依綁定位址、防火牆與網路環境限制存取，不要將未受保護的代理入口公開到網際網路。區域網路裝置應填入執行用戶端那台裝置的區域網路位址，而非該裝置的回環位址，同時也要考量網路隔離與裝置休眠。

透過連線紀錄驗證模式

驗證時選定明確的目標，先關閉既有連線或發出新的命令請求，再查看連線清單中的網域、比對規則、策略鏈與對外連線。長連線、瀏覽器連線池及快取可能讓模式切換後的效果延遲呈現；既有連線不一定會隨模式改變立即重建。記下目前模式與測試時間，有助於在日誌中找到對應紀錄。遇到連線問題，可搭配連線故障說明逐層檢查。

部分用戶端可同時使用系統代理與 TUN，但初次排查時最好只保留一個明確入口。重複設定可能讓部分請求先經過應用程式代理，再被虛擬網卡攔截，增加觀察難度。先用系統代理確認設定與對外連線，再依下一階段需求處理接管範圍。入口、模式與測試目標都明確，才能判斷問題出在接管、比對還是外部網路。

六、規則分流：比對順序與策略組

由上而下比對，符合後即停止

規則通常由上而下依序比對；請求符合某條規則後，就會交由該規則指定的對外連線處理。規則之間不是投票，也不會自動挑選「更精確」的項目。因此，明確的網域例外應放在較寬泛的規則之前；區域網路位址等基本直連項目，應避免被前面的兜底代理規則覆蓋；最後再將 MATCH 放在清單末尾。只在清單下方新增規則，可能永遠不會符合。

DOMAIN 比對完整網域，DOMAIN-SUFFIX 比對網域後綴及其子網域，DOMAIN-KEYWORD 比對包含指定關鍵字的網域。關鍵字的涵蓋範圍往往比預期更廣，不宜用太短的字詞概括整項服務。IP-CIDR 依位址範圍比對，GEOIP 依 IP 地理資料庫比對，GEOSITE 則依賴網域分類資料。相關資料庫存在且標籤可用，是這些規則能載入的前提。

先定義可供引用的策略組

策略組名稱是設定介面的一部分，規則中的名稱必須與定義完全一致。以下片段定義名為 Proxy 的手動選擇組，組內只有內建直連項目，用於驗證結構與規則引用，尚不具備代理能力。實際使用時，應將已在 proxies 中定義的節點名稱，或設定正確的來源加入此組。不要把示範組中顯示的直連誤認為已選取代理節點。

# 結構示範片段：Proxy 目前只包含 DIRECT
proxy-groups:
  - name: Proxy
    type: select
    proxies:
      - DIRECT

rules:
  - DOMAIN-SUFFIX,github.com,Proxy
  - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
  - IP-CIDR,10.0.0.0/8,DIRECT,no-resolve
  - MATCH,Proxy

select 適合手動選擇；url-test 依測試結果選擇候選項目；fallback 著重依序維持可用的對外連線；load-balance 則依其策略分配連線。自動測試會連線至指定的測試網址，結果不等於所有網站的使用體驗，也不能直接代表下載速度。應先了解候選項目與觸發條件，再決定是否需要自動選擇，避免巢狀策略組過多，導致難以追蹤最終的對外連線。

網域規則與 IP 規則的適用範圍

部分 IP 規則需要先解析網域，才能判斷目標位址；no-resolve 可避免該條 IP 規則主動觸發解析，但不代表整個連線過程都不會使用 DNS。若請求已帶有 IP，仍可依位址進行比對。能否取得網域資訊，也與應用程式入口、DNS 模式及嗅探設定有關。若網域規則未命中，應先確認連線紀錄是否真的包含網域，不要直接新增更多網域項目。

使用 rule-providers 可將大型規則集合與主要設定分開管理，但來源、快取路徑、格式及比對方式都必須正確設定。網域集合、IP 集合與傳統規則格式不能任意混用；以 RULE-SET 引用時，名稱也必須相符。先用幾條本機規則確認分流邏輯正確，再加入遠端集合。遠端更新失敗時，還要確認是否有可用快取，以及目前載入的內容是否符合預期。

