一、Clash 是什么：先分清客户端、节点与配置
如果你第一次看到 Clash，最容易产生的误解是把它当成「机场」「VPN 账号」或某个可以自动提供网络线路的服务。实际上，Clash 更接近代理客户端与规则执行器：它运行在 Windows、macOS、Linux、Android 等设备上，负责读取配置文件，连接配置中已有的代理节点，再根据规则决定某个网站或应用应该直连，还是通过指定节点访问。Clash 本身通常不出售节点，也不会因为安装了客户端就自动获得可用线路。
可以把整个系统想象成一辆车：客户端是驾驶和导航界面，节点是可以选择的道路出口，订阅是定期更新道路清单的地址，而规则则像导航策略，决定不同目的地走哪条路。缺少节点时，客户端只有界面和内核，无法凭空建立代理连接；没有规则时，所有请求可能按照默认策略处理，也就无法实现细致的国内外分流。
不同版本的界面名称和内核组合可能不一样。Clash Verge、Clash Verge Rev 偏向桌面图形客户端，Clash for Windows 是较早被广泛使用的 Windows 客户端，ClashX 常见于 macOS，Clash for Android 面向移动设备，而 Mihomo 是目前许多客户端采用的开源内核分支。它们都可能使用 YAML 配置、代理组、规则组等相似概念，但按钮位置、支持特性和维护状态并不完全相同。因此，搜索教程时一定要先确认自己使用的客户端，不要把某个版本的截图步骤机械套用到另一个版本上。
二、Clash 不是机场，也不等同于 VPN
「机场」通常是提供订阅链接、节点线路和流量服务的运营方；「VPN」既可以指一种加密隧道技术，也常被用来泛称某类商业应用；而 Clash 是负责使用代理配置的工具。三者在日常讨论中经常被混叫，但它们解决的问题不同。你可以把机场提供的订阅导入 Clash，也可以使用自己搭建的节点，甚至只在本地调试 HTTP、SOCKS5 或 WireGuard 等代理入口。Clash 不会替你判断某个服务商是否可靠，也不会自动保证所有流量都被加密。
从技术路径看，传统 VPN 往往通过系统级隧道接管较大范围的网络流量，应用端不一定需要理解代理设置；Clash 则通常通过 HTTP、SOCKS、Mixed Port 或 TUN 等方式接收流量，再交给内核匹配规则。开启系统代理后，遵循系统代理的浏览器和应用可以使用 Clash；不读取系统代理的程序可能仍然直连。开启 TUN 后，覆盖范围通常更广，但也会涉及虚拟网卡、DNS、权限和路由冲突，不能简单理解成「打开就一定更安全」。
因此，看到「免费 Clash」「一键机场」「破解版订阅」等宣传时要保持警惕。客户端免费，并不代表节点服务免费；网上流传的配置文件可能包含未知服务器、恶意规则、远程脚本或不透明的 DNS 设置。尤其不要把主账号密码、支付信息、企业代码仓库凭据交给陌生服务商。代理节点能够看到连接元数据，某些情况下还可能观察未加密的 HTTP 内容，所以节点来源和服务商信誉比「测速最快」更重要。
💡
入门判断口诀：Clash 是工具，订阅是配置入口，节点是代理出口，规则负责分流。安装客户端不会自动生成节点，也不能替代对服务商和网络权限的判断。
三、四个核心概念：订阅、节点、代理组和规则
订阅通常是一条 HTTPS 链接，返回一份经过服务商生成的配置或节点列表。客户端拉取订阅后，可能得到多个代理节点、策略组、规则以及测速地址。订阅链接往往带有个人 token，泄露后别人可能消耗你的流量或触发服务商风控，因此不要把完整链接公开发到论坛、截图或公共代码仓库。定期更新订阅也不等于更新客户端本身，前者是重新获取远程配置，后者是替换应用或内核版本。
节点是具体的代理出口，名称可能包含地区、协议、倍率或线路类型。节点名称好看不等于稳定，延迟低也不代表下载速度一定快。一个节点的体验会受到拥塞、目标网站距离、晚高峰带宽、TLS 握手和服务商限速影响。测速结果只能作为参考，真正判断节点是否可用，还要看实际访问目标、视频缓冲、长连接和持续时间。
