Clash 全平台
安裝設定指南

通用準備：設定來源與流量接管方式

先分清用戶端、核心與訂閱

用戶端是操作介面，負責儲存設定、啟動核心、設定代理及顯示連線狀態。核心負責解析協定、比對規則與轉送流量。訂閱則是設定來源，可能包含節點、策略組、規則及 DNS 參數。安裝用戶端不代表已經有可用的出口；開始前，請準備服務供應商提供的有效訂閱網址，或與所選核心相容的 YAML 檔案。

本手冊以 Clash Plus 作為用戶端選型的起點。其他介面的按鈕名稱可能不同，但通常都圍繞設定、代理、連線與偏好設定等功能。某款用戶端能匯入設定，不代表其他用戶端也支援所有欄位；尤其是協定擴充、規則提供者與指令碼相關設定，應先確認目標核心支援的範圍。若發生解析錯誤，先查看錯誤訊息中的欄位名稱與行號。

整理訂閱與系統資訊

訂閱網址可能包含存取憑證，應像帳號密碼一樣妥善保管。請勿將完整網址貼到公開論壇、截圖或不明的線上轉換網站。向他人求助時，只保留錯誤類型、用戶端名稱、作業系統與網路環境等資訊。若網址已外洩，應向服務供應商申請重設，而不只是刪除本機紀錄；刪除紀錄無法撤銷他人已取得的存取權限。

安裝前先確認作業系統版本、處理器架構與剩餘儲存空間。桌上型電腦要分清 x64 與 ARM64，Mac 要分清 Intel 與 Apple Silicon，Android 裝置則要確認是否支援 ARM64 安裝包。切換用戶端前，先備份既有設定與自訂規則。測試期間請退出其他代理或 VPN 軟體，以免多個程式爭用系統代理、虛擬網卡或 DNS 設定。

選擇流量接管方式

系統代理與 TUN 是流量接管方式；規則、全域與直連則是路由決策模式，兩者屬於不同層級。啟用 TUN 後仍可使用規則模式；符合直連規則的流量也可能先經過核心，再直接送出。排錯時請分別確認「應用程式是否進入用戶端」及「進入後使用哪個出口」，不要只看開關名稱就認定連線已經走代理。

建立最基本的可用設定

第一次連線只做四件事：匯入訂閱、選取設定、選擇一個可用節點、啟動服務。桌面版先測試系統代理，行動版則確認 VPN 授權。暫時保留訂閱內建的 DNS 與規則，不要同時新增覆寫、排除應用程式或區域網路共享設定。連線成功後，記下使用的網路、節點與接管方式；之後每次只調整一項設定，才能判斷是哪個步驟造成影響。

驗證時，先瀏覽一個平常直連的網站，再瀏覽一個依規則應走代理的網站，並在連線紀錄中確認使用的策略。網頁能開啟只代表這次請求成功，不代表所有應用程式、網域或 UDP 流量都正常。紀錄只保留必要資訊；記錄檔可能包含網域、訂閱網址與本機路徑，分享前請逐項遮蔽敏感內容。

Windows：安裝與系統代理

選擇安裝包並完成首次啟動

前往Windows 下載區，優先查看 Clash Plus；也可依使用習慣選擇 Clash Verge Rev、FlClash 或 Clash Nyanpasu。Clash for Windows 已停止維護，封存版本較適合在移轉舊設定時參考，不建議作為新裝置的預設選擇。不要直接用另一款程式覆蓋舊用戶端目錄，因為設定檔與介面資料庫未必相容。

在系統設定的「系統 → 系統資訊」查看系統類型，並選擇下載頁實際提供的對應安裝包。安裝前先退出現有的代理程序，執行安裝程式並依提示選擇目錄。首次開啟時若系統要求允許網路存取，請先確認程式來源與檔案位置，再依實際需要授權。關閉程式視窗後，程式可能仍在通知區域執行；排查連接埠占用時，請從系統匣選單完整結束程式。

匯入訂閱並選取設定

前往設定或訂閱頁面，新增遠端設定並貼上服務供應商提供的訂閱網址。等候下載與解析完成，確認出現設定名稱後，再按下啟用或選取。部分介面中的「已新增」只代表設定已儲存到清單，不表示目前的核心已載入設定。返回代理頁面後應能看到策略組；若清單為空，先確認是否選對目前設定，以及訂閱回傳的內容是否為 Clash 格式。