針對單一目標驗證，不以規則數量判斷

新增規則前，先寫清楚預期：哪個網域或位址、應交由哪個策略組處理，以及為何需要例外。儲存後重新建立測試連線，檢查符合的項目與最終對外連線；若結果不符，往上檢查更早符合的規則，並確認用戶端是否將覆寫規則加在兜底規則之後。規則越多不一定越準確，重複或互相遮蔽的項目反而會增加維護難度。保留用途註解與復原紀錄，比不斷堆疊規則更重要。

涉及中國大陸直連、其他目標走代理的設定，可進一步參閱規則分流實作教學。不要將地理資料庫視為服務所在地的絕對依據；內容傳遞網路、共用基礎架構與跨區服務都可能有例外情況。必要服務請使用容易理解的網域例外，並搭配 DNS 驗證規則，才能建立便於維護的分流設定。

七、TUN 與 DNS：擴大流量接管範圍

先確認一般入口正常運作

TUN 透過虛擬網路介面接收路由至其中的網路封包，用來處理不遵循系統代理的應用程式。它改變的是流量進入核心的方式，不會自動修復失效節點、錯誤驗證或有問題的規則。啟用前先透過明確的代理入口完成一次連線驗證，確認設定與對外連線本身可用。若基本連線路徑尚未建立，同時調整路由與 DNS 只會增加變數，讓故障更難排查。

TUN 的實作方式取決於作業系統、核心功能與用戶端權限。桌面端可能需要服務元件或管理員授權；行動端通常透過系統 VPN 介面提供類似的接管能力，不能直接套用桌面版 YAML 片段。若建立虛擬網卡或設定路由失敗，應先處理權限與用戶端服務狀態；此時反覆更換節點，不會影響本機介面的初始化結果。

路由接管與 DNS 劫持各有用途

auto-route 用來自動設定相關路由，auto-detect-interface 用來自動偵測對外連線介面，dns-hijack 則將符合條件的 DNS 請求交由內建 DNS 處理。以下是桌面版 mihomo 的局部結構範例，需與有效的對外連線設定合併，並由用戶端妥善管理權限。若介面已提供 TUN 與 DNS 開關，請確認產生的設定，不要同時維護兩份互相覆寫的內容。

# 桌面端 TUN / DNS 片段；請先確認用戶端支援這些欄位
tun:
  enable: true
  stack: mixed
  auto-route: true
  auto-detect-interface: true
  dns-hijack:
    - any:53

dns:
  enable: true
  enhanced-mode: fake-ip
  fake-ip-range: 198.18.0.1/16
  nameserver:
    - https://dns.alidns.com/dns-query

DNS 覆寫與 fake-ip 的意義

DNS 設定會決定網域如何解析，也會影響後續規則判斷與連線建立。fake-ip 模式會為網域配置一個供內部映射使用的位址，核心再透過映射還原網域並處理連線；這不是目標網站的真實伺服器位址。若應用程式繞過核心直接使用該位址，或舊快取保留了已失效的映射，特定應用程式可能無法連線。因此，切換 DNS 模式後應重新建立測試連線，必要時清除系統及應用程式快取。

部分區域網路服務、裝置探索或依賴真實解析結果的應用程式，需要搭配 fake-ip-filter 或用戶端相容性設定處理。遇到異常時，不要將所有網域都加入過濾清單，也不要任意更換整個位址池。先確認失敗的對象、是否屬於區域網路，以及是否只有特定應用程式受影響，再新增範圍盡可能小的例外。過濾規則的意義也可能受設定模式影響，請核對所用核心說明及最終生效欄位。

攔截一般 DNS 連接埠，不代表能接管所有加密 DNS。瀏覽器或應用程式內建的 DoH、DoT 可能使用獨立連線，系統專用 DNS 也可能改變實際路徑。先確認由誰負責解析，再決定統一交由核心處理，或保留應用程式自身的設定。遠端 DNS 位址本身也必須能連線；若使用網域形式的解析服務，還要考慮該服務網域如何完成初次解析，以免解析流程形成循環。

依序檢查路由、解析與對外連線

啟用後先測試一般網域連線，再測試原本不遵循系統代理的應用程式，最後確認區域網路裝置與休眠後恢復狀況。出現異常時，先確認連線是否進入核心；完全沒有紀錄，優先檢查路由、排除範圍與權限；有紀錄但網域解析失敗，檢查 DNS；已選定對外連線卻連線失敗，再檢查節點與目標。排查完成後關閉 TUN，確認原有網路已恢復，避免把殘留路由誤認為持續性的服務故障。