代理组是对多个节点或其他代理组的集合。常见类型包括手动选择、自动测速、故障转移和负载均衡。手动组便于明确控制出口，自动测速组会按照测试地址选择延迟较低的候选项，但测试地址通畅不代表所有网站都通畅。故障转移组更重视可用性，适合不希望频繁手动切换的场景。看到「节点很多」时，真正要理解的是当前请求最终落入了哪一个代理组，而不是只看列表数量。
规则决定域名、IP、进程或请求类型如何处理。常见动作有 DIRECT、PROXY、REJECT，也可能指向某个策略组。规则通常从上到下匹配，越靠前的规则优先级越高；一条过于宽泛的规则可能提前截获请求，让后面的精细规则完全没有机会执行。规则集更新失败、域名分类错误、DNS 解析结果与规则模式不一致，都会造成「浏览器能开，某个应用打不开」的现象。
客户端：提供界面、端口、系统代理开关和日志入口。
内核：负责监听流量、解析配置、匹配规则并建立连接。
订阅：远程获取节点与配置的地址，不等于单个节点。
策略组：把多个出口组合起来，供规则调用。
四、第一次动手：用最小改动跑通 Clash
新手不建议一开始就修改几十条规则、启用复杂覆写或同时安装多个客户端。先选一个来源可信、与设备平台匹配的客户端，再准备一份你能够解释来源的 Clash 兼容订阅。安装前关闭其它可能占用相同端口的代理软件，记下原有网络设置；这样即使发生冲突，也能明确知道是哪一层发生了变化。
安装与操作系统匹配的客户端，首次启动时只授予完成代理功能所必需的权限。
进入「配置」「Profiles」或「订阅」页面，粘贴订阅地址，确认协议为 HTTPS，并检查地址是否被聊天软件截断。
下载配置后，将它设为当前使用的配置；不要只下载而忘记激活，否则后续代理页可能仍是空白。
进入代理或策略组页面，先选择一个明确可用的节点或自动测速组，避免一开始使用看不懂的嵌套策略。
开启系统代理，访问一个你信任的测试网站，再回到连接记录确认请求确实进入 Clash。
确认基本功能后，再按需要启用规则模式、TUN、DNS 覆写或局域网共享，每次只修改一项。
入门阶段可以先采用「规则模式 + 系统代理」作为基线。它的优点是影响范围相对容易理解：支持系统代理的浏览器和应用会进入 Clash，不支持的程序则可能直连。若你使用命令行工具，可以临时设置 HTTP_PROXY、HTTPS_PROXY 或对应的 SOCKS 变量，并将端口填写为客户端显示的 mixed-port；测试完成后记得取消变量，避免它长期影响 Git、包管理器或内部服务。
如果系统代理已经打开但浏览器没有进入连接记录，先检查端口是否冲突、客户端是否真的处于运行状态，以及浏览器是否设置了独立代理。若网页进入记录却显示 DIRECT，则要看当前模式和规则；这不一定是故障，可能只是该域名被规则安排直连。只有当你明确知道目标应走代理，却看到错误策略时，才需要继续检查规则顺序和 DNS。
最小可行验证：先确认客户端运行，再确认配置已激活，然后确认节点可用，最后确认目标请求进入连接记录。不要在尚未证明请求进栈之前反复更换节点。
五、规则模式、全局模式与 TUN：新手最容易混淆的开关
规则模式根据配置中的规则处理请求，适合日常使用和国内外分流；全局模式通常让大多数请求统一交给一个代理组，适合短时间判断「是不是规则导致的问题」，但不适合长期无脑开启，因为国内服务、局域网地址和企业资源可能因此绕远或无法访问；直连模式则让请求尽量不经过代理，可用于对比网络差异。排障时可以短暂切换模式，但每次切换后都要记录结果，不要把临时实验状态误当成最终配置。
TUN 模式通过虚拟网络接口接收更多应用流量，适合那些不读取系统代理的程序，例如部分游戏、终端工具、容器或独立更新器。它同时会扩大排查范围：路由表、系统权限、IPv6、DNS 劫持以及其它 VPN 软件都可能介入。开启 TUN 后如果出现局域网打印机失效、公司内网打不开或网络断开，不要直接判定节点有问题，应先关闭 TUN 回到基线，确认是不是接管范围过大。