開啟策略組，選擇一個實際節點作為首次測試出口。自動選擇組可能依賴連線測試；剛匯入時，測試結果可能尚未完成，不必立刻判定所有節點都失效。更新訂閱前，先儲存自訂規則；遠端設定檔可能在下次更新時被取代。需要長期保留的本機設定，應使用用戶端提供的覆寫或擴充功能，不要直接修改快取檔案。

先啟用系統代理，再確認監聽連接埠

啟動核心後，開啟「系統代理」。這通常會將 Windows 的代理位址設為迴圈位址與用戶端連接埠。重新建立瀏覽器連線後再測試，舊分頁可能仍在沿用既有連線。如果瀏覽器擴充功能也設定了獨立代理，請先關閉擴充功能的代理控制，避免實際請求改走其他路徑；應用程式自行設定的代理通常也不會隨系統開關自動變更。

以下的混合連接埠範例可同時接受 HTTP 與 SOCKS 代理連線。它只說明本機監聽方式，不包含節點，不能單獨作為完整訂閱使用。連接埠應以用戶端目前執行的設定為準；若介面使用其他數值，不要為了套用範例而修改訂閱。迴圈位址監聽僅供本機連線，適合先驗證基本連線路徑。

mixed-port: 7890
allow-lan: false
bind-address: 127.0.0.1
mode: rule
log-level: info

確認連接埠後，可在 PowerShell 使用以下命令，單獨測試 HTTP 代理入口。命令會明確指定代理，因此不依賴系統代理開關。若命令成功但瀏覽器失敗，優先檢查瀏覽器或系統設定；若顯示無法連線至本機連接埠，先檢查核心是否執行及監聽位址，不要急著更換節點。請搭配連線紀錄確認實際出口；請求成功不代表出口一定正確。

curl.exe --proxy http://127.0.0.1:7890 --head https://example.com

TUN、服務權限與退出後還原

若要接管不遵循系統代理的應用程式，再考慮使用 TUN。不同用戶端可能要求安裝服務元件，或以系統管理員權限完成初始化，請依該用戶端的提示操作。啟用後觀察虛擬網卡與連線紀錄；若整個系統突然無法解析網域，先關閉 TUN，還原基準設定，再檢查 DNS、路由衝突與安全軟體的封鎖情況。不要同時修改多組網路參數。

日常使用不需要全面關閉 Windows 防火牆。若安全軟體造成封鎖，只為來源已確認的程式與必要網路範圍新增規則。電腦從休眠恢復、切換 Wi-Fi 或連上公司 VPN 後，既有路由可能失效；可先停止再重新啟動核心。若需要長期自動啟動，請先確認手動啟動穩定，再設定開機啟動與自動啟用代理，避免開機後立即進入故障狀態。

結束用戶端前，先關閉系統代理；若程式異常結束，請在 Windows 設定的「網路和網際網路 → Proxy」檢查是否還有手動代理設定。程式已停止但系統仍指向本機連接埠，會讓遵循代理設定的應用程式無法連網。區域網路共享還涉及監聽位址與輸入規則，可參閱混合連接埠與區域網路共享說明；不要只開啟允許區域網路的開關就以為設定完成。

macOS：晶片架構與網路權限

依晶片選擇用戶端

開啟蘋果選單中的「關於這台 Mac」，確認顯示的是晶片名稱還是 Intel 處理器，再前往macOS 下載區選擇相應安裝包。建議優先考慮 Clash Plus，也可選擇 Clash Verge Rev 或 FlClash。ClashX Meta 已停止維護；移轉前請先備份訂閱與規則，不要因為舊程式還能啟動，就認定它適合處理新的設定格式。

下載磁碟映像檔後開啟，將應用程式拖曳到「應用程式」資料夾，再從該資料夾啟動。不要長期直接執行磁碟映像檔中的副本，否則更新、權限與開機啟動可能會指向不同位置。若系統阻止開啟，先確認下載來源，再到「系統設定 → 隱私權與安全性」查看具體提示；不要使用來源不明的命令大量關閉系統安全機制。

匯入遠端設定並確認已載入

開啟設定頁面，新增遠端訂閱，輸入名稱並貼上網址。儲存後等候解析完成，再將其設為目前設定。若要從檔案匯入，可透過檔案選擇器開啟 YAML，但請確認用戶端是複製檔案，還是持續參照原始路徑。若將檔案留在暫存下載資料夾，之後清理資料夾可能導致重新載入失敗；建議將需要長期參照的檔案放在固定位置。

