1. 先区分 VPN 已启动与出口可用

「已连接」只说明客户端的本地服务或 VPN 通道已启动，不等于节点、DNS 和分流规则都能正常工作。先停止 Clash，确认手机自身能上网；再启动服务，沿着「接管流量 → 匹配规则 → 连接节点 → 解析与访问目标」逐层检查。每次只改一项，避免恢复后不知道是哪项设置起了作用。

  1. 停止客户端服务，用浏览器打开一个平时能够直连的网站。若仍失败，先处理 Wi-Fi、移动数据、欠费或公共网络登录问题。
  2. 分别在 Wi-Fi 和移动数据下测试。只有一个网络失败时，优先检查该网络的认证、DNS、路由限制和节点端口连通性。
  3. 启动 Clash，用同一个浏览器访问同一个地址。记录失败发生在所有网站、仅代理网站，还是某个应用。
  4. 记下测试时间、当前配置、模式和选中的节点，再查看这一时刻的日志。

2. 检查安卓 VPN 授权与冲突

在 Clash for Android 中，选中配置后回到主界面启动服务。首次启动会弹出安卓系统的 VPN 连接请求，需要确认授权。通知栏的 VPN 标识可以作为线索，但还应进入系统 VPN 页面，确认当前连接归属哪个应用。

系统设置里看什么

  • 原生安卓通常在「设置」→「网络和互联网」→「VPN」。厂商菜单不同，可在设置中搜索「VPN」。确认当前活动项是正在排查的客户端。
  • 同一安卓用户或资料空间内，通常只能有一个应用持有 VPN 接口。先停止其他 VPN、本地 VPN 型过滤工具和抓包工具，再重新启动 Clash。
  • 打开对应 VPN 的设置，检查「始终开启 VPN」和「阻止未使用 VPN 的连接」。排查时可暂时关闭后者，避免客户端停止后仍被系统阻断网络；测试完成后按需要恢复。
  • 如果使用工作资料或应用分身，确认出问题的浏览器与 Clash 位于同一资料空间，不要默认个人空间的 VPN 会接管工作空间流量。

如果系统授权框一直不出现，先停止服务再重新启动，并查看系统 VPN 列表是否残留其他活动连接。单纯反复点击连接按钮，无法解决 VPN 被其他应用占用的问题。

3. 确认配置、代理模式和策略组选择

进入「配置」，确认实际启用的是刚更新且能够加载的配置。订阅更新成功不代表每个节点都可用；导入后也不一定自动切换到新配置。回到主界面，核对配置名称，再打开「代理」查看当前模式和策略组。

模式用途与检查重点
规则 / Rule按规则顺序选择出口。检查目标域名命中了哪个策略组，以及组内实际选择的节点。
全局 / Global临时把流量交给全局策略。必须确认全局策略选中可用代理，而不是 DIRECT 或失效节点。
直连 / Direct不经代理连接目标。可用于对照本地网络，但不能据此判断代理节点是否可用。

先在「代理」中手动选择一个节点，避免测试时自动选择组不断换出口。若全局模式可用、规则模式失败，重点转向规则和策略组，而不是立即重装客户端。若两种模式都失败，再检查节点、DNS 与 VPN 接管。

追到策略组的最终出口

配置中的组名只是名称。例如某个选择组指向另一个自动选择组，后者才决定节点。展开相关策略，逐层确认最终出口，留意是否误选了 DIRECT、REJECT 或已不可用的节点。切换节点后新建连接；旧网页连接未必会立刻改走新出口。

4. 延迟测试与真实网页访问分开看

延迟结果只代表节点对测试地址的表现。测试显示 180 ms，也不能保证目标网站的 HTTPS 连接、账号登录和视频请求都成功；显示超时，也可能是测试地址本身不可达。不要把一个数值当成完整连通性结论。

  1. 手动选择节点 A，执行客户端的延迟测试，再在浏览器新标签页打开目标地址。
  2. 切换到节点 B，重复相同操作。尽量选择不同线路，而不是只改同一线路的节点名称。
  3. 若所有节点都失败，在停止服务后切换 Wi-Fi 与移动数据，再启动并复测。
  4. 检查手机「日期和时间」，启用自动设置。设备时间明显偏差可能导致 TLS 证书验证失败。

日志出现 connection refused，通常表示连接被目标或中间设备拒绝；i/o timeout 只表示等待超时，不能直接断言是密码错误。若订阅刚更新后才出现未知字段或协议相关错误，应核对客户端内核是否支持该配置。原版 Clash 与 Clash Meta（现称 mihomo）的配置能力并不完全相同。

5. 排查 DNS 劫持、私人 DNS 与浏览器解析

域名无法解析时，VPN 可以保持连接，节点延迟也可能正常，但网页仍打不开。先观察日志中是否有 lookup、DNS、no such host 或解析超时，再检查当前配置的 dns 段。不要一次替换所有解析服务器。

按解析链路逐项检查

  1. 在安卓「设置」中搜索「私人 DNS」。如果设置了严格的提供商主机名，先记录原值，临时改为「自动」进行对照。
  2. 检查浏览器自己的「使用安全 DNS」设置。浏览器可能通过 HTTPS 自行解析，流量不一定经过普通的 53 端口 DNS 劫持。
  3. 核对客户端的 VPN/DNS 设置和配置文件。不同安卓客户端可能由界面管理 DNS 接管，也可能读取内核 TUN 配置，不要只凭一段 YAML 判断已经生效。
  4. 修改后停止并重新启动服务，关闭旧标签页再测试。必要时重启浏览器，减少旧连接和应用缓存干扰。