其他 VPN、容器網路、虛擬機器與企業隧道可能會和 TUN 的路由範圍衝突。不要直接刪除不熟悉的系統路由；先停止這次新增的接管，再比較網路行為。必要時使用用戶端提供的排除路由功能，並確認被排除的流量會繞過目前的核心。TUN 的目的是補足入口涵蓋範圍，而不是讓設定失去界線；能說明哪些流量會被接管、哪些會被排除，才算完成這個階段。

八、日常維護：日誌、備份與更新

以時間軸對照請求與錯誤

維護首先需要可重現的紀錄。發生問題時，記下發生時間、使用的網路、目標網域、用戶端模式及當時選取的策略，再發出一次明確的請求。閱讀日誌錯誤時，必須搭配上下文：連線逾時、網域解析失敗、遠端主動關閉與設定解析錯誤，分別發生在不同階段。只截取最後一行，往往會漏掉真正的前置原因，也容易把正常重試誤認為持續故障。

日常可使用適中的日誌等級，只在重現問題時暫時提高詳細程度。詳細日誌可能包含網域、位址、程序名稱及設定相關資訊，應限制保存與分享範圍。完成重現後，請恢復平常使用的等級，避免長期記錄大量瀏覽細節。常見錯誤的閱讀方式可參考Clash 執行日誌疑難排解，重點在於錯誤發生的位置，而不只是搜尋錯誤字詞。

速度慢時，分開測量不同環節

連線成功不代表速度符合預期。速度緩慢可能來自目標服務、代理伺服器負載、對外路徑、本機無線網路或應用程式本身。先比較同一裝置的直連與代理路徑，再比較相同設定下的不同對外連線，最後檢查本機網路與其他應用程式的資源占用。策略組測試只反映測試網址的回應情況，不能直接推論大型檔案的傳輸速度，也不能用一次測試代表整段使用時間。

測試時應盡量維持目標、時間與網路條件一致。若同時更換節點、切換 DNS、啟用 TUN 並修改規則，就無法判斷改善來自哪個變更。可依照網速緩慢的分層排查方法逐項比較並記錄必要結論。若只有特定網站出現問題，先檢查其比對規則、內容傳遞路徑與連線重用，不必立刻重裝用戶端或重設所有設定。

備份應包含來源與覆寫設定

有效的備份不只是保存一份 YAML 檔案。還應記錄訂閱來源、用戶端設定合併方式、手動規則、策略組選擇，以及必要的系統接管選項。敏感資料應存放在受保護的位置，不要放進公開程式碼儲存庫或不可信的共用資料夾。備份後確認能辨識各檔案的用途，並在變更前建立新的還原點；若無法判斷哪個檔案實際生效，還原時仍得重新排查。

更新用戶端與更新訂閱是兩種不同的操作。用戶端更新可能改變介面、核心與權限管理；訂閱更新則會改變遠端設定內容。建議分開進行：先更新其中一項，完成啟動、設定載入、常用目標及區域網路測試，再處理另一項。不要依介面變化推斷核心已更新，也不要手動替換應用程式內的檔案而忽略相容性。要復原時，請使用原本的安裝來源與已保存的設定。

網路切換、休眠與正常結束

裝置從有線網路切換到無線網路、從家用網路切換到手機熱點，或從休眠恢復後，對外連線介面、DNS 與路由都可能改變。先確認用戶端是否重新偵測介面，再試著正常停止並重新啟用接管。若只在特定網路下失敗，應比較該網路的驗證頁面、存取限制與其他 VPN，不要刪除所有本機規則。行動裝置也要確認背景程序沒有被系統清除。

正常結束前，先關閉系統代理或 VPN 接管，確認應用程式提示已停止，再離開程式。若異常結束導致網路無法使用，請檢查系統是否仍指向已停止的本機代理連接埠，並使用用戶端提供的方式復原服務或路由。解除安裝前也應完成這些步驟。維護的目標不是讓程式永不結束，而是能預測它啟動、停止或失效時對系統網路的影響。