確認策略組是否出現，並手動選擇一個測試節點。看到設定更新成功，只能證明訂閱請求與解析已完成，無法證明節點連線正常。請先確認節點是否可用，再啟用流量接管。若訂閱能在瀏覽器開啟，卻無法在用戶端使用，請檢查兩者是否經過不同代理路徑，以及系統時間是否正確；不要在公開頁面上展示完整訂閱網址。

了解目前網路服務的系統代理

啟用用戶端的系統代理後，macOS 通常會修改目前使用的網路服務中的 HTTP、HTTPS 或 SOCKS 代理設定。Wi-Fi 與有線網路可能對應不同服務，切換網路後應重新確認。部分終端機工具只會讀取環境變數，另一些應用程式則有自己的代理設定。因此瀏覽器正常、終端機失敗並不矛盾；請先確認目標應用程式使用哪種連線方式。

可使用以下唯讀命令查看目前的系統代理狀態，重點確認代理是否啟用，以及位址與連接埠是否符合用戶端設定。這只顯示系統設定，不保證每個應用程式都會遵循。若發現位址屬於已結束的舊用戶端，先在目前的用戶端關閉再重新啟用系統代理；仍未恢復時，請逐項檢查對應網路服務的代理設定。

scutil --proxy

為單次終端機請求暫時指定代理，比直接修改全域 shell 設定更方便排錯。以下命令只會影響這一次呼叫，使用前請核對連接埠是否符合實際執行值。若平常在 shell 啟動檔中設定了代理變數，也要檢查是否有殘留；關閉圖形介面用戶端不會自動移除這些變數，它們可能讓工具繼續連線到已停止的本機連接埠。

curl --proxy http://127.0.0.1:7890 --head https://example.com

處理 TUN 權限與網路切換

使用 TUN 時，用戶端可能要求安裝輔助服務、授權建立網路介面或確認系統延伸功能。請依目前程式的提示逐步完成，不要反覆安裝其他用戶端的服務元件來取代。授權後若仍沒有流量，先查看記錄是否出現權限、介面或路由建立失敗的訊息；這些錯誤發生在節點連線之前，通常無法靠更換訂閱解決。

同時執行企業 VPN、其他網路過濾工具或虛擬機器網路時，可能發生路由優先順序與 DNS 衝突。先只保留一個流量接管工具進行驗證，再逐一恢復其他元件，找出問題從哪一步開始。公司管理的裝置應遵循既有網路政策，不要透過刪除受管理設定強行啟用 TUN。代理設定也不會自動解除系統的所有安全與存取限制。

Mac 從睡眠恢復，或從有線網路切換到無線網路後，先停止再啟動用戶端以恢復連線，接著確認目前網路服務的代理設定。解除安裝前，請關閉系統代理與 TUN，並依用戶端說明移除輔助服務。只將應用程式拖入垃圾桶，可能會留下仍指向本機連接埠的設定；若解除安裝後瀏覽器無法連網，先檢查是否殘留系統代理，不要直接重設所有網路設定。

Android：VPN 授權與應用程式分流

安裝包、更新與設定移轉

前往Android 下載區，優先查看 Clash Plus，也可選擇 Clash Meta for Android、FlClash 或 Surfboard。Surfboard 使用的設定格式與 Clash YAML 不完全相同，同一份 YAML 不一定能在所有用戶端通用。若服務供應商只提供 Clash 訂閱，請先選擇明確支援該格式的用戶端，避免安裝後才發現設定不相容。

安裝 APK 時，系統可能要求允許目前使用的瀏覽器或檔案管理員安裝應用程式。確認檔案來源後，只授權實際用來安裝的來源。若提示與已安裝的應用程式衝突，請檢查套件名稱、簽章與來源，先備份設定再決定是否移轉；不要立刻解除安裝仍能正常使用的應用程式。不同簽章的安裝包通常無法直接覆蓋安裝；清除資料也無法解決簽章不一致的問題。

從 URL 匯入並啟動 VPN 服務

在 Clash for Android 風格的介面中，開啟「設定 → 設定檔 → 新增 → 從 URL 匯入」，輸入方便辨識的名稱並貼上訂閱網址。儲存後等候更新完成，再返回設定檔清單選取該項目。若要從檔案匯入，請使用系統檔案選擇器選取 YAML；只把檔案下載到手機並不會讓用戶端自動載入，還必須完成匯入與選取。