传统 DNS 常使用 UDP 或 TCP 的 53 端口；DNS over HTTPS 常经由 443 端口。仅劫持 53 端口，并不等于接管了所有加密 DNS。下面仅展示支持相应字段的 mihomo TUN 配置中，DNS 劫持项的形态，不是供原版安卓客户端直接粘贴的完整配置：

tun:
  enable: true
  dns-hijack:
    - any:53
    - tcp://any:53

还需要确认内核版本、路由接管和 dns.enable 等实际设置。安卓客户端可能通过自身的 VPN 服务接管流量，界面中的 VPN 开关与内核的 tun.enable 不能简单画等号。

fake-ip 不等于解析失败

在 fake-ip 模式下，域名可能得到默认池 198.18.0.0/16 内的映射地址，这是设计行为，不应仅凭地址看起来陌生就判定故障。真正需要检查的是后续连接是否仍由同一内核接管。切换 fake-ip 与 redir-host 后，应重启服务和相关应用，避免旧的映射或解析缓存继续被使用。

如果只有个别应用异常，可以在备份配置后做模式对照，但不要把切到 redir-host 当作所有 DNS 故障的通用修复。也不建议直接用网站 IP 代替域名做唯一测试，HTTPS 证书和虚拟主机往往依赖正确的域名。

6. 检查访问控制与规则命中

只有浏览器或某个应用不通时，优先检查应用是否被 VPN 接管。Clash for Android 可在「设置」→「访问控制」中管理应用范围；其他客户端的入口可能称为「分应用代理」。先读清楚当前是「仅代理选中应用」还是「绕过选中应用」，相同的勾选在两种模式下含义相反。

  • 仅代理选中应用：浏览器必须在选中范围内，否则会走系统直连。
  • 绕过选中应用：被勾选的浏览器不会走代理，需核对是否误选。
  • 系统阻止非 VPN 连接：与应用排除规则叠加时，可能让被排除应用无法联网，需要结合系统设置对照。

接着打开「日志」或客户端提供的连接列表，刷新失败页面。若能看到连接及其规则命中，说明至少有相关流量进入内核。若完全没有记录，先确认日志级别，再查应用范围和 VPN 接管，不要先修改节点密码。

规则通常自上而下匹配，先命中的规则决定出口。下面的结构表示特定域名走直连，其余流量交给名为 PROXY 的策略；实际配置必须确实存在这个策略组：

rules:
  - DOMAIN-SUFFIX,example.com,DIRECT
  - MATCH,PROXY

如果失败连接命中了 REJECT，检查上方拦截规则；若误走 DIRECT，检查域名规则、规则集和最终兜底项。网页还可能加载独立的图片、登录和接口域名，所以「首页能开、登录失败」需要看失败请求对应的连接，不能只给首页域名加规则。

7. 锁屏后断网，检查省电与后台运行

刚启动正常、锁屏几分钟后失败，解锁进入客户端又恢复，优先怀疑后台限制。进入安卓「设置」→「应用」→ 对应客户端 →「电池」，按系统提供的选项允许后台运行或设为「不受限制」。部分厂商还需要在电池管理中允许自启动。

  1. 检查客户端是否允许后台数据；开启流量节省模式时，确认没有阻止它的后台联网。
  2. 在「设置」→「通知」中核对通知权限。持续运行通知有助于观察服务状态，但通知可见本身不保证进程不会被系统结束。
  3. 先保持亮屏访问，再锁屏 5 分钟后重试，记录服务通知、VPN 标识和日志是否中断。
  4. 分别测试一次从 Wi-Fi 切到移动数据、从移动数据切回 Wi-Fi。只有切网后失败时，先重连服务，检查连接是否重新建立。

如果更改后台权限后问题消失，再逐项恢复不必要的豁免，保留确实影响运行的设置。无需为了代理客户端关闭全机的所有省电功能。

8. 用结果定位下一步，而不是反复重装

测试结果优先检查
停止 Clash 后仍无法联网系统 VPN 阻断选项、网络认证、信号与基础网络。
全局可用，规则模式失败命中规则、策略组最终选择、规则集是否正常加载。
换节点后恢复原节点状态、线路限制、节点参数与服务端。
只有一个应用失败访问控制、应用内安全 DNS、失败请求对应的域名。
锁屏或切网后才失败后台运行权限、系统省电、网络切换后的重连。

仍无法定位时，保存失败前后约 30 秒的相关日志，同时记录安卓版本、客户端版本、内核名称、网络类型、代理模式和测试结果。提供「规则模式失败、全局模式成功、移动数据可复现」这样的描述，比只说「已连接但没网」更容易找到原因。

如果最终确认是配置能力与旧内核不兼容，备份配置后再选择支持相应协议的客户端。安装、导入和首次 VPN 授权的操作可参照快速上手教程；配置字段与模式说明可继续查看完整文档。更换客户端前保留已经得到的测试结论，避免在新环境中重复盲查。