九、進階設定：可重用設定與執行界線

依用途拆分，不要一味擴充主要設定檔

掌握基本連線後，進階設定可從整理設定結構開始。分開管理遠端節點來源、策略選擇、流量規則與本機環境設定：節點隨訂閱更新，策略組表達選擇方式，規則決定流量去向，本機覆寫負責連接埠、DNS 與接管。如此一來，更換訂閱時不必重寫所有規則，遷移裝置時也能辨認哪些欄位與網路環境有關。拆分設定的前提是理解用戶端的合併方式，不是單純把檔案切成多份。

proxy-providers 與 rule-providers 分別管理代理來源與規則來源，兩者不能互相取代。導入前先確認內容格式、更新路徑、快取位置與引用名稱，並了解首次下載失敗時的處理方式。遠端資源會增加啟動依賴，應避免所有基本設定都必須透過尚未建立的代理才能取得。有快取也不代表內容永遠有效，仍需保留明確的更新與復原方式。

了解組合策略的管理成本

巢狀策略組適合將業務選擇與實際節點分開管理，但層級太深會讓最終對外連線難以辨識。可以先建立清楚的手動選擇組，再依實際需求加入自動測試或故障切換。每增加一層，都要檢查候選項目、測試路徑與預設選擇。自動切換通常只影響新建立的連線，無法保證現有連線不中斷；對長連線應用程式，請以實際使用情況驗證，不要只看策略組目前顯示的名稱。

管理規則集時也要保留檢視的習慣。第三方集合的涵蓋範圍、更新頻率與分類方式未必符合本地需求，過大的集合也會增加啟動與維護成本。先保留必要的本機例外，確認它們位於遠端集合之前或之後，再逐步加入分類。對重要服務，記錄預期的對外連線與驗證方式，避免遠端規則變更後只能憑使用體驗猜測原因。

外部控制介面：只開放必要範圍

外部控制介面供用戶端或管理工具讀取狀態、切換策略與更新設定，權限高於一般代理入口。只供本機使用時，應維持回環位址綁定，不要為了方便存取而直接公開到網際網路。以下僅示範單一頂層欄位的結構，不代表必須手動啟用介面。圖形用戶端可能已自行管理位址與驗證；直接修改可能造成介面失去連線或控制衝突，請先查看用戶端說明。

# 僅示範回環位址綁定形式；不能取代驗證與存取控制
external-controller: 127.0.0.1:9090

若需要跨裝置管理，應先規劃受保護的存取路徑、身分驗證、防火牆與最小開放範圍，而非只更改監聽位址。代理入口、控制介面與 DNS 監聽是不同服務，應分別檢查綁定範圍與權限。不要將控制介面的驗證資訊寫進公開範例、截圖或問題回報；回環位址綁定也不能取代對本機應用程式與指令碼的信任判斷。

從桌面用戶端遷移至純核心

伺服器與路由器環境需要自行管理啟動參數、設定路徑、檔案權限、日誌輪替與服務復原。先在非關鍵環境使用已知設定啟動，確認路徑與監聽範圍，再設定開機自動執行。首次啟動不要立即覆蓋整台裝置的預設路由，尤其是遠端管理中的機器；錯誤接管可能中斷目前的管理連線。請保留獨立的復原管道，並測試重新啟動、切換網路及下載資源失敗時的處理方式。

純核心設定可使用核心的測試模式檢查載入條件，但應先從所用執行檔的說明輸出確認參數，並了解測試範圍。語法與引用檢查通過，不代表遠端伺服器可連線、路由權限足夠或系統 DNS 路徑正確。正式執行仍需依入口、解析、比對及對外連線逐層驗證。不要忽略相對路徑、快取目錄及平台差異，直接將用戶端產生的檔案複製到伺服器。

以能清楚說明結果作為進階標準

完成這個階段後，應能回答特定請求從哪裡進入、由誰解析、符合哪條規則、經過哪個策略組，以及如何還原原狀。沒有明確需求的進階選項可維持預設，不必為了讓設定檔更長而增加複雜度。需要快速操作時，請回到使用指南；需要排查單一異常時，請查看疑難解答，並將驗證結果補進維護紀錄，逐步建立適合裝置與網路環境的設定。