返回首頁並點選啟動。首次執行時會出現 Android 的 VPN 連線要求，確認應用程式名稱後再按下允許。系統狀態列出現 VPN 圖示，代表 VPN 介面已建立，但不表示遠端節點一定可用。接著前往代理頁面，確認目前使用規則模式並選取測試節點，再開啟瀏覽器並查看連線紀錄，完成從入口到出口的整段驗證。

Android 通常只能讓一個一般應用程式占用目前使用者的 VPN 服務。若啟動時另一款 VPN 被中斷，這是系統資源限制，不一定是用戶端錯誤。使用本機 VPN 的過濾工具也可能造成衝突。工作資料夾與個人資料夾的網路政策可能分別受到管理；某個資料夾中的應用程式不一定受另一個資料夾中的用戶端控制，請依裝置管理範圍確認。

存取控制決定哪些應用程式會進入代理

開啟設定中的存取控制或應用程式分流，先確認目前使用的是「僅代理選取的應用程式」還是「略過選取的應用程式」。同一個應用程式在這兩種模式下的效果正好相反。初次排錯時，建議暫時還原為所有應用程式都進入 VPN 的基準設定，再逐一排除。若瀏覽器正常，但某個應用程式完全沒有連線紀錄，請先檢查應用程式清單與所屬資料夾，不要直接認定是節點失效。

「略過私有網路」通常會影響區域網路位址的路由，有助於存取路由器、印表機或本機裝置，但仍應搭配設定規則判斷。這不等於允許其他裝置使用手機代理。「允許應用程式略過」則是系統 VPN 層級的另一種行為，實際作用取決於用戶端的實作。調整前先了解開關說明，避免混淆不同層級的略過設定。

DNS 劫持與背景執行

DNS 劫持通常會將進入 VPN 的 DNS 請求交由核心處理，但無法保證接管應用程式自行建立的加密 DNS 連線。若瀏覽器啟用了安全 DNS，或系統設定了私人 DNS，實際解析路徑可能與預期不同。排錯時先記下原本設定，再暫時恢復系統預設值進行比對。不要同時更換節點、DNS 模式與規則，否則無法判斷哪項變更有效。

若螢幕關閉後連線中斷，先檢查電池設定是否限制用戶端的背景活動，再確認裝置廠商是否提供自動啟動或背景保留選項。設定名稱會因系統而異，只需調整這款用戶端，不必關閉整台裝置的省電功能。觀察問題是否只在螢幕關閉後發生、重新開啟用戶端後是否恢復，以及記錄中是否顯示程序重新啟動，這些線索有助於分辨背景程序遭到終止，還是網路切換造成連線中斷。

基本連線穩定後，再啟用常駐 VPN 與「封鎖未經 VPN 的連線」。後者會在用戶端未執行或重新連線期間封鎖網路，表面上看起來就像手機完全斷網。若啟用後無法存取區域網路，也應檢查系統封鎖政策與應用程式排除設定是否衝突。需要還原時，先前往 Android 的 VPN 設定調整，再修改用戶端內部規則。

連上手機熱點的裝置，不一定會因為手機本身啟用了 VPN 就共用代理。熱點轉送路徑、系統權限與代理監聽是另外的問題。若需要共享，請依區域網路代理方案設定裝置位址與連接埠，並限制可存取的範圍；完成後關閉不再需要的監聽，不要讓本機代理連接埠長期暴露在不可信任的網路上。

iOS：安裝、匯入與網路延伸功能

從 App Store 安裝 Clash Plus

iPhone 與 iPad 建議優先使用 Clash Plus。可從Clash Plus 的 App Store 頁面安裝，並透過官方網站 clashplus.io瞭解產品資訊。系統需求請以商店目前顯示為準；安裝按鈕是否可用，取決於裝置相容性與帳號實際能瀏覽的商店內容，不能只憑裝置型號推斷。

也可以先開啟本站的iOS 下載區確認下載入口。首次啟動時，先查看設定與連線相關頁面，確認使用的應用程式名稱。用戶端負責載入設定與轉送流量，訂閱則需要另外準備。請勿將從商店安裝完成誤認為已有可用節點，也不要把網路權限要求與訂閱購買或帳號授權混為一談。