DNS 是另一个经常被忽略的环节。Clash 可能使用 fake-ip、redir-host 或其它解析方式，不同内核和版本的字段支持也有差异。域名规则、DNS 返回的地址、IP 规则和实际连接目标之间如果不一致，可能出现规则命中错误。初学者不必照抄网上「万能 DNS 配置」，应先使用客户端默认且文档明确支持的方案，确认能稳定解析后再调整 nameserver、fallback 或域名策略。每改一次 DNS，都要清理相关缓存并重新观察连接日志。
⚠️
不要同时运行多个 TUN、VPN、网络加速器或抓包软件。它们可能争抢虚拟网卡、默认路由和 DNS 控制权，结果表现为随机断网。排障时只保留一个网络接管层，恢复正常后再逐个启用其它工具。
六、安全避坑：从来源、权限到隐私逐项检查
选择客户端时优先查看项目的公开发布页、代码仓库或可信的发行渠道，核对版本号、操作系统架构和发布说明。Windows 用户要留意数字签名与安全软件提示，macOS 用户要理解 Gatekeeper 与网络扩展授权，Android 用户则应检查安装包来源和应用请求的权限。所谓「免安装绿色版」「内置永久节点」常常无法说明配置从何而来，越是要求关闭杀毒软件或系统安全检查，越不值得冒险。
导入订阅前，至少确认三件事：链接是否来自你主动选择的服务商；服务商是否说明日志、流量和退款政策；配置是否包含你看不懂的远程脚本、外部规则提供者或异常 DNS 地址。YAML 文件本身通常是文本配置，但远程规则和外部资源会在运行期间继续产生网络请求。不要因为文件能成功导入，就认定它安全可靠。对企业设备、学校网络和他人提供的节点，务必遵守组织政策与当地法律法规，Clash 不是规避授权、审查或访问控制的许可证。
隐私方面，代理并不自动等于匿名。节点服务商可能知道你的连接时间、目标域名、流量大小和设备行为；使用 HTTPS 可以保护网页正文和登录凭据免受普通链路窃听，但不能让你对节点完全隐身。不要在不信任的节点上登录高价值账户、传输密钥或处理敏感文件。使用公共订阅时，最好把工作流、个人浏览和重要账户分开；发现订阅 token 泄露、异常跳转、证书警告或大量未知域名连接时，应立即停用并更换凭据。
常见的「免费避坑」还包括：不要把订阅链接提交给陌生的在线转换站；不要随意复制别人配置中的 DNS、脚本和规则；不要只凭延迟数字判断安全性；不要为了解决一次打不开而关闭所有安全软件；不要把 TUN、全局代理和局域网共享永久打开。更稳妥的做法是保留一份原始配置备份，记录每次修改，出现问题时按「客户端—配置—节点—规则—DNS—系统网络」的顺序回退。
七、如何选择适合自己的 Clash 客户端
如果你重视图形界面、连接日志和规则可视化，Clash Verge 或 Clash Verge Rev 通常更容易建立完整的排障流程；如果你使用 macOS 并偏爱菜单栏常驻，可以比较 ClashX 与其它 macOS 客户端的维护状态和系统兼容性；Android 用户应关注后台运行、电池优化、VPN 权限和 TUN 支持；喜欢脚本化管理的用户则可以研究 Mihomo 内核配置，但要先确认字段版本和文档来源。客户端名称相似不代表配置完全通用，迁移时最好从最小配置开始，而不是直接覆盖整个目录。
评价一个客户端，不应只看界面是否漂亮或节点测速是否瞬间变绿。更重要的是：它是否有持续维护，是否能显示连接与错误日志，是否支持你需要的协议和平台权限，是否允许导出或备份配置，以及出现问题时能否回到明确的默认状态。对于新手而言，「能看懂发生了什么」往往比「拥有最多高级开关」更重要。先让一个客户端稳定完成浏览器访问、规则分流和关闭恢复，再考虑多设备同步、局域网共享与复杂覆写。
与一些只提供单一隧道、缺少域名分流和连接记录的通用 VPN 应用相比，Clash 的优势在于可见、可控、可拆解：你能看到请求匹配了哪条规则、使用了哪个策略组，也能为不同域名选择直连或代理；但这种灵活性意味着需要理解配置和承担维护责任。对只想点击一个按钮、不关心分流细节的人，简单 VPN 客户端可能更省心；对希望按应用和域名精细管理网络出口的人，Clash 通常更适合。若你已经理解节点来源、权限边界和安全风险，可以立即免费下载 Clash，开启流畅上网新体验，再从最小配置开始逐步建立自己的代理工作流。