匯入訂閱並處理格式差異

在用戶端的設定或訂閱頁面新增遠端設定，貼上服務供應商提供的網址，等候下載與解析完成。按鈕名稱可能隨介面更新而改變，請以新增遠端訂閱這項操作為準。匯入後先確認策略組與節點清單是否出現，再選為目前設定；若只看到一筆空白紀錄，請先檢查是否下載成功，不要立刻反覆前往系統 VPN 設定授權。

使用手機複製網址時，容易連同前後空格、說明文字或換行一起複製。請先在本機確認內容完整，不要上傳到第三方工具測試。若網址回傳登入頁面、帳戶提示或一般網頁，用戶端就無法將其當成 YAML 使用。服務供應商若提供多種格式，請選擇明確標示適用於目前用戶端或其核心的格式，不能只依網址副檔名判斷相容性。

若要從檔案匯入，請在系統檔案選擇器中選取實際設定檔，並確認檔案已下載到裝置，而不只是雲端中的佔位項目。匯入後是否保留外部參照，取決於用戶端的實作方式。遠端規則與節點提供者也可能會繼續下載其他資源；因此主設定匯入成功後，若策略組仍不完整，請檢查相關資源的取得狀態與網路連線。

確認 VPN 設定與規則模式

首次啟動連線時，系統會要求新增 VPN 設定。確認是由哪個應用程式發起後，依系統提示確認；必要時完成裝置驗證以授權。返回用戶端啟動連線，再到系統設定確認 VPN 狀態。iOS 由網路延伸功能處理流量接管，不需要照搬 Windows 的系統管理員服務安裝步驟，也不必尋找必須與桌面版名稱相同的 TUN 開關。

初次使用時，先選擇規則模式，並在策略組中明確選取一個節點。全域模式適合短暫比對特定問題，不能取代規則排查；若某個網站只有在全域模式下可用，可能是規則分配、直連路徑或策略組選擇不同。此時查看該請求命中的規則，比長期使用全域模式更有助於恢復預期的流量分流。

了解應用程式範圍、DNS 與隨選連線

不要假設 iOS 用戶端一定提供與 Android 相同的應用程式勾選清單。一般裝置的應用程式控制能力受系統介面限制，實際可用功能應以用戶端介面與裝置管理狀態為準。若想讓某類網站直連，通常應透過網域規則與策略組設定；只依應用程式名稱判斷，可能忽略該應用程式使用的多個網域與系統服務。

DNS 可能同時受設定檔、用戶端覆寫、系統網路設定與其他網路延伸功能影響。部分隱私轉送或過濾功能也可能改變觀察到的網路路徑。排錯時先檢查目前使用的元件，不必立刻刪除所有系統設定。暫時只保留目前的代理用戶端進行測試，再逐一恢復其他功能，才能確認衝突來自哪個層級，並保留還原原始設定的依據。

隨選連線會在符合用戶端設定條件時自動啟動網路延伸功能。建議先確認手動連線穩定、訂閱可正常更新，再啟用此功能，並明確設定哪些網路需要連線。關閉應用程式視窗後 VPN 仍維持連線，可能是延伸功能繼續執行的正常情況，不代表應用程式介面失去作用。若要真正停止連線，請使用用戶端的連線開關，或在系統 VPN 設定中確認已中斷連線。

處理網路切換與設定備份

從 Wi-Fi 切換到行動網路時，舊連線可能失效；先等候重新連線，再測試新的請求。使用需要網頁驗證的飯店或機場 Wi-Fi 時，應先完成網路登入；代理無法取代網路本身的登入驗證。若只在特定 Wi-Fi 下失敗，請與行動網路的結果比較，再檢查本機 DNS、網路限制與節點連線狀態，不要立刻刪除所有訂閱。

更換裝置前，先記下訂閱來源、策略組選擇與必要的覆寫設定；不要假設所有設定都能透過系統備份完整移轉。匯出的檔案可能含有節點驗證資訊，應存放在受保護的位置。若更新訂閱後發生問題，先確認是否切換到新的策略組，以及遠端規則是否載入完成，再決定是否還原；舊檔案能否使用仍取決於服務供應商是否保留對應節點。

Linux：桌面用戶端與核心執行

先區分桌面與伺服器使用情境

Linux 桌面使用者可前往Linux 下載區，優先查看推薦的 Clash Verge Rev，也可選擇 FlClash。伺服器、路由器或只需透過命令列執行的環境，可查看下載頁的核心區，取得 Mihomo。圖形介面用戶端通常會管理核心、設定與服務權限；直接執行核心則須自行安排目錄、啟動方式、記錄檔與流量接管，維護責任也不同。

安裝前確認 Linux 發行版、處理器架構與套件格式。Debian 系統通常使用 deb；RPM 系統應選擇下載頁實際提供的 rpm 套件，不能只改副檔名後安裝。桌面圖形程式可能依賴顯示服務與系統程式庫，不適合直接在沒有圖形環境的伺服器上執行。若出現缺少共享程式庫的提示，先確認發行版相容性，不要隨意下載程式庫檔案並覆蓋系統目錄。

安裝後先驗證一般代理入口

依照系統的軟體安裝程式完成安裝，再從應用程式選單啟動。若使用命令列安裝套件，請先閱讀套件管理員列出的相依套件與變更內容。前往設定頁新增遠端訂閱，更新完成後選為目前設定，再開啟策略組並選取節點。初次測試時，先以一般使用者身分啟動圖形介面；只有安裝服務或建立網路介面等明確需要權限的步驟，才進行系統授權。

GNOME、KDE 與其他桌面環境的代理設定入口各不相同，應用程式是否讀取桌面設定也有所差異。瀏覽器可能使用桌面系統代理，終端機工具通常需要明確指定參數或環境變數。不要因為系統代理按鈕已開啟，就認定套件管理員、容器與背景服務都會使用代理。先透過一次明確指定代理的請求，確認本機連接埠可連線，再逐一設定各應用程式。

curl --proxy http://127.0.0.1:7890 --head https://example.com

若要讓目前終端機工作階段中的多個工具使用 HTTP 代理，可暫時設定以下變數。並非每個工具都會遵循這些變數，有些工具也有個別設定；尚未驗證前，不要直接寫入所有使用者的啟動檔。使用完畢後取消變數即可還原，避免用戶端關閉後，終端機仍向已停止監聽的連接埠送出請求。

export http_proxy=http://127.0.0.1:7890
export https_proxy=http://127.0.0.1:7890

# 結束這次工作階段中的代理設定
unset http_proxy https_proxy

直接執行 Mihomo 時的目錄設定

使用獨立核心時，先準備與處理器架構相符的可執行檔，並安裝到本機可執行檔路徑。以下啟動命令假設系統已能找到名為 mihomo 的程式，且使用者設定目錄中已有完整的 config.yaml。先用測試命令檢查設定，再以前景模式啟動並觀察記錄。語法檢查通過只代表設定可讀取，不代表節點、DNS 或遠端規則資源都能連線。

mkdir -p "$HOME/.config/mihomo"
mihomo -t -d "$HOME/.config/mihomo"
mihomo -d "$HOME/.config/mihomo"

目錄參數會決定設定檔與部分執行資料的搜尋位置。透過終端機可以啟動，改成系統服務後卻失敗，常見原因包括執行使用者、工作目錄、檔案權限或環境變數不同。服務環境不會自動繼承互動式 shell 的代理變數。先確認服務實際讀取的設定路徑，再檢查它是否能存取訂閱、規則檔案與記錄檔目錄；不要不斷複製不同設定檔覆蓋測試。

TUN、DNS 與容器網路

TUN 需要建立虛擬介面並調整路由的權限。圖形介面用戶端通常提供服務模式或輔助元件，建議優先依照該用戶端的安裝流程操作。獨立核心的權限設定則應配合 Linux 發行版的服務管理方式，避免長期以不必要的高權限執行整個桌面程式。若出現無法開啟 TUN 裝置的提示，先檢查系統支援與執行權限；這與遠端節點是否有效無關。

Linux 的 DNS 可能由 NetworkManager、systemd-resolved 或其他元件管理。設定中的 DNS 監聽連接埠，不會自動讓所有程式都向它查詢；還需要正確的系統解析鏈路或 TUN 劫持設定。修改解析設定前，先確認目前由哪個元件管理，避免手動修改的檔案被網路服務重新產生。建議優先使用用戶端支援的整合方式，並記錄原設定以便還原。

容器中的迴圈位址指向容器本身，而不是主機。在主機上執行代理後，於容器內填入 127.0.0.1 通常無法連線。若確實需要跨越網路命名空間存取，應規劃可連線的位址、監聽範圍與存取限制；不要為了方便就將代理與控制介面同時暴露在所有網卡上。背景服務也有各自的環境設定，應逐一驗證，不要直接套用桌面測試結果。

前景執行驗證通過後，再設定開機啟動，並檢查重新啟動後的服務狀態與記錄。停止服務時，同步還原系統代理、路由與 DNS，並確認直連網路仍正常。若透過遠端終端機管理伺服器，調整預設路由前應保留目前連線與復原方式，避免連管理連線也一併中斷。一般桌面使用者通常不必手動維護整套核心服務，持續使用時圖形介面用戶端會更合適。

常見設定問題：依連線路徑定位故障

訂閱失敗時，先分辨下載與解析問題

「更新失敗」可能發生在請求網址、建立連線、接收內容或解析 YAML 的不同階段。先查看錯誤屬於逾時、憑證異常、權限遭拒，還是欄位與語法錯誤。網路錯誤先檢查目前網路、系統時間與請求路徑；解析錯誤則檢查回傳內容與格式相容性。更換 DNS 無法修正縮排錯誤，重寫 YAML 也無法讓過期網址恢復有效。

同一個網址在瀏覽器與用戶端中的結果不同，可能是因為瀏覽器使用了既有代理、已儲存的登入狀態或不同的請求資訊。不要只因為瀏覽器能開啟，就認定是用戶端出了問題。若更新訂閱需要透過目前代理，但目前設定已無法使用，就可能形成無法自行恢復的循環；請依用戶端支援的下載方式設定。詳細排查步驟請參閱訂閱失效與解析失敗自我檢查。

規則順序與覆寫範圍

規則通常依序比對，命中後使用對應策略；最後的 MATCH 則負責處理尚未命中的連線。以下只是片段，並非完整可執行的訂閱；其中 PROXY 必須換成設定中實際存在的策略組名稱。若名稱不相符，可能導致設定載入失敗。網域規則需要取得可用的網域資訊，直接使用 IP 的連線不一定會命中預期的網域規則。

rules:
  - DOMAIN-SUFFIX,example.com,DIRECT
  - IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
  - MATCH,PROXY

用戶端覆寫可能取代整個區段，也可能合併欄位，不能只看 YAML 層級就推測合併方式。遠端規則、自訂規則與介面設定疊加後，應查看最終執行的設定，或確認連線實際命中的規則。更新訂閱後自訂內容消失，通常是因為修改了由遠端更新管理的檔案；長期使用的規則應放在用戶端明確支援的本機擴充功能中，並備份原始內容。

分別排查 DNS、Fake-IP 與連接埠

Fake-IP 會為部分網域指派用於對應的虛擬位址，後續連線再由核心將位址對應回網域；它不是節點的真實位址。若遇到應用程式相容性問題，可先確認 DNS 請求是否進入核心，再檢查應用程式是否快取了舊結果。不要把快取中的虛擬位址直接寫入長期使用的 IP 規則。切換 DNS 模式後，應重新發起連線；必要時清除應用程式的解析快取再進行比對。

nameserver、fallback 與過濾條件的效果取決於完整 DNS 設定，不能把多個公共 DNS 位址隨意堆在一起就當成最佳化。尤其要避免上游 DNS 的連線本身依賴尚未解析的代理伺服器網域，形成解析循環。想逐項了解時，請閱讀DNS 欄位與劫持鏈路說明；嘗試前先保留一份可正常運作的設定。

區域網路共享與控制介面

混合連接埠用來接收應用程式代理流量，控制介面則用於管理核心，兩者用途不同。若要與另一台裝置共享代理，必須將代理監聽設定為可連線的位址、開啟相應的區域網路存取功能，並設定防火牆範圍；不需要因此開放控制介面。其他裝置應填入執行用戶端裝置的區域網路位址，而不是自己的迴圈位址。共享完成後，請確認網路是否可信任，並及時關閉不再使用的入口。

只保留必要資訊，完成一次可重現的排查

測試時記下作業系統、用戶端、接管方式、發生問題的應用程式與時間，接著每次只改一個條件。節點測試成功不代表所有協定、網站與 UDP 都可用；網頁能開啟也不代表背景應用程式同樣正常。依序確認連線是否進入、規則是否正確及出口是否成功，再決定要調整哪個層級，才能避免在無關設定之間反覆切換。